ปฏิบัติการ IT worker เกาหลีเหนือใช้ AI และรีโมทเดสก์ท็อป จ้างตัวแทนหน้ากล้องหลอกผ่านสัมภาษณ์งานเทคนิค

สรุปสั้น

บริษัท Silent Push เปิดเผยปฏิบัติการของผู้ปฏิบัติงานสาย IT สัญชาติเกาหลีเหนือที่นำปัญญาประดิษฐ์ ซอฟต์แวร์ควบคุมเครื่องระยะไกล และตัวแทนที่ถูกจ้างมาเปิดหน้ากล้อง มาผสมกันเพื่อทำให้ผู้สมัครงานปลอมดูน่าเชื่อถือระหว่างการสัมภาษณ์งานเชิงเทคนิค เรื่องเริ่มจากประกาศรับสมัครงานที่โพสต์ในชุมชน Discord ชื่อ Mouse Review ซึ่งตามหาคนในสหรัฐ ยุโรป และละตินอเมริกาที่ยอมปรากฏตัวหน้ากล้อง พูดคุยกับนายจ้าง และให้ยืมตัวตนกับผู้ที่นั่งทำงานอยู่เบื้องหลัง โดยเสนอส่วนแบ่ง 35 เปอร์เซ็นต์ให้ตัวแทน และ 65 เปอร์เซ็นต์ให้ผู้ปฏิบัติงานตัวจริงที่ซ่อนตัว

นี่ไม่ใช่แคมเปญมัลแวร์แบบปกติ แต่สร้างช่องทางเข้าที่อันตรายไม่แพ้กัน เพราะบริษัทอาจจ้างคนที่ทั้งฝีมือสัมภาษณ์ ตัวตน ตำแหน่งที่อยู่ และเนื้องานล้วนถูกป้อนโดยคนอื่น แล้วมอบสิทธิ์เข้าถึงระบบสำคัญให้โดยไม่รู้ตัว นักวิจัยของ Silent Push แฝงตัวเข้าไปในช่องทางรับสมัครและสนทนากับผู้อยู่เบื้องหลังด้วยตัวตนที่ควบคุมไว้ แล้วประเมินด้วยความมั่นใจ “ปานกลางถึงสูง” ว่าตัวแทนที่ใช้ชื่อว่า Tec Guru เป็นผู้ปฏิบัติงาน IT ชาวเกาหลีเหนือ จากการอ้างอิงทางเทคนิค รายละเอียดการปฏิบัติการ และรูปแบบการใช้ภาษาที่สังเกตได้ ปลายทางของแผนนี้คือการหลบเลี่ยงมาตรการคว่ำบาตร ฉ้อโกงเงินเดือน ขโมยข้อมูล และเข้าถึงระบบขององค์กร

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 17 กันยายน 2569 ว่า บริษัท Silent Push ได้เผยแพร่ผลการสืบสวนปฏิบัติการจ้างตัวแทนหน้ากล้องของผู้ปฏิบัติงาน IT เกาหลีเหนือ ที่ออกแบบมาเพื่อผ่านด่านการสัมภาษณ์งานทางไกลโดยเฉพาะ ประกาศรับสมัครบรรยายรูปแบบการทำงานแบบพร็อกซีไว้อย่างตรงไปตรงมาผิดปกติ คือให้ผู้เข้าร่วมในพื้นที่เปิดกล้อง พูดคุยกับลูกค้า และแสดงทักษะที่ต้องการ ในขณะที่ผู้ปฏิบัติงานตัวจริงคอยช่วยเหลือแบบเรียลไทม์อยู่เบื้องหลัง

สำหรับนายจ้าง การจัดฉากแบบนี้ทำให้การสัมภาษณ์ทางไกลใช้เป็นเครื่องมือยืนยันตัวตนไม่ได้อีกต่อไป Silent Push ระบุว่าผู้ปฏิบัติการเสนอการติวสดผ่าน Google Meet และเสนอให้ใช้เครื่องมือ AI รวมถึง ChatGPT เพื่ออุดช่องว่างความรู้ขณะที่ตัวแทนยังอยู่หน้าจอ แผนนี้ยังรวมถึงการเข้าถึงเครื่องจากระยะไกลระหว่างแบบทดสอบเขียนโค้ด เปิดทางให้อีกคนหนึ่งทำงานให้เสร็จในขณะที่ผู้สมัครที่มองเห็นได้คอยประคองบทสนทนาไว้ เครื่องมืออย่าง AnyDesk, TeamViewer และ Chrome Remote Desktop ทำให้การส่งไม้ต่อแบบนี้ง่ายขึ้นเมื่อผู้สัมภาษณ์จดจ่ออยู่กับหน้าจอที่แชร์ร่วมกันเพียงอย่างเดียว ตัวแทนยังแนะนำให้นักวิจัยใช้ Astrill VPN ซึ่งเมื่อประกอบกับการใช้ Telegram และหมายเลข VoIP แบบสหรัฐ ก็เป็นส่วนหนึ่งของภาพรวมการปฏิบัติการ แม้จะไม่ใช่หลักฐานชี้ตัวโดยลำพัง

วิธีการโจมตี

หัวใจของปฏิบัติการคือการแยกบทบาทระหว่าง “หน้าฉาก” กับ “ผู้ปฏิบัติงานจริง” ออกจากกัน ตัวแทนในพื้นที่ทำหน้าที่เป็นใบหน้า เสียง และตัวตนตามกฎหมายที่ผ่านการตรวจสอบได้ ส่วนผู้ปฏิบัติงานเกาหลีเหนือทำงานเทคนิคทั้งหมดอยู่เบื้องหลัง เมื่อถึงช่วงแบบทดสอบเขียนโค้ด ผู้ปฏิบัติงานจะเข้าควบคุมเครื่องของตัวแทนผ่านซอฟต์แวร์รีโมทเพื่อทำโจทย์ให้เสร็จ ขณะที่ตัวแทนคอยพูดคุยกลบเกลื่อนไม่ให้ผู้สัมภาษณ์สังเกตเห็นความผิดปกติ

เมื่อผ่านการจ้างงานแล้ว ความเสี่ยงไม่ได้จบที่การสัมภาษณ์ที่หละหลวม เพราะองค์กรอาจได้คนในที่สามารถคัดลอกซอร์สโค้ดกรรมสิทธิ์ เก็บรวบรวมข้อมูลสำคัญ หรือข่มขู่เรียกเงินแลกกับการไม่เผยแพร่ข้อมูลที่ขโมยไป เงินเดือนยังอาจถูกส่งผ่านบัญชีธนาคารของตัวแทนก่อนโอนต่อไปยังปลายทางจริง และองค์กรอาจเสี่ยงต่อการละเมิดมาตรการคว่ำบาตรหากจ่ายเงินให้ผู้ปฏิบัติงานเกาหลีเหนือผ่านตัวกลางโดยไม่รู้ตัว คำเตือนระดับนานาชาติเมื่อวันที่ 31 กรกฎาคม 2569 เคยเรียกร้องให้เพิ่มความเข้มงวดในการตรวจสอบตัวตนและจับตาความผิดปกติของการจ่ายเงินไว้แล้ว

ผลกระทบ

จุดที่ทำให้ปฏิบัติการนี้อันตรายกว่าการโกงสัมภาษณ์ทั่วไป คือมันเปลี่ยน “การรับคนเข้าทำงาน” ให้กลายเป็นช่องโหว่ด้านความมั่นคง ตัวแทนที่ผ่านการตรวจสอบตัวตนได้จริงทำให้กลไกยืนยันตัวตนมาตรฐาน เช่น การเทียบเอกสารและการสัมภาษณ์ผ่านกล้อง ใช้การไม่ได้ องค์กรที่เปิดรับงานทางไกลจึงอาจได้ผู้ใช้ภายในที่มีสิทธิ์เข้าถึงระบบ แต่ตัวตนและที่อยู่จริงไม่ตรงกับที่ปรากฏ กลายเป็นภัยคนใน (insider threat) ที่พร้อมขโมยข้อมูล เรียกค่าไถ่ หรือเปิดทางให้การโจมตีในภายหลัง Silent Push ยังชี้ว่าปฏิบัติการลักษณะนี้อาจทับซ้อนกับแคมเปญที่นำโดยผู้สรรหางาน รวมถึงกรณีที่กลุ่มเกาหลีเหนือใช้โจทย์เขียนโค้ดอันตรายเล่นงานผู้หางานเสียเอง

คำแนะนำ

ทีมสรรหาบุคลากรควรถือว่ากระบวนการจ้างงานเป็นส่วนหนึ่งของแนวป้องกันความปลอดภัย โดยยืนยันตำแหน่งที่อยู่จริงของผู้สมัครด้วยการตรวจสอบอิสระ ตรวจให้แน่ใจว่าเอกสารยืนยันตัวตนและรายละเอียดการจ่ายเงินตรงกัน และถือว่าการเปลี่ยนแปลงบัญชีที่ผิดปกติเป็นสัญญาณเตือน การสัมภาษณ์สดควรมีการยืนยันวิดีโอที่ควบคุมได้และแบบทดสอบเทคนิคที่ตรวจจับการช่วยเหลือจากภายนอกได้ แทนที่จะพึ่งภาพจากกล้องตัวเดียว ฝ่ายความปลอดภัยควรจำกัดสิทธิ์ของพนักงานใหม่ให้เท่าที่จำเป็นต่อบทบาท เฝ้าดูพฤติกรรมบัญชีในช่วงแรก และสอบสวนทันทีเมื่อพบเครื่องมือควบคุมระยะไกลที่ไม่คาดคิดหรือเซสชันที่ยาวผิดปกติ หลักการสำคัญคือ ยืนยันตัวบุคคล ยืนยันตำแหน่งที่อยู่ และทำให้มั่นใจว่าคนที่ทำการสัมภาษณ์คือคนเดียวกับที่จะได้รับสิทธิ์เข้าถึงหลังรับเข้าทำงาน

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• North Korean IT Workers Use AI and Remote Desktop Tools to Fake Technical Interviews — Cyber Security News
• NK IT Worker — Silent Push