Ayda 500 dolarlık teklif: Kuzey Kore adına iş mülakatına üçüncü ülke vekilleri girdi

Kuzey Kore bağlantılı bir örgütün, İran ve Lübnan gibi üçüncü ülkelerdeki bazı yazılım (IT) çalışanlarına ayda 500 dolar (yaklaşık 20.500 TL) değerinde kripto para teklif ederek ABD şirketlerindeki uzaktan çalışma pozisyonlarının mülakatlarına kendi yerlerine girmelerini sağladığı, ardından işe alınan görevi Kuzey Koreli personele devrettiği ortaya çıktı.

Vekil mülakata katılan bazı kişiler, başvuru sahibi kimliğiyle teknik mülakat ve kimlik doğrulama sürecini geçiyor, iş sözleşmesi imzalandıktan sonra ise fiilen işten çekiliyor. Bu noktadan sonra Kuzey Koreli personel işi uzaktan yürütmeye başlıyor ve şirketin iç sistemlerine erişim sağlayabiliyor.

NBC, Kuzey Kore bağlantılı örgütün LinkedIn üzerinden İran ve Lübnan gibi üçüncü ülkelerdeki yazılımcılara ulaşarak onları “mülakat vekili” olarak işe aldığını bildirdi. Vekillerden bazılarının kendi gerçek adlarıyla ABD şirketlerindeki uzaktan çalışma pozisyonlarına başvurduğu ve görüntülü mülakatlara bizzat katıldığı aktarıldı.

Vekillerin bir kısmına ayda yaklaşık 500 dolar değerinde kripto para teklif edildiği belirtildi. Sahte kimlik kullanımı ve işin başka birine devredilmesiyle sonuçlanan vakalar da rapor edildi.

Üçüncü ülke vatandaşlarının öne çıkarılması, şirketlerin Kuzey Kore uyruklu başvuru sahiplerine yönelik doğrudan kimlik kontrolünü atlatmalarına imkan tanıyor. Başvuru sahibiyle işi fiilen yürüten kişi farklı olduğundan, standart özgeçmiş incelemesi ve teknik mülakat bu farkı ortaya çıkarmakta yetersiz kalıyor.

ABD Federal Soruşturma Bürosu (FBI) bünyesindeki İnternet Suçları Şikayet Merkezi (IC3), 31 Temmuz'da (yerel saatle) yayımladığı uyarıda Kuzey Koreli IT çalışanlarını şirket içi tehdit olarak nitelendirdi. Uyarıya göre Kuzey Koreli IT personeli sözleşme aldıktan sonra maaşını Kuzey Kore'deki üst düzey kurumlara aktarmaya çalışıyor; ayrıca veri sızıntısı, kripto para hırsızlığı ve hassas bilgi çalınması gibi eylemlere de karışabiliyor.

IC3 uyarısında, işe alım sürecinde başvuru sahibinden farklı bir kişinin mülakata girdiği veya fiilen işi yürüttüğü vakalara da yer verildi. Bu risk, yasal bir istihdam ilişkisi üzerinden şirket içi yetki elde edilmesi nedeniyle dışarıdan yapılan siber saldırılardan farklı bir tehdit türü olarak sınıflandırılıyor.

Şirketlerin dizüstü bilgisayar ve hesapları çalışanın gerçek ikamet adresi dışında üçüncü bir adrese göndermesi ya da kimlik doğrulaması tamamlanmadan sistem erişim yetkisi tanıması da risk faktörü olarak gösterildi. Cihaz ve hesaplar işi fiilen yürüten kişinin eline geçtiği anda, şirket içi bilgilere erişim kapsamı genişleyebiliyor.

IC3, kimlik belgesindeki adres ile cihazın gönderildiği adresin karşılaştırılmasını ve görüntülü mülakatlarda başvuru sahibinin yüzü ile çevresinin doğrulanmasını tavsiye etti. Kripto para ödemelerinde kullanılan hesaplar, gerçek çalışma yeri ve sisteme erişim zamanının da birlikte kontrol edilmesi gerektiği vurgulandı.

TokenPost'un daha önceki haberinde de Kuzey Kore'nin uzaktan işe alım yoluyla sızmasının kripto para sektöründe işe alım güvenliği sorununa dönüştüğü ele alınmış, uzaktan çalışan yazılımcıların doğrulanmasının ve mülakat sürecinin önemine dikkat çekilmişti. Bu son vaka, vekil mülakatların yalnızca işe alım dolandırıcılığıyla sınırlı kalmayıp şirket içi erişim yetkisi elde etmenin bir yöntemi olarak da kullanılabildiğini gösteriyor.

Siber güvenlik şirketi CrowdStrike, 2026 Finansal Hizmetler Tehdit Raporu'nda Kuzey Kore bağlantılı saldırganların 2025 yılında 2,02 milyar dolar (yaklaşık 82,8 milyar TL) değerinde dijital varlık çaldığını açıkladı. Bu rakam bir önceki yıla göre yüzde 51 artışa işaret ediyor.

Rapora göre Kuzey Kore bağlantılı örgüt, yapay zekayla oluşturulmuş sahte kimlikler ve sahte işe alım uzmanı hesapları kullanarak kripto para borsalarına ve fintek şirketlerine sızdı. Analizde, işe alım aşamasında elde edilen erişim yetkisinin kripto para hırsızlığına ve şirket bilgilerinin çalınmasına yol açabildiği belirtiliyor.

Uzaktan ve sınır ötesi işe alım yapan kripto para şirketlerinin, kendi kimlik doğrulama süreçlerini ve işi fiilen kimin yürüttüğünü ayrıca kontrol etmesi gerekiyor.

Yerel kripto para şirketlerinin de yurt dışından yazılımcı ve uzaktan çalışan istihdam ettiği göz önüne alındığında, mülakata katılan kişiyle işi fiilen yürüten kişinin aynı olup olmadığının doğrulanması güvenlik kapsamına dahil edilmelidir. Özellikle cüzdan, borsa ve müşteri bilgi sistemlerine erişim yetkisinin işe alımın hemen ardından toptan verilmemesi gerekiyor.

Bu vakayla ilgili olarak her şirketin uğradığı zararın büyüklüğü ve fiilen bir ihlal yaşanıp yaşanmadığı ayrı ayrı doğrulanmalıdır. Şirketlerin kimlik belgesi adresi, cihaz gönderim adresi, görüntülü mülakat katılımcısı, ödeme hesabı ve sisteme erişim zamanını karşılaştırarak işe alım süreçlerini gözden geçirmesi gerekiyor.