A Microsoft limpa 3.000 contas de e-mail vinculadas a trabalhadores de TI da Coreia do Norte

A Microsoft suspendeu 3.000 contas Outlook e Hotmail vinculadas a um esquema da Coreia do Norte envolvendo nacionais da RPC que se passam por trabalhadores remotos sob identidades falsas.

Funcionários dos EUA há muito alertam que a Coreia do Norte usa lucros ilícitos de hacks, fraudes e operações de TI para contornar sanções internacionais e manter seus programas militares. As autoridades agora estão reprimindo o que estão chamando de uma operação criminal global que secretamente canaliza milhões para o regime autoritário de Kim Jong Un.

Microsoft encerra contas de e-mail ligadas à 3,000 Coreia do Norte

A Microsoft suspendeu mais de 3.000 contas de e-mail em uma operação contra um esquema internacional operado por trabalhadores de TI da Coreia do Norte que se passam por profissionais de tecnologia remotos.

As ações da Microsoft seguem uma operação coordenada envolvendo o Departamento de Justiça dos EUA, o FBI e outras agências federais. Juntos, eles começaram a desmantelar uma conspiração sofisticada codinome "Jasper Sleet", pela Microsoft Threat Intelligence. É uma operação que explora mercados de trabalho freelance e empresas de tecnologia em todo o mundo.

A operação não apenas defrauda empregadores, mas também é considerada a financiadora direta do programa de armas nucleares da Coreia do Norte.

De acordo com a equipe de Threat Intelligence da Microsoft, o esquema envolve profissionais de TI treinados da República Popular Democrática da Coreia (RPDC) que assumem identidades falsas para conseguir emprego remoto com empresas estrangeiras, especialmente nos Estados Unidos.

Muitos desses trabalhadores são altamente qualificados, com alguns empregadores elogiando-os sem saber como os melhores performers.

“Estes não são hackers invadindo sistemas”, disse o Centro de Threat Intelligence da Microsoft (MSTIC). “São desenvolvedores qualificados, engenheiros de garantia de qualidade e especialistas em suporte de TI que passam em entrevistas, realizam trabalho real e se misturam — exceto por um detalhe crítico: eles estão trabalhando para a RPDC.”

Em muitos casos, cúmplices, às vezes cidadãos americanos, facilitam o acesso alugando suas identidades ou operando o que as autoridades descrevem como “fazendas de laptops”.

Fazendas de laptops são locais físicos onde laptops emitidos por empregadores desavisados são enviados e mantidos. Pelo menos 29 desses locais foram vasculhados pela polícia, com laptops instalados com software de acesso remoto ou fisicamente redirecionados para a China ou Rússia.

O Departamento de Justiça detalhou recentemente o caso de um funcionário de uma loja de unhas em Maryland que será sentenciado em agosto. O homem foi encontrado com 13 empregos simultâneos em nome de trabalhadores de TI da Coreia do Norte, ganhando quase US$ 1 milhão em salários remotos.

De acordo com as estimativas das Nações Unidas, o programa de trabalhadores de TI da Coreia do Norte gera até US$ 600 milhões anualmente. Essa receita frequentemente acaba apoiando operações de cibercrime e as ambições nucleares do país.

A Microsoft reage com IA e ferramentas de detecção

Em um post de blog desta semana, a Microsoft detalhou a suspensão de 3.000 contas de e-mail de consumidores, principalmente Outlook e Hotmail, que estavam sendo usadas pelos operativos da Coreia do Norte.

“Além das 3.000 contas de e-mail de consumidores que foram recentemente desativadas, em nossos esforços para interromper a atividade dos atores e proteger nossos clientes dessa ameaça, a Microsoft continuou a desativar contas de persona conforme são identificadas e a rastrear o uso de IA pelos atores”, disse Jeremy Dallman, diretor sênior do Centro de Threat Intelligence da Microsoft.

A Microsoft observou que os trabalhadores da Coreia do Norte estão se tornando cada vez mais sofisticados. Agora, eles usam ferramentas de IA para corrigir erros gramaticais em currículos e cartas de apresentação, melhoram suas fotos para parecerem mais profissionais ou ocidentalizadas e usam tecnologia FaceSwap para impor suas imagens em documentos de identidade roubados.

Alguns estão até experimentando softwares de alteração de voz para ajudar facilitadores a passar em entrevistas de trabalho em seu nome. Embora a Microsoft não tenha observado o uso de deepfakes combinados de voz e vídeo impulsionados por IA em entrevistas em tempo real, a empresa alertou que pode ser apenas uma questão de tempo.

“Se bem-sucedida, essa tática poderia permitir que os trabalhadores de TI da Coreia do Norte fizessem entrevistas diretamente e não dependessem mais de facilitadores em seu lugar”, disse a Microsoft.

Essas táticas aprimoradas de IA permitem que os operativos mascarem melhor sua origem, tornando mais difícil para os empregadores identificar sinais de alerta. Métodos comuns incluem reciclar nomes, endereços de e-mail e modelos de perfil em várias plataformas de emprego, como LinkedIn, GitHub e mercados freelance.

Para detectar e se defender contra essas táticas, a Microsoft implantou uma solução personalizada de aprendizado de máquina que sinaliza atividade suspeita usando o que ela chama de análise de “impossível viagem no tempo”, que inclui monitorar logins em locais geograficamente improváveis dentro de janelas de tempo estreitas, como acesso dos EUA seguido de perto pela China ou Rússia.

A Microsoft também está fortalecendo suas ferramentas de proteção de identidade e incentivando as empresas a adotar protocolos de autenticação fortes e sistemas de detecção de risco em tempo real. A empresa de tecnologia colaborou com agências do governo dos EUA para compartilhar inteligência e construir soluções técnicas que podem ser aplicadas em toda a indústria de cibersegurança.

A empresa se comprometeu a manter a pressão sobre a ameaça em evolução. “Jasper Sleet está constantemente mudando e evoluindo seus perfis”, disse Dallman. “Estamos observando como eles se adaptam, especialmente com a IA, e trabalhando para nos manter um passo à frente.”