Microsoft ripulisce 3.000 account email collegati ai lavoratori IT nordcoreani

Microsoft ha sospeso 3000 account Outlook e Hotmail collegati a un complotto nordcoreano che coinvolge cittadini della RPDC che si fingono lavoratori remoti sotto false identità.

I funzionari statunitensi hanno a lungo avvertito che la Corea del Nord utilizza guadagni illeciti da hack cripto, frodi e operazioni IT per eludere le sanzioni internazionali e mantenere i suoi programmi militari. Le autorità ora stanno agendo con forza contro ciò che definiscono un'operazione criminale globale che convoglia segretamente milioni al regime autoritario di Kim Jong Un.

Microsoft chiude 3,000 account email collegati alla Corea del Nord

Microsoft ha sospeso oltre 3.000 account email in una campagna contro il complotto internazionale operato da lavoratori IT nordcoreani che si fingono professionisti tecnologici remoti.

Le azioni di Microsoft seguono un'operazione coordinata che coinvolge il Dipartimento di Giustizia degli Stati Uniti, l'FBI e altre agenzie federali. Insieme, hanno iniziato a smantellare una sofisticata cospirazione codificata come

L'operazione non solo truffa i datori di lavoro, ma si ritiene che finanzi direttamente il programma di armi nucleari della Corea del Nord.

Secondo il team di Threat Intelligence di Microsoft, il piano prevede l'impiego di professionisti IT addestrati della Repubblica Popolare Democratica di Corea (RPDC) che assumono identità false per ottenere impieghi remoti presso aziende straniere, in particolare negli Stati Uniti.

Molti di questi lavoratori sono altamente qualificati, con alcuni datori di lavoro che li lodano inconsapevolmente come migliori performer.

«Non si tratta di hacker che violano i sistemi», ha dichiarato il Microsoft Threat Intelligence Center (MSTIC). «Sono sviluppatori qualificati, ingegneri del controllo qualità e specialisti di supporto IT che superano i colloqui, completano lavori reali e si integrano perfettamente, tranne per un dettaglio cruciale: lavorano per la RPDC».

In molti casi, complici che a volte sono cittadini americani facilitano l'accesso affittando le proprie identità o gestendo quelle che le autorità definiscono «fattorie di laptop».

Le fattorie di laptop sono luoghi fisici in cui i laptop forniti dai datori di lavoro ignari vengono spediti e mantenuti. Almeno 29 di questi siti sono stati perquisiti dalle forze dell'ordine, con laptop installati con software di accesso remoto o dirottati fisicamente verso la Cina o la Russia.

Il Dipartimento di Giustizia ha recentemente dettagliato il caso di un dipendente di un salone di manicure nel Maryland, che sarà condannato ad agosto. Si è scoperto che l'uomo aveva ricoperto contemporaneamente 13 posti di lavoro per conto di lavoratori IT nordcoreani, guadagnando quasi 1 milione di dollari in stipendi remoti.

Secondo le stime delle Nazioni Unite, il programma dei lavoratori IT nordcoreani genera fino a 600 milioni di dollari all'anno. Queste entrate spesso finiscono per sostenere operazioni di cybercriminalità e le ambizioni nucleari del paese.

Microsoft reagisce con l'intelligenza artificiale e strumenti di rilevamento

In un post sul blog questa settimana, Microsoft ha dettagliato la sospensione di 3.000 account email consumer, principalmente Outlook e Hotmail, che erano utilizzati dagli operatori nordcoreani.

«Oltre ai 3.000 account email consumer recentemente disattivati, nei nostri sforzi per interrompere l'attività degli attori e proteggere i nostri clienti da questa minaccia, Microsoft ha continuato a disattivare gli account persona non appena identificati e a monitorare l'uso dell'IA da parte degli attori», ha dichiarato Jeremy Dallman, direttore senior del Microsoft Threat Intelligence Center.

Microsoft ha osservato che i lavoratori nordcoreali stanno diventando sempre più sofisticati. Ora sfruttano strumenti di IA per correggere errori grammaticali in CV e lettere di presentazione, migliorare le proprie foto per apparire più professionali o occidentalizzati e utilizzare la tecnologia FaceSwap per sovrapporre le proprie immagini a documenti di identità rubati.

Alcuni stanno persino sperimentando software di modifica della voce per aiutare i facilitatori a superare i colloqui di lavoro per loro conto. Sebbene Microsoft non abbia ancora osservato l'uso di deepfake combinati di voce e video basati sull'IA durante i colloqui in tempo reale, l'azienda ha avvertito che potrebbe essere solo una questione di tempo.

«Se ha successo, questa tattica potrebbe consentire ai lavoratori IT nordcoreanei di sostenere i colloqui direttamente e di non dover più fare affidamento su facilitatori che li sostituiscono», ha dichiarato Microsoft.

Queste tattiche di IA avanzate permettono agli operatori di mascherare meglio la propria origine, rendendo più difficile per i datori di lavoro identificare i segnali di allarme. I metodi comuni includono il riutilizzo di nomi, indirizzi email e modelli di profilo su varie piattaforme di lavoro come LinkedIn, GitHub e marketplace freelance.

Per rilevare e difendersi da queste tattiche, Microsoft ha implementato una soluzione personalizzata di machine learning che segnala le attività sospette utilizzando quella che definisce un'analisi di «viaggio nel tempo impossibile», che include il monitoraggio degli accessi da località geograficamente implausibili entro stretti intervalli di tempo, come un accesso dagli Stati Uniti seguito da vicino da Cina o Russia.

Microsoft sta inoltre potenziando i propri strumenti di protezione dell'identità e sollecitando le aziende ad adottare protocolli di autenticazione forti e sistemi di rilevamento del rischio in tempo reale. L'azienda tecnologica ha collaborato con le agenzie governative degli Stati Uniti per condividere intelligence e sviluppare soluzioni tecniche applicabili in tutto il settore della cybersecurity.

L'azienda si è impegnata a mantenere la pressione sulla minaccia in evoluzione. «Jasper Sleet cambia e evolve costantemente i propri profili», ha detto Dallman. «Stiamo osservando come si adattano, specialmente con l'IA, e lavoriamo per restare un passo avanti».