Kuzey Koreli hackerlar 70 ABD şirketine sızdı

ABD Adalet Bakanlığı, Kuzey Kore yönetimiyle bağlantılı bilişim çalışanlarının Amerikan şirketlerinde işe girerek hassas verilere eriştiği geniş kapsamlı bir ağı ortaya çıkardı. Yetkililere göre saldırganlar, kimlik hırsızlığı ve sahte çevrim içi profillerin yanı sıra ABD’deki aracılardan da yararlanarak şirketlerin uzaktan çalışma sistemlerine dahil oldu.

Federal soruşturma kapsamında en az iki kişi hakkında iddianame hazırlandı ve bu kişiler gözaltına alındı. Teksas genelinde, bilgisayarların Kuzey Koreli çalışanların uzaktan operasyon yürütmesi için kullanıldığı 40’tan fazla “dizüstü bilgisayar çiftliğine” baskın düzenlendi. Operasyonlarda 180’den fazla bilgisayara el konuldu.

Şirketlerin gönderdiği bilgisayarlar saldırı altyapısına dönüştü

“Laptop farm” olarak adlandırılan yapılar, Amerikan şirketlerinin yeni işe alınan çalışanlarına gönderdiği bilgisayarların farklı adreslerde tutulmasıyla oluşturuldu. Şirketler cihazları gerçek çalışanlara ulaştırdığını düşünürken, bilgisayarların Kuzey Kore bağlantılı kişilerin kontrolündeki evlerde veya konutlarda kullanıldığı belirtildi.

Adalet Bakanlığı, bu yapılarda en az iki Amerikalı aracının rol oynadığını açıkladı. Söz konusu kişiler, cihazların fiziksel konumunu gizlemek ve yabancı çalışanların ABD’de bulunuyormuş gibi görünmesini sağlamak için bilgisayarları kendi adreslerinde barındırdı. Böylece Kuzey Koreli çalışanlar, ülkede fiziksel olarak bulunmadan Amerikan şirketlerinin iş süreçlerine erişebildi.

Soruşturmacılar, bu yöntemin Kuzey Koreli bilişim çalışanlarının ülke dışında bulunmanın getirdiği fiziksel, mali ve hukuki engelleri aşmasına yardımcı olduğunu belirtiyor. Güvenlik şirketi CrowdStrike da bu tür bilgisayar çiftliklerinin operasyonlarda kritik rol oynadığını ve soruşturmanın yürütülmesine yardımcı olduğunu ifade etti.

En az 70 şirket hedef alındı

Yetkililerin açıklamasına göre saldırganlar en az 70 ABD merkezli şirkete sızdı. Etkilenen kuruluşların adları paylaşılmadı. Ancak sağlık, siber destek, perakende, iletişim ve üretim sektörlerinde faaliyet gösteren şirketlerin hedef alındığı belirtildi. Kuruluşlar Ohio’nun yanı sıra 16 eyalette ve Columbia Bölgesi’nde bulunuyor.

Kuzey Kore bağlantılı çalışanların bu operasyonlardan yaklaşık 3 milyon dolar gelir elde ettiği tahmin ediliyor. Elde edilen paranın yanı sıra şirketlerin verileri ve fikri mülkiyeti de risk altına girdi. Uzaktan çalışan gibi görünen saldırganlar, çalışan erişimlerine sahip oldukları için klasik dış saldırılardan farklı bir tehdit oluşturuyor.

Federal Soruşturma Bürosu tarafından yayımlanan ayrı bir uyarıda, Batılı şirketlerde binlerce Kuzey Kore devlet kontrollü bilişim çalışanının görev yaptığı belirtildi. Kurum, bu kişileri ulusal güvenlik ve fikri mülkiyet hırsızlığı açısından ciddi bir içeriden tehdit olarak değerlendiriyor.

Sahte profiller ve çalınan kimliklerle işe giriyorlar

Operasyonlarda kullanılan yöntem yalnızca bilgisayarların ABD’de tutulmasıyla sınırlı değil. Saldırganların gerçek izlenimi veren e-posta adresleri oluşturduğu, sahte LinkedIn profilleri kullandığı ve sosyal medya hesaplarıyla kapsamlı çevrim içi geçmişler hazırladığı aktarıldı. Bazı vakalarda ABD vatandaşlarının çalınan kimlikleriyle iş başvurusu yapıldığı bildirildi.

Kuzey Kore’nin uzaktan bilişim çalışanı ağı, rejimin döviz ve teknoloji elde etmek için kullandığı yöntemlerden biri olarak değerlendiriliyor. Bu kişiler şirketlere çalışan olarak girdikten sonra hassas bilgileri ve fikri mülkiyeti çalabiliyor. Bazı şirketlerin daha sonra saldırganlar tarafından ödeme yapmaya zorlandığı belirtiliyor.

Yetkililer, bu modelin kripto para borsalarına ve açık kaynak geliştirici projelerine yönelik saldırılarla birlikte yürütüldüğünü söylüyor. Kuzey Kore rejiminin nükleer silah programını finanse etmek için uluslararası yaptırımları aşmaya çalıştığı, yalnızca 2025 yılı içinde kripto para hırsızlıklarından en az 2 milyar dolar elde etmiş olabileceği ifade ediliyor. Uzmanlar ise açıklanan şirket ve para miktarlarının gerçek tablonun altında kalabileceğini değerlendiriyor.

ABD’deki son baskınlar, uzaktan işe alım süreçlerinde kimlik doğrulama, cihazların teslim edildiği adreslerin kontrolü ve çalışan erişimlerinin izlenmesinin neden kritik olduğunu gösteriyor. Şirketlerin yalnızca yazılım tabanlı güvenlik önlemlerine değil, işe alım ve donanım lojistiği süreçlerine de odaklanması gerekiyor.