Im September 2025 veröffentlichte Okta Threat Intelligence Forschungsergebnisse aus einer groß angelegten Analyse zu betrügerischen Beschäftigungsmaschen, die von IT-Arbeiter:innen (ITW) der Demokratischen Volksrepublik Korea (DVRK) durchgeführt wurden.
Im Rahmen dieser Studie wurden Daten von über 130 Akteur:innen zusammengetragen und über 6.500 Interviews mit 500 Unternehmen geführt.
In diesem Beitrag betrachten wir speziell die Aktivitäten zweier einzelner Personas. Wir haben diese beiden Beispiele aus einer umfangreichen Liste von Bedrohungsakteur:innen ausgewählt, die wir kontinuierlich beobachten, da sie die typischen Taktiken, Techniken und Prozeduren (TTPs) von DPRK-IT-Akteur:innen beispielhaft veranschaulichen. Darüber hinaus wiesen beide neuartige Indikatoren auf, die Teams in der IT-Sicherheit wertvolle Erkenntnisse zur Abwehr dieser Aktivitäten liefern.
Diese beiden Akteur:innen zeigen zwei interessante TTPs auf, die DPRK-Akteur:innen nutzen, um eine Anstellung zu erhalten: den Missbrauch legitimer LinkedIn-Profile, um Referenzprüfungen zu bestehen, und den Missbrauch gestohlener Identitäten.
#1 - Lernen Sie „JJ“ kennen
Den ersten der beiden Akteure, die wir näher beleuchten, bezeichnen wir als „JJ“. Dieser Akteur hat über zwei Jahre hinweg an zahlreichen Vorstellungsgesprächen für Positionen in verschiedenen Branchen teilgenommen, wobei Positionen in den Bereichen KI und Gesundheitswesen überrepräsentiert waren.
Der von dieser Akteur:in verwendete E-Mail-Account ähnelt in seiner Struktur dem anderer mit der DVRK verbundener Akteur:innen, da er einen kostenlosen Webmail-Dienst nutzt und der Account-Name Verweise auf Softwareentwicklung und andere zufällige alphanumerische Zeichen enthält. Recherchen im Bereich Open-Source Intelligence (OSINT) zu der von diesem:r Akteur:in verwendeten E-Mail-Adresse brachten eine Reihe von Accounts bei Online-Diensten zutage, die für ITW-Akteur:innen aus der DVRK sehr typisch sind. Alle diese Accounts werden ausschließlich für Jobbewerbungen und damit verbundene Aufgaben verwendet:
Jobbörsen und Recruiting-Plattformen
Bei Recruitern beliebte Terminplanungsplattformen
Dokumentation von Organisations-Workspaces mit KI-Unterstützung
Dynamische DNS-Dienste
Online-Programmierplattformen
Obwohl dies bei diesem spezifischen Akteur nicht beobachtet wurde, hat Okta Threat Intelligence auch OSINT-Techniken eingesetzt, um festzustellen, dass von nordkoreanischen Akteur:innen verwendete E-Mail-Adressen bei den folgenden Diensten registriert wurden:
Beschäftigungsplattformen für Freelancer:innen
Plattformen für die Erstellung und Veröffentlichung von Artikeln
Dokumentenerstellung und -verwaltung
Sprachlernplattformen
Online-Kommunikation
Soziale Plattformen für die Softwareentwicklung
Online-PDF-Plattformen
Plattformen für Programmiertests
Akteur:innen aus der DVRK nutzen diese Online-Accounts und gefälschten Lebensläufe, um effektiv eine künstliche „Persona“ zu erschaffen. Diese Personas tauchen „aus dem Nichts“ auf und übernehmen die Online-Präsenz, die für eine Fachkraft bei der Bewerbung auf Stellen erforderlich ist, jedoch ohne jeglichen Nachweis einer persönlichen Nutzung von Internetdiensten. Die ausschließliche Nutzung dieser spezifischen Dienste in Verbindung mit dem Fehlen jeglichen persönlichen Online-Fußabdrucks erzeugt ein Muster, das stark auf eine künstliche Persona hindeutet.
Weitere „verräterische Anzeichen“, die für diese Akteur:innen sehr typisch sind, lassen sich manchmal in den Dokumenteigenschaften der von ihnen bereitgestellten PDF-Lebensläufe feststellen. Okta Threat Intelligence kann Kund:innen weitere Details zu diesen Erkennungsmethoden bereitstellen – bitte wenden Sie sich an Ihren Account Manager, um mehr zu erfahren.
JJ werden
Während der zwei Jahre der beobachteten Aktivität erstellte unser Bedrohungsakteur JJ mehrere Personas und gab diese anschließend wieder auf.
Bis vor Kurzem sagte JJ Recruiter:innen, dass er kein LinkedIn-Profil habe. Okta Threat Intelligence beobachtet gelegentlich LinkedIn-Profile, die mit den von DPRK-ITW-Akteur:innen eingerichteten Persona-E-Mail-Adressen verknüpft sind. Der Mangel an Kontakten, Beiträgen, Empfehlungen, sonstigen Inhalten und Aktivitäten auf diesen Profilen kann genutzt werden, um mangelnde Authentizität zu erkennen. Oft stellen wir fest, dass ein von einem/einer DPRK-ITW-Akteur:in angegebenes LinkedIn-Profil dank der Erkennungs- und Durchsetzungsmaßnahmen des LinkedIn-Security-Teams deaktiviert wurde.
Im September 2025 wurde JJ erstmals dabei beobachtet, Recruiter:innen ein aktives LinkedIn-Profil zur Verfügung zu stellen. Das LinkedIn-Profil stimmte mit dem unechten Namen überein, den sie zu diesem Zeitpunkt für Stellenbewerbungen verwendeten, und enthält kein Profilbild. Auf den ersten Blick wirkte das LinkedIn-Profil robust und realistisch, im Gegensatz zu den meisten LinkedIn-Profilen, die für Betrug durch IT-Fachkräfte aus der DVRK erstellt wurden. Zum Beispiel hatte das Profil:
Fast 200 Verbindungen
Links zu einem GitHub-Account mit realistischen Inhalten (ein Beispiel für einen unrealistischen GitHub-Account finden Sie weiter unten im Bericht)
Mehrere „Kenntnisse“ aufgeführt, von denen viele durch mehrere Dritte bestätigt wurden. Die bestätigenden LinkedIn-Accounts schienen authentisch zu sein.
Abbildung 1. JJs beanspruchtes LinkedIn-Profil
Ein erfreulicher Fehlalarm
Unsere Untersuchung hat ergeben, dass die im LinkedIn-Profil dargestellte Person bis vor Kurzem tatsächlich ein:e Mitarbeiter:in der aufgeführten Organisation war.
Nach unserer Einschätzung hat der:die Angreifer:in schlichtweg ein echtes LinkedIn-Profil als das eigene ausgegeben und den Namen der betrügerischen Identität an den eines echten Menschen angepasst, um den Beschäftigungskriterien zu entsprechen. Unser Vertrauen in diese Einschätzung basierte auch auf der Tatsache, dass die E-Mail-Adresse des:der DRPK-Akteur:in nicht die E-Mail-Adresse war, die für das legitime LinkedIn-Profil verwendet wurde. Es war eine Form des „gestohlenen Ruhms“, die ihre Beschäftigungschancen erhöhen sollte.
Eine Herausforderung für die Verifizierung
Diese Methode – die Erstellung einer Persona auf Basis einer echten Identität – unterstreicht die Notwendigkeit einer starken Identitätsprüfung vor jeglicher Form der Beschäftigung. Arbeitgeber:innen sollten sich nicht auf ein LinkedIn-Profil als Grundlage für die Ermittlung des beruflichen Werdegangs verlassen. Verifizierungsanfragen an aktuelle oder frühere Arbeitgeber, bei denen lediglich gefragt wird, ob eine Person mit diesem Namen in den auf LinkedIn angegebenen Zeiträumen in der jeweiligen Position beschäftigt war, werden den Betrug nicht aufdecken. Für eine:n Angreifer:in ist es ein Leichtes, diese Technik anzuwenden oder Lebensläufe direkt aus einem übernommenen LinkedIn-Profil mithilfe eines Online-Lebenslauf-Generators oder eines KI-gestützten Systems zu erstellen, das ein öffentliches Profil als Eingabe verarbeitet. Der:die Akteur:in erstellt einfach eine geänderte E-Mail-Adresse und Telefonnummer und macht die Aufgabe für eine:n HR-Prüfer:in deutlich anspruchsvoller.
Potenzielle Arbeitgeber:innen sollten Verfahren zur Identitätsüberprüfung wie die Überprüfung mobiler Führerscheine integrieren. Wenn Wissensfaktoren herangezogen werden, sollten Prüfer:innen ihre Bewertungen ausschließlich auf eindeutig nicht-öffentliche Informationen stützen, wie etwa eine teilweise geschwärzte nationale Identifikationsnummer oder den Namen des letzten Managers in dieser Position. Arbeitgeber:innen können sich für eine zuverlässige Verifizierung nicht auf das Geburtsdatum verlassen, da diese Informationen in öffentlichen Daten und Personensuchdiensten leicht verfügbar sind.
#2 „EM“ wird eingestellt
Wir werden unseren zweiten Akteur als „EM“ bezeichnen. Die Aktivitäten von EM im Bereich Beschäftigungsbetrug reichen über ein Jahr zurück, mit wiederum Hunderten von Vorstellungsgesprächen in allen Branchen, wobei jedoch KI-bezogene Positionen und Organisationen stark bevorzugt werden. Okta Threat Intelligence hat zudem beobachtet, dass EM Vorstellungsgespräche bei sensiblen Organisationen der kritischen nationalen Infrastruktur (CNI) führte, wie etwa in der zivilen Luftfahrt, bei Kommunikationsanbietern, Internetdienstanbietern, einem Unternehmen für Wahltechnologie sowie bei Auftragnehmern aus den Bereichen Geheimdienst und Verteidigung.
EM hat eine statistisch hohe Wahrscheinlichkeit, in Erstgesprächen erfolgreich zu sein und von einzelnen Organisationen zu mehreren Interviewrunden eingeladen zu werden, und wurde wahrscheinlich von mehreren Organisationen für Positionen in der Softwareentwicklung eingestellt.
Wir haben uns vorgenommen, einige der Geheimnisse hinter dem Erfolg von EM aufzudecken.
Die von EM verwendete, übernommene Persona scheint auf Basis eines Online-Fotos einer realen Person erstellt worden zu sein, die leider auch online genügend Informationen preisgab, um es der DVRK (und potenziell anderen) zu ermöglichen, ihre Identität zu übernehmen.
Das wahre EM und ein Identitätsproblem
Auf die Frage nach der Arbeitsberechtigung behauptet EM, US-Bürger:in zu sein, und legt sehr realistische Ausweisdokumente vor. Recherchen zu dem von diesem Akteur verwendeten Namen ergeben, dass es nur eine reale Person mit diesem eindeutigen Namen gibt. Wir haben Fotos einer Person gefunden, die ein Ausweisdokument hochhält, das fast identisch mit dem Dokument ist, das unser Akteur als sein eigenes präsentiert, jedoch mit einem anderen Foto und einer anderen Unterschrift.
Abbildung 2. Eine geleakte Identität auf Facebook, geschwärzt
Der DPRK EM
Die von EM angegebene Wohn- und Beschäftigungshistorie unterscheidet sich erheblich von der der tatsächlichen Person, deren Identität angenommen wurde. Okta Threat Intelligence hat festgestellt, dass EM zwei verschiedene Kontakttelefonnummern anbietet. Beides sind VoIP-Telefone – allgegenwärtig bei Akteur:innen aus der DVRK –, und eines weist einen Standort laut Anruferkennung auf, der der angegebenen Biografie widerspricht. Das in dem Lebenslauf angegebene LinkedIn-Profil wurde inzwischen vom Team bei LinkedIn entfernt.
lookup cname = SEATTLE WA lookup cname = WESTPORT WA
DPRK-ITW-Akteur:innen erstellen oft beeindruckend aussehende GitHub-Accounts, um ihre technische Fachkompetenz für Vorstellungsgespräche zu untermauern. EM bildet hierbei keine Ausnahme.
Abbildung 3. Ein beeindruckender GitHub-Account
Ein von EM verwendeter GitHub-Account weist Tausende von Beiträgen auf, die angeblich bis ins Jahr 2011 zurückreichen.
Abbildung 4. GitHub-Heatmap, die alte Commits falsch darstellt
Abbildung 5. Der früheste auf GitHub angezeigte Commit
Es scheint jedoch, dass EM die meisten Commit-Daten gefälscht hat.
Das tatsächliche früheste Beitragsdatum von EM in diesem Account kann über die GitHub-API ermittelt werden (siehe Antwort auf die Anfrage unten), die als Datum Dezember 2024 und nicht 2011 zurückgibt.
➜ ~ curl -s https://api.github.com/repos/em███████/D██████-W██████ | jq -r '.created_at'
2024-12-14T██:██:00Z
Dieser Akteur änderte einfach das Jahr des unsignierten Commit-Datums von 2024 auf 2011.
Die vielen (KI-)Gesichter von EM
Das Erscheinungsbild von EM, wie es in verschiedenen Online-Profilen dargestellt wird, ist inkonsistent. Keines von ihnen weist auch nur die geringste Ähnlichkeit mit dem Bild auf, das in EMs gefälschten Ausweisdokumenten verwendet wurde.
Abbildungen 6, 7. KI-generierte Profilbilder
Für das menschliche Auge wirken sie wie wahrscheinliche KI-Kreationen, und mehrere Online-Tools zur KI-Erkennung liefern Einschätzungen mit gemischter bis hoher Sicherheit bei der Prüfung, ob die Profilbilder KI-generiert wurden.
Abbildung 8. Online-KI-Checker (Quelle: writehuman.ai)
Ein drittes Profilbild, das wahrscheinlich von einem inzwischen gelöschten LinkedIn-Account stammt, weist nicht die erforderliche Auflösung auf, um genau bestimmen zu können, ob es KI-generiert ist. Es ist wiederum eindeutig nicht dasselbe wie die gefälschte Identität oder andere KI-generierte Bilder, die von dem Akteur verwendet wurden.
Abbildung 9. Ein weiteres Auftreten von EM
Der andere DPRK-EM?
Im Rahmen unserer Recherchen untersuchte Okta Threat Intelligence zwei weitere berufliche Profile mit einer deutlich abweichenden Biografie und einem Profilbild, das von Tools als wahrscheinlich nicht KI-generiert eingestuft wurde.
Abbildung 10. Ein weiteres DPRK-Profil für EM
Abbildung 11. Ein drittes DPRK-Profil für EM
Wie die folgende Tabelle zeigt, zeichnen die beiden Profile ein völlig unterschiedliches Bild. Dies könnte ein:e andere:r DPRK-ITW-Akteur:in mit derselben Identität sein oder eine frühere Version der fiktiven Biografie von EM.
|
Original-EM-Biografie |
Zweite EM-Biografie |
|
|---|---|---|
Aktueller Standort |
Seattle |
Miami |
Bildungswesen |
Abschluss an einer Universität in Japan |
Abschluss an der University of Florida |
Frühere Rollen |
|
|
Aktueller Standort
Seattle
Bildungswesen
Abschluss an einer Universität in Japan
Frühere Rollen
- Mehrere Tech-Positionen in Seattle, derzeit selbstständig
- Eine Position bei einem in Boston ansässigen Wettunternehmen
- Eine Position bei einem in New York ansässigen Finanzinstitut
- Frühere Positionen in Spanien und Japan
Aktueller Standort
Miami
Bildungswesen
Abschluss an der University of Florida
Frühere Rollen
- Softwareentwickler:in für ein Softwareentwicklungsunternehmen
- Entwickler:in für ein großes Beratungsunternehmen
- Software Engineer für ein anderes Beratungsunternehmen
Ihr:e neue:r (DPRK) Mitarbeiter:in
Während unserer Recherchen beurteilen wir oft, ob ein:e DPRK-ITW-Akteur:in erfolgreich für eine Position eingestellt wurde. In diesem Fall können wir mit hoher Sicherheit sagen, dass EM eingestellt wurde: dank eines LinkedIn-Beitrags des neuen Arbeitgebers, der seine:n neueste:n Mitarbeiter:in willkommen heißt.
Abbildung 12. Begrüßung eines neuen (DPRK) Mitarbeiters
Das in diesem Beitrag verwendete Foto ist noch offensichtlicher KI-generiert als jedes der anderen Fotos, die wir analysiert haben.
Es wurden Maßnahmen ergriffen, um diese Organisation zu kontaktieren und sie über unsere Beobachtungen zu informieren.
Fazit
Genau wie bei echten arbeitssuchenden Bewerber:innen führt die überwiegende Mehrheit der Vorstellungsgespräche mit DPRK-Vermittler:innen und -Agenten nicht zu einem zweiten Vorstellungsgespräch oder einem Stellenangebot.
Einige Akteur:innen scheinen jedoch kompetenter darin zu sein, Personas zu erstellen und Auswahlgespräche zu bestehen. Ihre Fähigkeiten beschränken sich nicht nur darauf, einen potenziellen Arbeitgeber zu beeindrucken, sondern erstrecken sich auch auf die Werkzeuge und Techniken, die ITW-Akteur:innen aus der DVRK einsetzen, um ihre tatsächliche Herkunft zu verschleiern.
Angesichts der großen Menge an durchgeführten Bewerbungen und Vorstellungsgesprächen lernen die verschiedenen Akteur:innen im IT-Worker-Programm offensichtlich „aus ihren Fehlern“ – in vielen Fällen kopieren sie Ansätze (Struktur und Elemente des Lebenslaufs, Aufbau des LinkedIn-Profils und Technologien zur Unterstützung bei Vorstellungsgesprächen), die erfolgreich dazu beigetragen haben, eine Bewerbung gegenüber einer anderen voranzubringen. Es ist eine Art natürliche Auslese unter IT-Mitarbeiter:innen im Gange. Die erfolgreichsten Akteur:innen sind sehr produktiv und haben jeweils Hunderte von Interviews geplant. Wir halten es für wahrscheinlich, dass sie oft als „Interview-Broker“ fungieren, um Anstellungen zu erhalten, die dann an andere DPRK-ITW-Akteure übergeben werden.
Das Risiko durch externe Auftragnehmer:innen
Unsere Untersuchungen haben ergeben, dass eine große Anzahl von IT-Fachkräften aus der DVRK befristete Vertragsarbeit als Softwareentwickler:innen sucht, die an Drittorganisationen vermittelt werden. Wir gehen davon aus, dass diese Unternehmen bei diesen kurzfristig für bestimmte Aufgaben eingesetzten Mitarbeiter:innen möglicherweise seltener strenge Hintergrundüberprüfungen durchführen, als dies die Unternehmen, für die sie tätig sind, bei direkt angestellten Mitarbeiter:innen tun würden.
Dies verdeutlicht, wie wichtig es ist, solche Überprüfungen nicht nur bei direkt angestellten Mitarbeiter:innen durchzuführen, sondern auch bei allen Personen, die über externe Dienstleister Zugriff auf die Ressourcen des Unternehmens erhalten.
Hintergrundüberprüfungen dürfen niemals optional sein
In diesem Bericht haben wir ein Beispiel für die gezielte Aneignung der Identität einer echten Person zusammen mit ihrem beruflichen Werdegang hervorgehoben. Strenge Hintergrundüberprüfungen und die Überprüfung von Beschäftigungsverhältnissen werden erforderlich sein, um diese Identitätstäuschung aufzudecken. Wir haben jedoch auch die Einstellung eines Akteurs beobachtet, dessen gefälschte Identität nicht einmal einer oberflächlichen Suchmaschinenrecherche standgehalten hätte.
Organisationen, die unwissentlich eine:n DPRK-Akteur:in einstellen, riskieren eine potenzielle De-facto-Verletzung von Sanktionsverpflichtungen und damit verbundene rechtliche Konsequenzen. Jede:r kompromittierte Mitarbeiter:in kann der DPRK zudem Folgendes verschaffen:
Direkter finanzieller Gewinn (an das Regime umgeleitete Gehaltszahlungen)
Privilegierter interner Zugriff auf sensible Systeme, Daten und Netzwerke
Operativer Vorteil für Ransomware, Erpressung oder nachfolgende Cyberaktivitäten
Verlust kommerziell sensibler Unternehmensgeheimnisse
Strategische Informationsbeschaffung und Zugang zur Unterstützung zukünftiger offensiver Operationen
Organisationen sollten daher eine mehrschichtige Verteidigung einführen, die eine strenge Identitätsprüfung bei der Einstellung, eine kontinuierliche Überwachung der Zugriffs- und Verhaltensmuster von Remote-Mitarbeiter:innen sowie einen klaren Incident-Response-Plan zur Bewältigung von Insider- oder Lieferkettenbedrohungen umfasst. Bei der Besetzung von Positionen mit besonderen Vertrauens- und Zugriffsrechten sind die persönliche Verifizierung von Identität und Dokumenten sowie die Abholung/Provisionierung von Geräten und Zugriffstoken mit relativ geringen Kosten verbunden, angesichts des Risikos, das das Unternehmen eingeht. Der Zugriff für Remote-Mitarbeiter:innen und insbesondere für externe Auftragnehmer:innen sollte strikt auf das für die Ausführung ihrer Rolle erforderliche Minimum beschränkt werden.
Maßnahmen zur Abwehr dieser Bedrohung
Nach Einschätzung von Okta Threat Intelligence sollten Unternehmen aller Branchen – insbesondere solche, die Remote- oder Vertragsstellen ausschreiben – einen mehrschichtigen und proaktiven Ansatz für die Personalbeschaffung, das Onboarding und die Überwachung von Insider-Bedrohungen verfolgen. Okta empfiehlt Organisationen:
1. Stärkung der Identitätsüberprüfung von Bewerber:innen
Überprüfbare Kontrollen amtlicher Ausweise in mehreren Phasen der Einstellung und Beschäftigung vorschreiben
Gleichen Sie die angegebenen Standorte mit IP-Adressen (einschließlich der Erkennung von VPN-Nutzung), dem Zeitzonenverhalten, den Bankdaten für die Gehaltsabrechnung und den angegebenen Lieferadressen für den Hardwareversand ab.
Nutzen Sie akkreditierte Dienste von Drittanbietern, um Identitätsdokumente, frühere Beschäftigungsverhältnisse und akademische Nachweise zu authentifizieren
2. Verschärfung der Einstellungs- & Überprüfungsprozesse
Schulen Sie HR und Recruiter:innen darin, Warnsignale zu erkennen. Fördern Sie Prozesse, die erkennen, ob ein:e Kandidat:in zwischen den Interviewrunden ausgetauscht wird. Schulen Sie sie darin, Verhaltensmerkmale zu erkennen, wie etwa mangelnde Kenntnisse über die Gegend, in der sie angeblich wohnen, die Weigerung, sich persönlich zu treffen, die Weigerung, während des Vorstellungsgesprächs die Kamera einzuschalten oder Hintergrundfilter zu entfernen, oder die Teilnahme an Vorstellungsgesprächen mit einer sehr schlechten Internetverbindung. Identifizieren Sie doppelte Lebensläufe, inkonsistente zeitliche Abläufe, abweichende Zeitzonen und nicht verifizierbare Referenzen. Bewerten Sie den digitalen Fußabdruck und die Social-Media-Präsenz des:der Kandidat:in anhand der bereitgestellten Informationen. Wenn Nachweise über frühere Arbeiten vorgelegt werden, untersuchen Sie, ob diese Projekte einfach aus den Repositories legitimer Benutzerprofile geklont wurden.
Überprüfen Sie den Änderungsverlauf von Lebensläufen und PDFs in den Dokumenten-Metadaten sowie andere technische „Hinweise“, die mit Duplizierung und Wiederverwendung in Verbindung stehen.
Fügen Sie eine strukturierte technische und verhaltensbezogene Überprüfung hinzu (Live-Coding oder Schreiben unter Beobachtung durch Recruiter:innen).
Fordern Sie geschäftliche E-Mail-Referenzen (keine kostenlosen Webmail-Dienste) an und bestätigen Sie diese durch einen ausgehenden Anruf bei den Haupttelefonnummern der Referenzorganisation. Stellen Sie sicher, dass diese Referenzen Elemente enthalten, die nicht beispielsweise aus öffentlichen LinkedIn-Profilen ersichtlich sind, wie etwa der Name der letzten Führungskraft.
3. Rollenbasierte und getrennte Zugriffskontrollen durchsetzen
Weisen Sie neuen oder externen Mitarbeiter:innen standardmäßig Least-Privilege-Profile zu und schalten Sie zusätzlichen Zugriff frei, sobald die Probezeitprüfungen abgeschlossen sind.
Segmentieren Sie Entwicklung, Test und Produktion; schreiben Sie Peer-Review- und Genehmigungs-Workflows für Code-Merges und Deployments vor.
Achten Sie auf anomale Zugriffsmuster (umfangreiche Datenabrufe, Logins außerhalb der Geschäftszeiten aus unerwarteten Regionen/VPNs, Teilen von Anmeldeinformationen).
Setzen Sie Zugriffszertifizierungskampagnen ein, um den fortlaufenden Zugriff zu steuern.
4. Auftragnehmer:innen und externe Dienstleister:innen überwachen
Schreiben Sie, soweit möglich, fortlaufende Standards zur Identitätsüberprüfung, Hintergrundüberprüfungen, Richtlinien für starke Authentifizierung, Sicherheits-Baselines für Geräte und Rechte auf ein Audit vertraglich vor.
Fordern Sie personengebundene Benutzer-Accounts (nach Möglichkeit keine geteilten Logins oder internen Service-Accounts) und einen separaten Tenant-/Projektzugriff für jede Client-Umgebung.
5. Implementieren Sie Programme zu Insider-Bedrohungen und Sicherheitsbewusstsein
Richten Sie eine dedizierte Funktion für Insider-Risiken oder zumindest eine Arbeitsgruppe aus HR, Recht, Sicherheit und IT ein.
Bieten Sie gezielte Schulungen für Recruiter:innen, Personalverantwortliche und technische Leiter:innen zu ITW-Methoden und Screening-Kontrollen an.
Schulen und befähigen Sie Personalverantwortliche und Mitarbeiter:innen, potenziell auffälliges Verhalten ihrer Kolleg:innen zu beobachten und zu melden, das Fragen hinsichtlich deren Identität, Zielen und Standorten aufwirft.
Richten Sie sicherere Meldekanäle für verdächtiges Verhalten oder Bedenken von Kandidat:innen ein.
6. Abstimmung mit Strafverfolgungsbehörden und Branchenkolleg:innen
Teilen Sie Kompromittierungsindikatoren und verdächtige Kandidatenmuster mit nationalen Cybercrime-Einheiten und ISAC/ISAO-Gruppen.
Entwickeln Sie Methoden, damit die „Insider-Risiko“-Gruppe Indikatoren (E-Mail-Adressen, IP-Adressen, VPN-Anbieter, Dokumentenerstellung und Verhaltensindikatoren) empfangen und darauf reagieren kann sowie darauf vorbereitet ist, relevante Erkenntnisse „zurückzumelden“.
Beteiligen Sie sich aktiv an Foren zum Informationsaustausch, um sich entwickelnde ITW-Taktiken und -Tools zu verfolgen.
7. Regelmäßige Durchführung von Risikobewertungen und Red-Team-Übungen
Modellieren Sie Angriffspfade von Insider:innen und böswilligen Auftragnehmer:innen; quantifizieren Sie die potenziellen geschäftlichen Auswirkungen.
Führen Sie Red-Team-Übungen durch, die die Einstellungs-Pipeline (simulierte DPRK-Bewerbung und -Interviews) testen, um die Prozesse zur Identitätsüberprüfung zu bewerten.
Aktualisieren Sie Incident-Response-Pläne, um Szenarien mit böswilligen Insider:innen, kompromittierten Auftragnehmer:innen und dem beschleunigten Entzug von Zugriffsrechten zu berücksichtigen.
Okta Threat Intelligence bedankt sich für die Unterstützung von Epieos bei der Recherche für diesen Beitrag.
