Um suposto operador norte-coreano tentou infiltrar-se em uma empresa de cibersegurança utilizando uma identidade roubada e um currículo gerado por inteligência artificial, revelando a sofisticação crescente dos esquemas de trabalhadores de TI patrocinados pelo estado. O caso, descoberto em junho de 2025 e reportado recentemente, expõe falhas críticas nos processos de contratação remota e o uso de ferramentas de IA para contornar verificações de segurança.
O surgimento do golpe
O esquema de trabalhadores de TI norte-coreanos, ou DPRK, tem se infiltrado silenciosamente em empresas dos Estados Unidos e outros países desde o início de 2023. Esses operativos fingem ser profissionais qualificados para trabalhar remotamente, enviando os salários de volta ao governo norte-coreano para financiar programas de armas. O caso mais recente envolveu uma tentativa de assumir uma posição de Arquiteto de IA Principal em uma empresa de segurança, alegando ser um profissional baseado na Flórida com mais de uma década de experiência.
Identidade falsa e uso de IA
Um dos aspectos mais reveladores deste caso foi a construção e manutenção de uma identidade falsa utilizando ferramentas de inteligência artificial. O currículo submetido continha uma lista incomumente longa de habilidades técnicas, incluindo linguagens de programação, plataformas em nuvem e ferramentas de IA agêntica, muitas das quais foram copiadas quase palavra por palavra da própria descrição da vaga. Analistas da Nisos notaram que esse padrão de espelhar a linguagem da descrição da vaga diretamente no currículo é uma tática conhecida entre trabalhadores de TI da DPRK para passar pelos filtros de palavras-chave dos sistemas de contratação.
Como a fraude foi descoberta
Os analistas da Nisos identificaram o operativo suspeito combinando pesquisa de inteligência de fontes abertas (OSINT) pré-emprego com perguntas de entrevista cuidadosamente elaboradas. O operativo usou endereços IP vinculados à rede de anonimização Astrill VPN, uma ferramenta comumente associada a trabalhadores de TI da DPRK operando na China. O número de telefone fornecido foi rastreado como um número de Voice over Internet Protocol (VoIP), uma tática comum para combinar o código de área com a localização dos EUA alegada. Durante a entrevista virtual, o comportamento do suspeito levantou alarmes, como olhar frequentemente para fora da câmera e responder a perguntas deliberadamente falsas sobre um furacão que nunca aconteceu, sugerindo que ele estava aguardando que um chatbot de IA gerasse uma resposta.
Riscos para a segurança corporativa
O impacto desse tipo de fraude vai muito além de uma única candidatura de emprego falsa. Contratar alguém ligado a esse esquema pode expor uma empresa a roubo de dados, perda de propriedade intelectual, penalidades regulatórias e danos graves à reputação. Uma vez contratados, os operativos usam ferramentas de acesso remoto para controlar laptops da empresa do exterior enquanto parecem trabalhar localmente, tornando a detecção extremamente difícil para equipes de segurança de TI padrão. O dispositivo acabou em um armário junto com vários outros laptops emitidos pela empresa, todos controlados remotamente por dispositivos PiKVM e conectados via serviço de VPN mesh Tailscale.
Recomendações para RH e CISO
As organizações são fortemente recomendadas a implementar verificações de OSINT pré-emprego rigorosas para todos os candidatos remotos, verificar números de telefone e endereços IP durante o processo de aplicação e fazer perguntas direcionadas durante as entrevistas que não podem ser respondidas com respostas pré-escritas ou geradas por IA. É necessário exigir compartilhamento de tela ao vivo de trabalho anterior verificável e monitorar perfis profissionais recém-criados com poucas conexões. Empresas que não possuem capacidade interna para realizar essas verificações devem trabalhar com empresas de inteligência e investigações qualificadas experientes em identificar fraude de emprego e ameaças internas.
Conclusão e lições aprendidas
Este caso serve como um alerta crítico sobre a convergência entre engenharia social, fraude de identidade e inteligência artificial. A capacidade de um atacante de criar uma persona digital convincente usando IA e dados roubados exige que as empresas reavaliem seus processos de onboarding remoto. A implementação de verificações de segurança mais profundas e a conscientização sobre as táticas de trabalhadores de TI patrocinados pelo estado são essenciais para mitigar esses riscos emergentes.