Telegraph раскрыла схему агентов КНДР по заработку в британских компаниях

Британские компании, не подозревая об этом, финансируют Пхеньян, нанимая северокорейцев под вымышленными именами. Об этом сообщает The Telegraph со ссылкой на сотрудников компаний, ставших целями схемы, и специалистов, отслеживающих активность предполагаемых агентов КНДР. Среди целей оказались блокчейн-компания cheqd, разработчик решений для кибербезопасности Darktrace, два крупных банка, а также фармацевтические, промышленные и торговые предприятия. Названия части организаций издание не раскрывает из соображений безопасности.

Старший исследователь киберпреступности организации Flare Эдриан Чик оценил число британских компаний, на которые нацелена схема, в сотни или тысячи. По его словам, сотни северокорейских работников под чужими именами уже были наняты. Будущие IT-работники проходят в КНДР примерно год специальной подготовки, после чего их направляют группами в Китай и страны Юго-Восточной Азии. Оттуда они под чужими именами устраиваются на удаленную работу в иностранные компании, используя вымышленные биографии и поддельные профили. Местные посредники помогают получать корпоративные ноутбуки и проходить проверки работодателей.

Для задач, требующих физического присутствия, участники схемы привлекают местных посредников, рассказал Чик. Те предоставляют адреса для доставки корпоративных ноутбуков, забирают оборудование из офисов, а иногда проходят видеоинтервью вместо настоящего работника. По его оценке, посредникам могут платить 30–50% поступающих средств. Такие сотрудники массово рассылают отклики на вакансии и используют ИИ, чтобы выполнять несколько работ одновременно. Telegraph со ссылкой на оценки Многосторонней группы по мониторингу санкций (MSMT) пишет, что один работник может получать в среднем $10 тыс. в месяц, передавая Северной Корее 90–95% дохода. По версии экспертов и MSMT, средства направляют на оружейные программы КНДР.

Эдриан Чик также рассказал, что наблюдал создание предполагаемыми северокорейскими работниками профилей в государственной системе авторизации GOV.UK One Login. Исследователь предположил, что это могло быть связано с попытками устроиться на британскую госслужбу. Подтвердить, что кто-либо из северокорейцев получил такую работу, Telegraph не удалось. Представитель британских властей заявил газете, что Лондон тесно сотрудничает с международными партнерами, чтобы пресекать попытки КНДР получать незаконные доходы, и с бизнесом, чтобы помогать компаниям выявлять подозрительную активность и защищаться.

Исследователь государственных киберугроз DTEX Майкл Барнхарт сообщил, что выявил в Британии 320 связанных со схемой элементов — личностей или адресов. Часть относится к посредникам, другие — к похищенным персональным данным. По его словам, соискатели изучают погоду, учебные заведения и другие подробности жизни в стране, за жителей которой себя выдают. В США он наблюдал попытки корейцев устроиться не только в IT-компании, но и в больницы, центры исследований рака и на архитектурные должности. Старший вице-президент по анализу глобальных угроз Darktrace Натаниэл Джонс рассказал о попытках работать через рекрутеров или выдавать себя за них, в том числе для доступа к аэрокосмической и оборонной отраслям.

Бывший заместитель руководителя киберподразделения ФБР Синтия Кайзер связала интерес корейцев к Британии с возможностью применять уже освоенные англоязычные схемы. Председатель межпартийной парламентской группы по КНДР Иэн Дункан Смит считает, что британское направление позволяет расширять операции в других странах. «Они знают, что через нас могут попасть в Америку, и это главное», — сказал он.

Подобные схемы уже становились предметом уголовных дел в США. В июле 2025 года американку Кристину Чепмен приговорили к восьми с половиной годам заключения. По данным Минюста США, она помогала северокорейским IT-работникам устраиваться под чужими именами более чем в 300 американских компаний. Общий доход участников схемы превысил $17,1 млн. Отдельно американское ФБР возложило на Северную Корею ответственность за хищение более $6 млрд с криптобиржи Binance. По версии ведомства, за атакой стоит группировка TraderTraitor. Биржу взломали в ночь на 30 октября, после чего она приостановила ввод и вывод средств. МИД КНДР ранее отвергал обвинения в северокорейских киберугрозах, называя их политически мотивированными, и обвинял США в использовании вопросов кибербезопасности для давления на другие государства.