Em setembro de 2025, a Okta Threat Intelligence publicou uma pesquisa resultante de uma análise em larga escala sobre esquemas fraudulentos de emprego conduzidos por trabalhadores de TI (ITW) da República Popular Democrática da Coreia (RPDC).
Essa pesquisa compilou dados de mais de 130 participantes, realizando mais de 6.500 entrevistas com 500 empresas.
Neste publicar, analisaremos especificamente as atividades de duas personas individuais. Selecionamos esses dois exemplos de uma longa lista de atores que continuamos a rastrear porque exemplificam as ferramentas, técnicas e procedimentos (TTPs) típicos empregados pelos atores da ITW da RPDC. Além disso, cada um apresentou novas características observáveis que podem fornecer mais informações aos defensores contra esses esforços.
Esses dois agentes revelam duas táticas, técnicas e procedimentos (TTPs) interessantes que os agentes da Coreia do Norte usam para conseguir emprego: o abuso de perfis legítimos do LinkedIn para passar por verificações de referências e o abuso de identidades roubadas.
#1 - Conheça “JJ”
O primeiro dos dois atores que detalharemos será chamado de “JJ”. Este ator participou de inúmeras entrevistas para papéis em diversas áreas ao longo de dois anos, com uma predominância de papéis em IA e saúde.
A conta de e-mail usada por esse ator é semelhante em estrutura a outras contas de atores ligados à Coreia do Norte, pois utiliza um serviço de webmail gratuito e o nome da conta incorpora referências ao desenvolvimento de software e outros caracteres alfanuméricos aleatórios. A pesquisa de inteligência de fontes abertas (OSINT) realizada sobre o endereço de e-mail usado por esse ator revelou uma série de contas de serviços online muito típicas de atores da ITW da RPDC. Todas essas contas são usadas exclusivamente para candidaturas a vagas de emprego e tarefas relacionadas:
Plataformas de emprego e recrutamento
Plataformas de agendamento populares entre recrutadores
Espaços de trabalho para organização de documentos com auxílio de IA
Serviços de DNS dinâmico
Plataformas de programação online
Embora não tenha sido observado com esse agente específico, o Okta Threat Intelligence também utilizou técnicas de OSINT para observar endereços de e-mail usados por agentes da Coreia do Norte sendo registrados nos seguintes serviços:
Plataformas de trabalho para freelancers
Plataformas de autoria e publicação de artigos
Criação e gestão de documentos
Plataformas de aprendizagem de idiomas
Comunicações online
Plataformas sociais de desenvolvimento de software
Plataformas de PDF online
Plataformas de avaliação de codificação
Atores da Coreia do Norte usam essas contas online e currículos falsificados para criar, de forma eficaz, uma “persona” artificial. Essas personas surgem "do nada", herdando a presença online exigida de um profissional que se candidata a vagas, mas sem qualquer evidência de uso pessoal de serviços de internet. O uso exclusivo desses serviços específicos, aliado à ausência de qualquer presença online pessoal, cria um padrão altamente indicativo de uma persona artificial.
Outros indícios muito comuns a esses agentes podem, por vezes, ser observados nas propriedades dos documentos dos currículos em PDF que eles fornecem. A Okta Threat Intelligence pode fornecer aos clientes mais detalhes sobre esses métodos de detecção. Entre em contato com seu Account Manager para obter mais informações.
Tornando-se JJ
Durante os dois anos de atividade observada, nosso agente de ameaça, JJ, criou e posteriormente abandonou diversas personas.
Até recentemente, JJ dizia aos recrutadores que não tinha um perfil no LinkedIn. A Okta Threat Intelligence ocasionalmente observa perfis do LinkedIn associados a endereços de e-mail falsos criados por agentes da ITW da Coreia do Norte. A escassez de conexões, publicar, recomendações, outros conteúdos e atividades nesses perfis pode ser usada para identificar uma falta de autenticidade. Frequentemente descobrimos que um perfil do LinkedIn listado por um agente da ITW da Coreia do Norte foi desativado graças aos esforços de detecção e aplicação de medidas da equipe de segurança do LinkedIn.
Em setembro de 2025, observou-se que JJ forneceu aos recrutadores, pela primeira vez, um perfil ativo no LinkedIn. O perfil do LinkedIn correspondia ao nome falso que a pessoa usava para se candidatar a vagas na época e não tinha foto de perfil. À primeira vista, o perfil do LinkedIn parecia robusto e realista, ao contrário da maioria dos perfis criados para fraudes de trabalhadores de TI da Coreia do Norte. Por exemplo, o perfil continha:
Quase 200 conexões
Links para uma conta do GitHub com conteúdo realista (veja mais adiante no relatório um exemplo de uma conta do GitHub com conteúdo irrealista)
Diversas “habilidades” foram listadas, muitas das quais foram endossadas por vários terceiros. As contas do LinkedIn que as endossavam pareciam ser autênticas.
Figura 1. Perfil do LinkedIn reivindicado de JJ
Um falso positivo feliz
Nossa investigação determinou que a pessoa representada no perfil do LinkedIn era, até recentemente, um funcionário genuíno da organização listada.
Nossa avaliação é que o agente simplesmente se apropriou indevidamente de um perfil genuíno do LinkedIn, alterando o nome de sua persona fraudulenta para que se adequasse ao de uma pessoa real e, assim, atendesse aos critérios de emprego. Nossa confiança nessa avaliação também se baseou no fato de que o endereço de e-mail do ator do caso DRPK não era o mesmo usado no perfil legítimo do LinkedIn. Tratava-se de uma forma de “valor roubado” destinada a aumentar suas chances de emprego.
Um desafio para a verificação
Essa técnica — criar uma persona baseada em uma identidade real — reforça a necessidade de uma verificação de identidade rigorosa antes de qualquer tipo de emprego. Os empregadores não devem se basear em um perfil do LinkedIn para determinar o histórico profissional. Solicitações de verificação a empregadores atuais ou recentes, perguntando apenas se uma pessoa com esse nome ocupou o cargo nos períodos listados no LinkedIn, não revelarão a fraude. Para um agente de ameaça, é trivial empregar essa técnica ou gerar currículos diretamente a partir de um perfil do LinkedIn cooptado, usando um gerador de currículos online ou um sistema com IA que utiliza um perfil público como entrada. O ator simplesmente cria um endereço de e-mail e um número de telefone alterados, tornando a tarefa de um profissional de RH muito mais difícil.
Os potenciais empregadores devem incorporar técnicas de verificação de identidade, como a verificação da carteira de habilitação por dispositivos móveis. Caso dependam de fatores de conhecimento, os verificadores devem basear suas avaliações apenas em informações definitivamente não públicas, como o número de identificação nacional parcialmente ocultado ou o nome do último gerente que ocupou o cargo. Os empregadores não podem confiar na data de nascimento para uma verificação confiável, pois essa informação está facilmente disponível em bancos de dados públicos e serviços de busca de pessoas.
#2 “EM” é contratado
Nós nos referiremos ao nosso segundo ator como “EM”. As atividades de fraude de emprego da EM remontam a mais de um ano, novamente com centenas de entrevistas em todos os setores, mas favorecendo muito mais funções e organizações relacionadas à IA. A Okta Threat Intelligence também observou a EM realizando entrevistas com organizações sensíveis de infraestrutura nacional crítica (CNI), como aviação comercial, provedores de comunicação, provedores de serviços de internet, uma empresa de tecnologia de votação e prestadores de serviços de inteligência e defesa.
EM apresenta uma alta incidência estatística de sucesso em primeiras entrevistas e de ser convidado para múltiplas rodadas de entrevistas em diferentes organizações, sendo provável que tenha sido contratado por diversas empresas para cargos de desenvolvimento de software.
Partimos em busca de alguns dos segredos do sucesso da EM.
A identidade falsa usada por EM parece ter sido criada com base em uma fotografia online de uma pessoa legítima que, infelizmente, também divulgou informações suficientes online para permitir que a Coreia do Norte (e potencialmente outros) se apropriassem de sua identidade.
O verdadeiro EM e um problema de identidade
Quando questionada sobre sua elegibilidade para emprego, EM afirma ser cidadã americana e apresenta documentos de identidade muito convincentes. Pesquisas sobre o nome usado por esse ator revelaram que existe apenas uma pessoa real com esse nome específico. Encontramos fotos de uma pessoa segurando um documento de identidade quase idêntico ao documento que nosso ator apresenta como sendo seu, com uma fotografia e assinatura diferentes.
Figura 2. Identidade vazada no Facebook, com informações ocultadas
A RPDC EM
O histórico residencial e profissional declarado por EM difere significativamente do da pessoa real cuja identidade foi assumida. A Okta Threat Intelligence observou que a EM estava oferecendo dois números de telefone de contato diferentes. Ambos são telefones VoIP — onipresentes entre os agentes da Coreia do Norte — e um deles possui uma localização de identificador de chamadas que contradiz a biografia declarada. O perfil do LinkedIn listado em seu currículo foi posteriormente removido pela equipe do LinkedIn.
pesquisa cname = SEATTLE WA pesquisa cname = WESTPORT WA
Os agentes de ITW da Coreia do Norte frequentemente criam contas impressionantes no GitHub para reforçar sua proficiência técnica em entrevistas de emprego. A EM não é exceção a isso.
Figura 3. Uma conta impressionante no GitHub
Uma conta do GitHub usada por EM possui milhares de contribuições, aparentemente datando de 2011.
Figura 4. Mapa de calor do GitHub, representando erroneamente commits antigos
Figura 5. O commit mais antigo apresentado no GitHub
No entanto, parece que EM falsificou a maioria das datas de commit.
A data da primeira contribuição de EM nesta conta pode ser determinada usando a API do GitHub (veja a resposta da solicitação abaixo), que retorna a data de dezembro de 2024, e não de 2011.
➜ ~ curl -s https://api.github.com/repos/em███████/D██████-W██████ | jq -r '.created_at'
2024-12-14T██:██:00Z
Esse ator simplesmente mudou o ano da data do seu commit não assinado de 2024 para 2011.
As muitas faces (da IA) da EM
O rosto de EM, conforme apresentado em diversos perfis online, é inconsistente. Nenhum deles se assemelha em nada à imagem usada nos documentos de identidade falsificados de EM.
Figuras 6,7. Fotos de perfil geradas por IA
Aos olhos humanos, elas parecem ser prováveis criações de IA, e diversas ferramentas online de detecção de IA oferecem avaliações de confiança mista a alta quando questionadas se as fotos de perfil foram geradas por IA.
Figura 8. Verificador de IA online (fonte: writehuman.ai)
Uma terceira foto de perfil, provavelmente proveniente de uma conta do LinkedIn agora excluída, não possui a resolução necessária para determinar com precisão se foi gerada por IA. Novamente, fica claro que não se trata da mesma coisa que a identidade falsificada ou outras imagens geradas por IA usadas pelo agente.
Figura 9. Mais uma aparição de EM
O outro EM da Coreia do Norte?
Durante nossa pesquisa, a Okta Threat Intelligence avaliou dois perfis profissionais adicionais com biografias e fotos de perfil nitidamente diferentes, que as ferramentas identificaram como provavelmente não gerados por IA.
Figura 10. Outro perfil da Coreia do Norte para EM
Figura 11. Um terceiro perfil da Coreia do Norte para EM
Como mostra a tabela abaixo, os dois perfis apresentam uma história muito diferente. Pode ser um ator diferente da ITW da Coreia do Norte usando a mesma identidade, ou uma versão anterior da biografia fictícia de EM.
|
Biografia original de EM |
Segunda biografia de EM |
|
|---|---|---|
Localização atual |
Seattle |
Miami |
Educação |
Diploma de uma universidade no Japão |
Diploma da Universidade da Flórida |
Funções anteriores |
|
|
Localização atual
Seattle
Educação
Diploma de uma universidade no Japão
Funções anteriores
- Várias funções na área de tecnologia em Seattle, atualmente autônomo
- Uma vaga em uma empresa de apostas com sede em Boston
- Uma vaga em uma instituição financeira com sede em Nova York
- Cargos anteriores na Espanha e no Japão
Localização atual
Miami
Educação
Diploma da Universidade da Flórida
Funções anteriores
- Engenheiro de software para uma empresa de desenvolvimento de software
- Developer para uma grande consultoria
- Engenheiro de software para outra consultoria
Seu novo contratado (RPDC)
Durante nossa pesquisa, frequentemente avaliamos se um ator da RPDC (República Democrática da Coreia do Norte) da ITW (Agência de Trabalho de Interesse Público) foi contratado com sucesso para um papel. Neste caso, podemos afirmar com grande segurança que EM foi contratado: graças a um publicar no LinkedIn de seu novo empregador, dando as boas-vindas ao seu mais novo funcionário.
Figura 12. Damos as boas-vindas a um novo contratado (RPDC)
A foto usada nesta publicação é ainda mais obviamente gerada por IA do que qualquer outra fotografia que analisamos.
Já foram tomadas medidas para contatar essa organização e informá-la sobre nossas observações.
Conclusão
Assim como ocorre com candidatos genuínos em busca de emprego, a grande maioria das entrevistas com facilitadores e agentes da Coreia do Norte não progride para uma segunda entrevista ou oferta de emprego.
Alguns atores, no entanto, parecem ser mais competentes na criação de personas e em passar por entrevistas de seleção. Sua habilidade não se limita à capacidade de impressionar um potencial empregador, mas também às ferramentas e técnicas que os agentes da ITW da Coreia do Norte usam para tentar ocultar suas verdadeiras origens.
Considerando a enorme quantidade de candidaturas a emprego e entrevistas realizadas, os vários operadores do programa IT Worker estão claramente “aprendendo com seus erros” — em muitos casos duplicando abordagens (estrutura e elementos do currículo, construção de perfil no LinkedIn e tecnologias de suporte à entrevista) que tiveram sucesso em fazer com que uma candidatura fosse priorizada em detrimento de outra. Está em curso uma espécie de seleção natural de trabalhadores de TI. Os atores de maior sucesso são muito prolíficos e agendaram centenas de entrevistas cada um. Consideramos provável que eles frequentemente atuem como “intermediários de entrevistas” para conseguir vagas de emprego que são posteriormente repassadas a outros atores de ITW da RPDC.
O risco de prestadores de serviços terceirizados
Nossa pesquisa revelou que um grande número de trabalhadores de TI da Coreia do Norte busca trabalho temporário por contrato como Developers de software contratados por organizações terceirizadas. Avaliamos que essas empresas são potencialmente menos propensas a realizar verificações de antecedentes rigorosas nesses funcionários temporários com tarefas específicas do que as empresas para as quais elas prestam serviços fariam para funcionários contratados diretamente.
Isso ressalta a importância de realizar essas verificações não apenas em funcionários contratados diretamente, mas também em todos os indivíduos que têm acesso aos recursos da empresa por meio de provedores de serviços terceirizados.
A verificação de antecedentes nunca pode ser opcional
Neste relatório, destacamos um exemplo de apropriação deliberada da identidade de uma pessoa real, juntamente com sua trajetória profissional. Será necessário realizar uma verificação rigorosa de antecedentes e de emprego para desmascarar essa falsificação de identidade. No entanto, também observamos a contratação de um ator cuja identidade artificial não resistiria nem mesmo a uma análise superficial em um mecanismo de busca.
Organizações que contratam, sem saber, um agente da Coreia do Norte correm o risco de uma potencial violação de fato das obrigações de sanções e da exposição jurídica associada. Cada funcionário com comprometimento também pode fornecer à Coreia do Norte:
Ganho financeiro direto (pagamentos salariais desviados para o regime)
Acesso interno privilegiado a sistemas, dados e redes sensíveis
Alavancagem operacional para ransomware, extorsão ou atividades cibernéticas subsequentes
Perda de segredos corporativos comercialmente sensíveis
Coleta e acesso a informações estratégicas para suporte a futuras operações ofensivas
Portanto, as organizações devem adotar uma defesa em camadas, incluindo verificação rigorosa de identidade durante o recrutamento, monitoramento contínuo do acesso e dos padrões de comportamento dos trabalhadores remotos e um plano claro de resposta a incidentes para gerenciar ameaças internas ou à cadeia de suprimentos. Ao contratar para cargos de alta confiança e acesso, a verificação presencial de identidade e documentos, bem como a coleta/fornecimento de equipamentos e tokens de acesso, representa um custo relativamente pequeno considerando o risco que a organização assume. O acesso para funcionários remotos e, principalmente, para prestadores de serviços terceirizados deve ser estritamente limitado ao mínimo necessário para o desempenho de suas funções.
Medidas a serem tomadas para combater essa ameaça
A Okta Threat Intelligence avalia que organizações de todos os setores — especialmente aquelas que anunciam vagas remotas ou por contrato — devem adotar uma abordagem proativa e em camadas para recrutamento, integração e monitoramento de ameaças internas. A Okta recomenda que as organizações:
1. Fortalecer a verificação de identidade do candidato
Exigir verificações de documento de identidade verificável emitido pelo governo em várias etapas de recrutamento e contratação
Verificar a correspondência entre os locais indicados e os endereços IP (incluindo a detecção do uso de VPN), o comportamento em relação aos fusos horários, as informações bancárias da folha de pagamento e os endereços de entrega fornecidos para o envio do hardware.
Utilize serviços de terceiros credenciados para autenticar documentos de identidade, histórico profissional e credenciais acadêmicas
2. Reforçar os processos de recrutamento e seleção
Treinar profissionais de RH e recrutadores para identificar sinais de alerta. Incentive processos que identifiquem se um candidato foi substituído entre as rodadas de entrevistas. Ensine-os a identificar sinais comportamentais, como pouco conhecimento da área onde afirmam residir, recusa em se encontrar pessoalmente, recusa em ligar a câmera ou remover os filtros de fundo durante as entrevistas, ou entrevistas realizadas com uma conexão de internet muito ruim. Identifique currículos duplicados, cronogramas inconsistentes, fusos horários incompatíveis e referências não verificáveis. Avalie a presença online e nas redes sociais do candidato com base nas informações fornecidas. Nos casos em que forem apresentadas provas de trabalhos anteriores, investigue se esses projetos foram simplesmente clonados dos repositórios de perfis do usuário legítimos.
Verifique o histórico de edições em currículos e PDFs nos metadados do documento e outros “indicadores” técnicos associados à duplicação e reutilização.
Adicionar verificação técnica e comportamental estruturada (codificação ou escrita ao vivo realizadas sob a observação do recrutador).
Exija referências de e-mail corporativo (não webmail gratuito) e confirme por meio de uma chamada de saída para os números principais da central telefônica da organização de referência. Certifique-se de que essas referências incluam elementos que não estejam revelados, por exemplo, em perfis públicos do LinkedIn, como o nome do último gerente.
3. Implementar controles de acesso segregados e baseados em funções
Por padrão, os funcionários novos ou temporários devem ter perfis com menor privilégio e o acesso adicional deve ser liberado após a conclusão das verificações do período probatório.
Segmente desenvolvimento, teste e produção; exija Workflows de revisão por pares e aprovação para fusões e implantações de código.
Monitore padrões de acesso anômalos (extrações de grandes volumes de dados, logins fora do horário comercial a partir de locais geográficos/VPNs inesperados, compartilhamento de credenciais).
Utilize campanhas de certificação de acesso para regular o acesso contínuo.
4. Monitorar prestadores de serviços e provedores de serviços terceirizados
Sempre que possível, estabeleça contratualmente padrões contínuos de verificação de identidade, checagens de antecedentes, políticas de autenticação avançada, parâmetros mínimos de segurança de dispositivos e direitos de auditoria.
Exija contas do usuário nomeadas (sem logins compartilhados ou contas de serviço internas, sempre que possível) e acesso separado por locatário/projeto para cada ambiente de cliente.
5. Implementar programas de conscientização sobre segurança e ameaças internas
Estabeleça uma função dedicada à gestão de riscos internos ou, pelo menos, um grupo de trabalho que abranja as áreas de Recursos Humanos, Jurídico, Segurança e TI.
Oferecer treinamento específico para recrutadores, gerentes de contratação e Technical Leads sobre as práticas de ITW e controles de triagem.
Educar e capacitar os gerentes de contratação e os funcionários para que observem e relatem comportamentos potencialmente estranhos de seus pares que levantem dúvidas sobre sua identidade, objetivos e localização.
Criar canais de relatórios mais seguros para comportamentos suspeitos ou preocupações com candidatos.
6. Coordenar com as autoridades policiais e pares do setor
Compartilhe indicadores de comprometimento e padrões suspeitos de candidatos com as unidades nacionais de combate ao cibercrime e os grupos ISAC/ISAO.
Desenvolver métodos para que o grupo de “risco interno” receba e aja sobre indicadores (endereços de e-mail, endereços IP, provedores de VPN, criação de documentos e indicadores comportamentais) e esteja preparado para “compartilhar de volta” as descobertas relevantes.
Participe ativamente em fóruns de compartilhamento de informações para rastrear a evolução das táticas e ferramentas ITW.
7. Realizar avaliações de risco e exercícios de red team regularmente
Modelar os caminhos de ataque de funcionários internos e de prestadores de serviços maliciosos; quantificar o potencial impacto nos negócios.
Realizar exercícios de equipe vermelha que testem o processo de pipeline (simulação de aplicativo e entrevistas da Coreia do Norte) para avaliar os processos de verificação de identidade.
Atualize os planos de resposta a incidentes para incluir cenários envolvendo funcionários mal-intencionados, prestadores de serviços comprometidos e revogação de acesso acelerada.
A Okta Threat Intelligence agradece a colaboração da Epieos na pesquisa para este publicar.
