สรุปสั้น

แผนส่งแรงงานไอทีเกาหลีเหนือเข้าไปทำงานในบริษัทต่างชาติภายใต้ตัวตนปลอมกำลังขยายขอบเขตออกนอกสายงานไอทีเป็นครั้งแรกอย่างชัดเจน บริษัท Huntress เปิดเผยผลการสอบสวนหลายเคสที่พบผู้ต้องสงสัยว่าเป็นแรงงานเกาหลีเหนือได้งานในบริษัทด้านสุขภาพและในตำแหน่งงานขายและการตลาด ไม่ใช่เฉพาะตำแหน่งนักพัฒนาซอฟต์แวร์อย่างที่เคยเป็นมา แผนการนี้ถูกติดตามภายใต้ชื่อ Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta (เดิมชื่อ TAG-121), UNC5267 และ Wagemole โดยมีเป้าหมายเพื่อส่งรายได้กลับไปสนับสนุนโครงการอาวุธนิวเคลียร์และขีปนาวุธของเปียงยาง

จุดที่ทำให้ภัยคุกคามนี้ต่างจากการบุกรุกทั่วไปคือผู้โจมตีไม่ได้เจาะระบบเข้ามา แต่หลอกให้องค์กรจ้างตัวเองเข้าไปตามกระบวนการปกติ และหลายครั้งก็ทำงานที่ได้รับมอบหมายจริง ๆ ทำให้กลไกตรวจจับการบุกรุกแบบเดิมมองไม่เห็น หลักฐานที่ Huntress ใช้จับได้ในเคสหนึ่งคือการเชื่อมต่อผ่าน Astrill VPN และ IPRoyal Proxy ซ้ำ ๆ เอกสารยืนยันตัวตนที่สร้างขึ้นเอง หนังสือเดินทางของพนักงานสองคนที่คล้ายกันผิดปกติ และความผิดเพี้ยนของถ้อยคำในใบแจ้งหนี้อิเล็กทรอนิกส์ที่ยื่นเป็นหลักฐานที่อยู่อาศัย

ในเชิงปริมาณ บริษัท Recorded Future รายงานว่ากลุ่ม PurpleDelta เพียงกลุ่มเดียวสมัครงานกับบริษัทมากกว่า 1,100 แห่ง ด้วยตัวตนปลอม 22 ชุด ยิงใบสมัครอย่างน้อยวันละ 60 ตำแหน่งบนแพลตฟอร์มหางาน 10 แห่ง และใช้เครื่องมือ AI ช่วยตอบคำถามสัมภาษณ์แบบเรียลไทม์ ขณะเดียวกันสำนักงานสอบสวนกลางสหรัฐฯ (FBI) กำลังสอบสวนกรณีที่แรงงานเกาหลีเหนือเข้าไปทำงานให้หน่วยงานรัฐบาลกลางแห่งหนึ่งได้สำเร็จ และหน่วยงานความมั่นคงไซเบอร์จาก 11 ประเทศได้ออกประกาศเตือนร่วมกันเมื่อปลายเดือนที่ผ่านมา

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 31 สิงหาคม 2569 ว่า บริษัท Huntress เปิดเผยผลการสอบสวนชุดใหม่ที่ชี้ว่าแรงงานไอทีเกาหลีเหนือไม่ได้จำกัดตัวเองอยู่แค่ตำแหน่งสายเทคโนโลยีอีกต่อไป โดยเคสแรกเกิดขึ้นเมื่อเดือนกุมภาพันธ์ 2569 กับบริษัทด้านสุขภาพในออสเตรเลีย ซึ่งพนักงานสามคนถูกตั้งข้อสงสัยว่าเป็นแรงงานเกาหลีเหนือที่สวมรอยเป็นชาวจีน หลังตรวจพบการเชื่อมต่อผ่าน Astrill VPN และ IPRoyal Proxy ซ้ำ ๆ พร้อมเอกสารยืนยันตัวตนที่สร้างขึ้นมาเอง

Huntress ตั้งข้อสังเกตเพิ่มเติมว่า แม้หนังสือเดินทางและบัตรประจำตัวผู้พำนักเหล่านั้นมีแนวโน้มสูงที่จะเป็นของปลอม แต่ก็ยังมีความเป็นไปได้ที่ข้อมูลหรือรูปภาพในเอกสารจะเป็นของบุคคลจริงที่ถูกขโมยหรือยืมตัวตนไปใช้ ซึ่งเป็นประเด็นที่ทำให้การยืนยันตัวตนซับซ้อนกว่าการดูว่าเอกสารปลอมหรือไม่

เคสที่สองเกิดขึ้นในเดือนเดียวกันกับบริษัทให้บริการทางการเงินที่ไม่เปิดเผยชื่อ ทีมสอบสวนพบซอฟต์แวร์ PiKVM ติดตั้งอยู่บนอุปกรณ์ของ “พนักงาน” คนดังกล่าว การใช้สวิตช์ KVM อย่าง PiKVM หรือ TinyPilot เคยถูกเชื่อมโยงกับแผนแรงงานไอทีเกาหลีเหนือมาก่อน เพราะเปิดทางให้ผู้ปฏิบัติการที่อยู่ห่างออกไปเชื่อมต่อเข้ามาควบคุมเครื่องที่ตั้งอยู่ในฟาร์มโน้ตบุ๊กได้ นอกจากนี้ “พนักงาน” คนเดียวกันยังเข้าใช้บริการแชร์ไฟล์ภายนอกชื่อ SendGB เพื่อดาวน์โหลดโปรไฟล์ GitHub ของคนอื่นที่ถูกดัดแปลงมาแล้ว ซึ่งน่าจะนำไปใช้เป็นรูปโปรไฟล์ของตัวเองบนเครื่องมือสื่อสารภายในองค์กร

สิ่งที่ทำให้เคสนี้ชัดเจนขึ้นคือ หลังติดตั้ง PiKVM ได้ไม่กี่วัน อุปกรณ์เครื่องเดียวกันก็ถูกต่อการ์ดจับภาพ USB ยี่ห้อ Guermok เข้าไป เพื่อให้ส่งสัญญาณวิดีโอผ่านการ์ดตัวนี้เข้าไปเป็นภาพจากเว็บแคมในโปรแกรมประชุมออนไลน์อย่าง Zoom ได้ Huntress ระบุว่าลำพังการใช้การ์ด Guermok ไม่ใช่เรื่องน่าสงสัย แต่การที่ PiKVM ถูกติดตั้งแล้วตามด้วยการต่อการ์ดจับภาพในเวลาไล่เลี่ยกัน คือสัญญาณอันตรายที่ชัดเจน

เคสที่สามที่ Huntress สอบสวนเมื่อเดือนสิงหาคม 2569 เป็นพนักงานสายขายและการตลาดที่เพิ่งเริ่มงานได้ 13 วัน และมีแนวโน้มว่าขโมยหรือยืมตัวตนของบุคคลที่มีอยู่จริงมาใช้สมัครงาน โดยนำใบหน้าของผู้ต้องสงสัยว่าเป็นแรงงานเกาหลีเหนือไปแทนที่ใบหน้าของเจ้าของตัวตนตัวจริง ซึ่งข้อมูลของบุคคลนั้น ทั้งชื่อ วันเดือนปีเกิด ที่อยู่ และภาพถ่ายหลังถูกจับกุม ถูกเจ้าหน้าที่บังคับใช้กฎหมายเผยแพร่ไว้บนอินเทอร์เน็ตแล้ว

เว็บไซต์นี้เคยรายงานสัญญาณเตือนที่ Huntress ใช้จับแรงงานไอทีเกาหลีเหนือไว้แล้วในโพสต์ 08/152 และเคยรายงานกรณีที่นักวิจัยตั้งสตาร์ตอัปคริปโตปลอมขึ้นมาเพื่อล่อให้ผู้สมัครกลุ่มนี้เข้ามาสมัครงานจริงไว้ในโพสต์ 08/063 รายงานฉบับนี้ต่างออกไปตรงที่ยืนยันการขยายออกนอกสายงานไอทีด้วยเคสจริง และเพิ่มข้อมูลเชิงปริมาณจากฝั่ง Recorded Future เข้ามา

วิธีการโจมตี

บริษัท Recorded Future โดยทีม Insikt Group ระบุว่าพบคลัสเตอร์หนึ่งที่เชื่อมโยงกับ PurpleDelta สมัครงานกับบริษัทมากกว่า 1,100 แห่งในช่วงปลายปี 2567 ถึงต้นปี 2568 โดยส่วนใหญ่อยู่ในกลุ่มซอฟต์แวร์และเทคโนโลยี กลุ่มจัดหางานและที่ปรึกษา และกลุ่มสุขภาพและเทคโนโลยีชีวภาพ ผู้ปฏิบัติการหลายคนในคลัสเตอร์นี้ต้องสงสัยว่าอยู่ในจีน และดูแลตัวตนปลอมรวม 22 ชุด บางส่วนสร้างขึ้นด้วย AI และใช้เอกสารยืนยันตัวตนที่ซื้อมาจากบริการผลิตบัตรประจำตัวผิดกฎหมายชื่อ TrustID Card (“trustidcard[.]com”)

Recorded Future อธิบายว่า PurpleDelta ทำงานด้วย “จังหวะปฏิบัติการที่สูงมาก” คือยิงใบสมัครอย่างน้อยวันละ 60 ตำแหน่งบนแพลตฟอร์มหางาน 10 แห่ง ใช้เบราว์เซอร์ประเภทจัดการหลายบัญชีพร้อมกันและแยกโปรไฟล์ Google Chrome ออกจากกันเพื่อคุมตัวตนแต่ละชุดไม่ให้ปนกัน และเก็บสเปรดชีตติดตามใบสมัครไว้อย่างละเอียดเพื่อประสานงานข้ามตัวตน

ในขั้นตอนสัมภาษณ์ ผู้ปฏิบัติการใช้ซอฟต์แวร์บันทึกหน้าจอควบคู่กับเครื่องมือถอดเสียงและแชตบอต AI เพื่อสร้างคำตอบแบบเรียลไทม์ และหลายครั้งก็อ่านคำตอบจาก ChatGPT ตามคำต่อคำ เมื่อได้งานแล้วก็บันทึกการประชุมภายในขององค์กรเหยื่อ และใช้ Google Translate ร่างข้ออ้างสำเร็จรูปไว้ล่วงหน้าเพื่ออธิบายว่าทำไมต้องใช้อุปกรณ์ส่วนตัวและบัญชีธนาคารส่วนตัวในการทำงาน นอกจากนี้ยังพึ่งพาบริการนายหน้าตัวตน การเช่าบัญชีผ่าน AnyDesk และเครื่องมือจัดการหลายบัญชี พร้อมประสานงานกันผ่าน Telegram และ Slack รวมถึงติดต่อกับผู้อำนวยความสะดวกที่คอยจัดหาและดูแลอุปกรณ์ที่บริษัทออกให้แทนตัวผู้ปฏิบัติการ

Recorded Future ประเมินว่ากิจกรรมของ PurpleDelta แทบจะแน่นอนว่ายังดำเนินอยู่และมีแนวโน้มสูงมากที่จะขยายทั้งขนาดและความซับซ้อนต่อไป โดยชี้ว่าการนำเครื่องมือ AI เข้ามาผสมในกลวิธีของกลุ่มเป็นความเสี่ยงที่ทบต้นกัน เพราะผู้ช่วย ChatGPT ที่ปรับแต่งเอง การถอดเสียงด้วย AI ระหว่างสัมภาษณ์ และรูปโปรไฟล์ที่ AI สร้างขึ้น ล้วนลดต้นทุนของการหลอกลวงที่ดูน่าเชื่อถือ และทำให้ผู้ปฏิบัติการแสดงบทบาทในตำแหน่งงานเชิงเทคนิคที่ตัวเองอาจไม่ได้เข้าใจจริงได้อย่างแนบเนียน

ฝั่งบริษัท Group-IB สรุปลักษณะของภัยคุกคามนี้ไว้ว่า ไม่ใช่ห่วงโซ่การบุกรุกด้วยมัลแวร์แบบคลาสสิก แต่เป็นรูปแบบการเข้าถึงที่ขับเคลื่อนด้วยแรงงาน สร้างขึ้นบนวิศวกรรมสังคม ปฏิบัติการตัวตนสังเคราะห์ และการใช้แพลตฟอร์มในทางที่ผิด

ผลกระทบ

สำหรับองค์กรที่เผลอจ้างคนกลุ่มนี้เข้าไป ความเสี่ยงไม่ได้จบแค่การถูกขโมยข้อมูล Group-IB ชี้ว่าการจ้างหรือจ่ายเงินให้แรงงานไอทีเกาหลีเหนืออาจเข้าข่ายละเมิดมาตรการคว่ำบาตรทางการเงินของสหประชาชาติ สหรัฐฯ และสหราชอาณาจักรโดยตรง ซึ่งเป็นความเสี่ยงด้านกฎหมายและการกำกับดูแลที่รุนแรงกว่าเหตุข้อมูลรั่วทั่วไป

เส้นทางเงินก็ถูกติดตามได้ชัดขึ้น รายงานจาก DTEX ระบุว่าเงินเดือนจากฝั่งตะวันตกถูกส่งผ่านเครือข่ายบริษัทบังหน้าและตัวกลาง รวมถึงนิติบุคคลอย่าง Sobaeksu, Saenal และ Songkwang ที่ถูกสหรัฐฯ คว่ำบาตรจากการหลบเลี่ยงมาตรการคว่ำบาตร โดยประเมินว่ามีเงินไหลผ่านบริษัท Ryongbong General Corporation ที่ถูกคว่ำบาตรราว 1.97 ล้านดอลลาร์สหรัฐฯ ระหว่างเดือนธันวาคม 2568 ถึงกุมภาพันธ์ 2569 และ DTEX ยังชี้ว่าแผนนี้ถูกใช้สนับสนุนเป้าหมายอื่นของรัฐบาลเกาหลีเหนือ ทั้งการผลิตอาวุธและการหนุนสงครามของรัสเซีย

ในเชิงคดี เมื่อเดือนพฤษภาคมที่ผ่านมา นาย Matthew Isaac Knoot และนาย Erick Ntekereze Prince ชาวอเมริกันสองคนถูกตัดสินจำคุกคนละ 18 เดือนจากการเปิดฟาร์มโน้ตบุ๊กให้แรงงานไอทีเกาหลีเหนือ ซึ่งสองแผนการนี้กระทบบริษัทอเมริกันเกือบ 70 แห่งและสร้างรายได้ผิดกฎหมายรวมกัน 1.2 ล้านดอลลาร์สหรัฐฯ ก่อนหน้านั้นหนึ่งเดือน นาย Kejia Wang วัย 42 ปี และนาย Zhenxing Wang วัย 39 ปี ถูกตัดสินจำคุก 108 เดือนและ 92 เดือนตามลำดับ จากการเปิดฟาร์มโน้ตบุ๊กที่บ้านของตัวเองในรัฐนิวเจอร์ซีย์ และช่วยให้แรงงานไอทีได้งานระยะไกลกับบริษัทอเมริกันมากกว่า 100 แห่ง สร้างรายได้ราว 5 ล้านดอลลาร์สหรัฐฯ และทำให้บริษัทเหยื่อเสียหายกว่า 3 ล้านดอลลาร์สหรัฐฯ

สิ่งที่ควรสังเกตคือช่องทางที่ถูกใช้ล้วนเป็นช่องทางที่องค์กรเปิดไว้เองตามปกติ ทั้งเว็บไซต์รับสมัครงานที่เปิดสู่ภายนอก การสัมภาษณ์ออนไลน์ และการอนุญาตให้พนักงานระยะไกลใช้เครื่องมือควบคุมเครื่องจากระยะไกล เมื่อเดือนเมษายนที่ผ่านมา บริษัท Microsoft เปิดเผยว่าพบผู้ปฏิบัติการ Jasper Sleet เข้าถึงจุดปลายทาง Workday Recruiting Web Service ที่เปิดออกมาผ่านหน้าเว็บรับสมัครงานภายนอก ซึ่งน่าจะเพื่อดูรายละเอียดตำแหน่งงานที่เปิดรับและขั้นตอนการสรรหา และเมื่อได้งานแล้วก็สร้างโปรไฟล์ Workday ใหม่พร้อมแก้ข้อมูลบัญชีรับเงินเดือนให้ผูกกับผู้อำนวยความสะดวก

คำแนะนำ

  • ยกระดับการตรวจสอบตั้งแต่ขั้นสัมภาษณ์ ไม่ใช่รอถึงขั้นตอนหลังรับเข้าทำงาน ตรวจประวัติมาตรฐาน ค้นหาชื่อผู้สมัครบนอินเทอร์เน็ต และยืนยันประวัติการทำงานก่อนออนบอร์ด
  • บังคับสัมภาษณ์แบบเห็นหน้า และเฝ้าระวังสัญญาณของภาพวิดีโอที่ถูกป้อนจากแหล่งอื่น เช่น การใช้การ์ดจับภาพภายนอกเป็นอินพุตเว็บแคม
  • ตรวจสอบเอกสารยืนยันตัวตนอย่างเข้มงวด โดยเทียบหนังสือเดินทางและบัตรประจำตัวของผู้สมัครหลายคนที่เข้ามาในช่วงเวลาใกล้กันว่ามีความคล้ายกันผิดปกติหรือไม่ และตรวจถ้อยคำในเอกสารยืนยันที่อยู่ว่าผิดเพี้ยนหรือไม่
  • เฝ้าระวังการเชื่อมต่อผ่านผู้ให้บริการ VPN และพร็อกซีเชิงพาณิชย์ที่ถูกใช้ซ้ำในแผนนี้ เช่น Astrill VPN และ IPRoyal Proxy
  • ตรวจหาอุปกรณ์ KVM ผ่านเครือข่าย เช่น PiKVM และ TinyPilot รวมถึงการติดตั้ง RMM ที่ไม่ได้รับอนุญาตอย่าง AnyDesk บนเครื่องที่บริษัทออกให้
  • เฝ้าระวังการเปลี่ยนข้อมูลบัญชีรับเงินเดือนในระบบ HR หลังออนบอร์ด และการขอใช้อุปกรณ์ส่วนตัวหรือบัญชีธนาคารส่วนตัวในการทำงาน
  • จำกัดข้อมูลที่จุดปลายทางของระบบสรรหาบุคลากรเปิดเผยออกสู่ภายนอก และเฝ้าระวังการเรียกใช้ API ของระบบสรรหาบุคลากรจากภายนอกที่ผิดปกติ

แหล่งอ้างอิง