Kraken говорит, что хакер, поддерживаемый Северной Кореей, представился соискателем работы, чтобы проникнуть в компанию

Хакер, поддерживаемый Северной Кореей, попытался устроиться на работу в Kraken, чтобы получить доступ к системам компании, раскрыла биржа в четверг.

Соискатель представился инженером и был пойман в процессе собеседования, после того как команды безопасности Kraken провели полное расследование личности человека и его цифрового следа. Компания заявила, что процесс найма превратился в разведывательную операцию с момента появления первых тревожных признаков.

Согласно Kraken, попытка трудоустройства произошла в ходе обычного процесса рекрутинга. Однако ситуация стала серьезной, когда кандидат назвал имя, отличное от указанного в резюме, во время первого звонка, а затем быстро исправил его. Голос человека также несколько раз менялся во время собеседования, что заставило рекрутеров подумать, что кто-то другой мог подсказывать ему в реальном времени.

Kraken использует данные об утечках и отслеживание электронной почты, чтобы раскрыть операцию

Соискатель отправил электронное письмо, которое совпало с одним из ранее отмеченных контактами в крипто-индустрии, которые предупреждали, что хакерские группы Северной Кореи активно подают заявки в компании сектора. После подтверждения совпадения внутренняя Красная команда Kraken провела более глубокое расследование с использованием методов OSINT для анализа записей об утечках и данных, связанных с учетной записью электронной почты.

Этот поиск выявил более широкую сеть фальшивых личностей. Человек, стоящий за заявкой, создал несколько псевдонимов, некоторые из которых уже были наняты в другие компании. Команда нашла рабочие электронные письма, связанные с этими фальшивыми именами.

Одно из них принадлежало человеку из списка международных санкций как известный иностранный агент. Фальшивое резюме было связано с учетной записью GitHub с взломанным адресом электронной почты, а представленное удостоверение личности, по-видимому, было изменено. Кандидат использовал удаленные размещенные настольные компьютеры Mac и направлял весь трафик через VPN — настройка, предназначенная для сокрытия его реального местоположения.

Kraken заявил, что удостоверение личности, вероятно, произошло из дела о краже личности двухлетней давности. На этом этапе у команды безопасности было достаточно доказательств, чтобы считать соискателя частью кампании по проникновению на государственном уровне, а не одинокого мошенника.

Kraken проводит полную операцию по ловле через процесс собеседования

Вместо того чтобы прервать общение, команды рекрутинга и безопасности Kraken продолжили процесс. Соискателя пропустили через различные раунды, включая оценку навыков информационной безопасности и проверку личности.

Финальное собеседование включало главного директора по безопасности Kraken Ника Перкоко, который встретился с кандидатом группой других сотрудников для того, что компания назвала «собеседованием на совместимость».

Во время этого звонка Ник и его команда вставили проверочные вопросы в разговор. Они попросили соискателя подтвердить свое местоположение, показать удостоверение личности и назвать местные рестораны в городе, который он утверждал, что он проживает. Соискатель не справился.

Они колебались, давали неясные ответы и не смогли ответить на базовые вопросы о своем собственном предполагаемом родном городе. Выступление рухнуло под давлением, раскрывая, что у соискателя не было реальных знаний о местоположении, которое он утверждал, или о личности, которую он использовал.

В конце собеседования Kraken заявил, что было ясно, что это не настоящий соискатель. Это был иностранный подражатель, использующий фальшивую личность, чтобы попытаться получить внутренний доступ к крипто-компании.

Ник подтвердил инцидент в публичном заявлении, сказав: «Не доверяй, проверяй. Этот основной принцип крипто более актуален, чем когда-либо в цифровую эпоху. Атаки, спонсируемые государством, — это не только проблема крипто или корпораций США — это глобальная угроза. Любой человек или бизнес, имеющий дело с ценностями, является мишенью, и устойчивость начинается с оперативной подготовки к выдерживанию таких атак».

Kraken заявил, что они публикуют полные детали дела, чтобы предупредить другие крипто-компании о том, что традиционные каналы найма теперь используются как инструменты проникновения иностранными правительствами. Биржа также отметила, что хакеры, связанные с Северной Кореей, украли более 650 миллионов долларов у крипто-компаний в 2024 году, при этом схемы подачи заявок на работу стали новой тенденцией.