เจาะกลโกงแรงงานไอทีระดับโลกของเกาหลีเหนือ: ตัวตนปลอม ฟาร์มแล็ปท็อป และแหล่งเงินลับของระบอบนอกคอก

กองทัพไอทีลับของเกาหลีเหนือ: เปิดโปงกลโกงระดับโลก

ในยุคดิจิทัลที่การทำงานทางไกลกลายเป็นเรื่องปกติ เกาหลีเหนือได้ใช้ตลาดงานเทคโนโลยีทั่วโลกเป็นเครื่องมือ ผู้เชี่ยวชาญไอทีชาวเกาหลีเหนือหลายพันคนใช้ตัวตนปลอมและเรื่องราวบังหน้าอันซับซ้อน แทรกซึมเข้าไปทำงานในบริษัททั่วสหรัฐฯ ยุโรป และที่อื่น ๆ ภารกิจของพวกเขาคือหาเงินตราต่างประเทศให้ระบอบการปกครอง หลบเลี่ยงมาตรการคว่ำบาตรระหว่างประเทศ และส่งเงินหลายล้านดอลลาร์ ซึ่งบางครั้งสูงถึงหลายร้อยล้านดอลลาร์ เข้าสู่โครงการนิวเคลียร์และขีปนาวุธของคิม จองอึน

ปฏิบัติการลับนี้ถูกเปิดโปงผ่านการดำเนินการของหน่วยงานบังคับใช้กฎหมาย งานวิจัยด้านความมั่นคงไซเบอร์ และคำบอกเล่าจากผู้มีประสบการณ์ตรงที่หาได้ยาก เผยให้เห็นเครือข่ายอันซับซ้อนที่ผสานอาชญากรรมไซเบอร์ การโจรกรรมอัตลักษณ์ และการจารกรรมที่รัฐสนับสนุน ขนาดและความอุกอาจของแผนการนี้สร้างความตกตะลึงให้ทั้งคนในอุตสาหกรรมและเจ้าหน้าที่รัฐ พร้อมจุดคำถามเร่งด่วนเกี่ยวกับความปลอดภัยของแรงงานดิจิทัลทั่วโลก

กลโกงทำงานอย่างไร: บัตรประจำตัวปลอม ฟาร์มแล็ปท็อป และการหลอกลวงข้ามโลก

หัวใจของปฏิบัติการเกาหลีเหนือคือกลยุทธ์ที่เรียบง่ายแต่ได้ผล นั่นคือปลอมตัวเป็นผู้เชี่ยวชาญไอทีจากประเทศอื่นเพื่อให้ได้งานทางไกลกับบริษัทต่างชาติ คนงานเกาหลีเหนือใช้ทั้งตัวตนที่ขโมยมาและตัวตนที่สร้างขึ้น เอกสารที่สร้างด้วย AI และกลวิธีอำพรางทางดิจิทัล พวกเขาสร้างโปรไฟล์ LinkedIn และ GitHub ที่น่าเชื่อถือ ปลอมประวัติการศึกษา และถึงขั้นใช้เทคโนโลยีดีปเฟกเพื่อผ่านการสัมภาษณ์ทางวิดีโอ

เมื่อได้งานแล้ว ผู้ปฏิบัติการเหล่านี้แทบไม่ทำงานจากในเกาหลีเหนือ แต่จะประจำอยู่ในประเทศต่าง ๆ เช่น จีน รัสเซีย และเอเชียตะวันออกเฉียงใต้ ซึ่งการเข้าถึงอินเทอร์เน็ตถูกจำกัดน้อยกว่าและหลบเลี่ยงการเฝ้าระวังได้ง่ายกว่า บางคนทำงานจากแอฟริกาหรือตะวันออกกลางด้วย เพื่อปกปิดแหล่งที่มาให้แนบเนียนยิ่งขึ้น พวกเขาใช้ VPN (เครือข่ายส่วนตัวเสมือน) เครื่องมือจัดการระยะไกล และผู้สมรู้ร่วมคิดในประเทศตะวันตกที่ทำหน้าที่เป็นคนกลาง รับแล็ปท็อปของบริษัท ตั้งค่าการเข้าถึงระยะไกล และจัดการเรื่องเงินเดือน

กลวิธีที่ขึ้นชื่ออย่างหนึ่งคือการใช้ "ฟาร์มแล็ปท็อป" ซึ่งเป็นสถานที่จริงในสหรัฐฯ หรือยุโรปที่จัดวางคอมพิวเตอร์ไว้หลายสิบเครื่อง แล้วให้คนงานเกาหลีเหนือในต่างประเทศควบคุมจากระยะไกล การจัดการเช่นนี้ทำให้ดูเหมือนว่าคนงานล็อกอินจากสถานที่ในประเทศที่ถูกต้องตามกฎหมาย และผ่านการตรวจสอบความปลอดภัยขั้นพื้นฐาน

กระทรวงยุติธรรมสหรัฐฯ ระบุว่า มีชาวอเมริกันมากกว่า 80 คนถูกขโมยตัวตนไปใช้ในกลโกงเหล่านี้ และมีบริษัทหลายร้อยแห่ง ตั้งแต่สตาร์ตอัปด้านเทคโนโลยีไปจนถึงผู้รับเหมาด้านกลาโหม จ้างผู้ปฏิบัติการเกาหลีเหนือโดยไม่รู้ตัว FBI ยึดคอมพิวเตอร์ได้หลายร้อยเครื่อง โดเมนเว็บไซต์หลายสิบแห่ง และเงินคริปโทเคอร์เรนซีมูลค่าหลายล้านดอลลาร์ที่เชื่อมโยงกับปฏิบัติการเหล่านี้

ด้านชีวิตผู้คน: ชีวิตของคนงานไอทีเกาหลีเหนือในต่างแดน

คำให้การที่หาได้ยากจากผู้แปรพักตร์อย่าง "จินซู" เผยให้เห็นต้นทุนส่วนบุคคลและชีวิตประจำวันของงานลับนี้ จินซูให้สัมภาษณ์กับ BBC ว่าเขาใช้บัตรประจำตัวปลอมหลายร้อยใบสมัครงานทางไกล มักทำงานหลายตำแหน่งพร้อมกัน และมีรายได้สูงถึงเดือนละ 5,000 ดอลลาร์ โดย 85% ถูกส่งกลับไปให้ระบอบการปกครอง เขากล่าวว่า "เรารู้ว่ามันเหมือนการปล้น แต่ก็ยอมรับว่ามันเป็นชะตากรรมของเรา อย่างน้อยก็ยังดีกว่าตอนอยู่เกาหลีเหนือมาก"

คนงานไอทีเกาหลีเหนือส่วนใหญ่ทำงานเป็นทีมและถูกผู้ดูแลของรัฐบาลจับตาอย่างใกล้ชิด แม้พวกเขาจะมีอิสระและเข้าถึงสื่อจากโลกตะวันตกได้มากกว่าผู้คนในประเทศ แต่ความเสี่ยงที่จะแปรพักตร์ก็สูง และผลที่ตามมาสำหรับทั้งตัวพวกเขาและครอบครัวก็ร้ายแรง แม้จะมีอันตราย แต่มีเพียงไม่กี่คนที่เลือกหลบหนี เพราะเงินที่พวกเขาเก็บไว้ได้ แม้เป็นเพียงเศษเสี้ยวของรายได้ ก็อาจเปลี่ยนชีวิตได้เมื่อเทียบกับมาตรฐานในเกาหลีเหนือ

ทำไมต้องงานไอทีทางไกล? ฉากบังหน้าที่สมบูรณ์แบบสำหรับหลบเลี่ยงมาตรการคว่ำบาตร

เศรษฐกิจเกาหลีเหนือได้รับผลกระทบอย่างหนักจากมาตรการคว่ำบาตรระหว่างประเทศ โดยเฉพาะมาตรการที่มุ่งเป้าไปยังโครงการอาวุธ แหล่งเงินตราต่างประเทศแบบเดิม เช่น การส่งแรงงานไปทำงานในโรงงานจีนหรือไซต์ก่อสร้างในรัสเซีย กำลังลดน้อยลง ในบริบทนี้ งานไอทีทางไกลจึงมีข้อได้เปรียบหลายประการ:

• รายได้สูง: คนงานไอทีที่มีทักษะอาจมีรายได้สูงถึงปีละ 300,000 ดอลลาร์ มากกว่าแรงงานใช้แรงงานในต่างประเทศมาก
• ตรวจพบได้ยาก: งานทางไกลแทบไม่ต้องประชุมต่อหน้า จึงซ่อนตัวตนที่แท้จริงได้ง่ายขึ้น
• เข้าถึงได้ทั่วโลก: อินเทอร์เน็ตเปิดทางให้ผู้ปฏิบัติการเกาหลีเหนือมุ่งเป้าไปยังบริษัททั่วโลก ตั้งแต่สหรัฐฯ และยุโรป ไปจนถึงนิวซีแลนด์และสหรัฐอาหรับเอมิเรตส์
• เข้าถึงข้อมูลอ่อนไหว: เมื่อเข้าไปทำงานได้แล้ว คนเหล่านี้อาจขโมยทรัพย์สินทางปัญญา ความลับทางธุรกิจ และแม้แต่ข้อมูลด้านกลาโหมที่ละเอียดอ่อน

จากการประเมินของสหประชาชาติ คนงานไอทีเกาหลีเหนือสร้างรายได้ให้ระบอบการปกครองปีละ 250 ล้านถึง 600 ล้านดอลลาร์ เงินดังกล่าวถูกฟอกผ่านเครือข่ายคนกลาง ธุรกรรมคริปโทเคอร์เรนซี และบริษัทบังหน้า ทำให้เจ้าหน้าที่ติดตามได้ยาก

เบื้องหลังกลวิธี: AI ดีปเฟก และการชักจูงทางสังคม

ผู้ปฏิบัติการไอทีเกาหลีเหนือไม่ได้มีเพียงทักษะการเขียนโค้ด แต่ยังเชี่ยวชาญการหลอกลวงด้วย นักวิจัยด้านความมั่นคงไซเบอร์พบสคริปต์สัมภาษณ์โดยละเอียด ประวัติย่อปลอม และภาพถ่ายที่ปรับแต่งด้วย AI ซึ่งใช้ปลอมตัวเป็นผู้เชี่ยวชาญจากประเทศตะวันตก บางคนถึงขั้นจ่ายเงินจริงให้คนในยุโรปหรือสหรัฐฯ เพื่อ "เช่า" ตัวตน โดยแบ่งรายได้แลกกับการเข้าถึงเอกสารและบัญชีธนาคารที่ถูกต้องตามกฎหมาย

ทีมข่าวกรองภัยคุกคามของ Microsoft ติดตามกิจกรรมเหล่านี้ภายใต้รหัสชื่อ "Jasper Sleet" โดยรายงานว่าคนงานเกาหลีเหนือใช้ AI สร้างตัวตนปลอม ปรับแต่งภาพสำหรับเอกสารสมัครงาน และแม้แต่เปลี่ยนเสียงระหว่างการสัมภาษณ์ ผู้ช่วยอำนวยความสะดวกช่วยพวกเขาหลบเลี่ยงการตรวจสอบการจ้างงาน รับอุปกรณ์ และตั้งค่าการเข้าถึงระยะไกล กลวิธีหลบเลี่ยงการตรวจจับยังรวมถึงการใช้ VPN เซิร์ฟเวอร์ส่วนตัวเสมือน และเครื่องมือจัดการระยะไกล เพื่อปกปิดตำแหน่งที่แท้จริง

ร็อบ เฮนลีย์ ผู้จัดการฝ่ายสรรหาของ Ally Security อธิบายความท้าทายในการตรวจจับผู้สมัครปลอมว่า "ตอนแรกมันเหมือนเกมอยู่บ้าง คล้ายกับการพยายามดูว่าใครเป็นตัวจริงและใครเป็นตัวปลอม แต่ไม่นานก็เริ่มน่าหงุดหงิดมาก" เขาจึงขอให้ผู้สมัครแสดงให้เห็นแสงกลางวันระหว่างการสนทนาทางวิดีโอ ซึ่งเป็นวิธีง่าย ๆ ที่มักเปิดโปงผู้ที่ทำงานอยู่ในเขตเวลาที่ไม่ตรงกัน

จากสหรัฐฯ สู่ยุโรป: เปลี่ยนเป้าหมายและปรับวิธีการ

เมื่อบริษัทสหรัฐฯ และหน่วยงานบังคับใช้กฎหมายเพิ่มความระมัดระวัง ผู้ปฏิบัติการเกาหลีเหนือจึงหันไปมุ่งเป้ายุโรป ซึ่งกระบวนการจ้างงานและการตรวจสอบตัวตนมักเข้มงวดน้อยกว่า Google Threat Intelligence Group และผู้เชี่ยวชาญด้านความมั่นคงไซเบอร์รายอื่นเตือนว่า ขณะนี้บริษัทเทคโนโลยีในยุโรปตกเป็นเป้าหมายสำคัญ โดยเฉพาะบริษัทที่ใช้นโยบาย "นำอุปกรณ์ของตนเองมาใช้" (BYOD) และกระบวนการจ้างงานแบบเร่งรัด

ในสภาพแวดล้อมเช่นนี้ คนงานเกาหลีเหนือสามารถกลมกลืนเป็นพนักงานทางไกลทั่วไป โดยใช้อุปกรณ์ของตนเองเข้าถึงระบบบริษัท เมื่อเข้าไปได้แล้ว พวกเขาอาจขโมยข้อมูล ขู่ว่าจะเปิดเผยข้อมูลอ่อนไหว หรือเรียกร้องให้จ่ายเงินเป็นคริปโทเคอร์เรนซีเมื่อถูกเลิกจ้าง การใช้ตัวตนที่สร้างด้วย AI และดีปเฟกทำให้ตรวจจับได้ยากขึ้นอีก เพราะสัญญาณเตือนแบบเดิม เช่น ประวัติย่อที่ไม่สอดคล้องกันหรือภาษาอังกฤษที่ไม่ดี กำลังถูกเทคโนโลยีช่วยปกปิดมากขึ้น

บทบาทของผู้เอื้ออำนวยในชาติตะวันตก: ผู้สนับสนุนและคนกลาง

แผนการใช้แรงงานไอทีของเกาหลีเหนือพึ่งพาเครือข่ายผู้เอื้ออำนวยในชาติตะวันตกอย่างมาก คนเหล่านี้บางครั้งไม่รู้เห็น บางครั้งสมรู้ร่วมคิด และให้การสนับสนุนสำคัญด้วยการ:

• รับและตั้งค่าแล็ปท็อปของบริษัทเพื่อให้เข้าถึงจากระยะไกล
• เปิดบัญชีธนาคารและบริษัทบังหน้าเพื่อรับเงินเดือน
• จัดหาหนังสือเดินทางปลอม หมายเลขโทรศัพท์ท้องถิ่น และบุคคลอ้างอิง
• แนะนำผู้ปฏิบัติการเรื่องธรรมเนียมทางวัฒนธรรมและกลยุทธ์สมัครงาน

ชาวอเมริกันหลายคนถูกตั้งข้อหาเปิด "ฟาร์มแล็ปท็อป" หรือทำหน้าที่เป็นคนกลางทางการเงิน ในคดีหนึ่ง พลเมืองสหรัฐฯ ถูกตั้งข้อหาเปิดฟาร์มแล็ปท็อปที่บ้าน เปิดทางให้คนงานเกาหลีเหนือควบคุมคอมพิวเตอร์หลายสิบเครื่องและฟอกเงินเดือนของตนได้ ขณะที่คนอื่น ๆ ถูกดำเนินคดีฐานช่วยขโมยและโอนคริปโทเคอร์เรนซี โดยกระทรวงยุติธรรมยึดเงินไปหลายล้านดอลลาร์

แม้จะมีการปราบปราม แต่ขนาดและความสามารถในการปรับตัวของปฏิบัติการนี้ทำให้ผู้เอื้ออำนวยจำนวนมากยังคงเคลื่อนไหว และยังมีการชักชวนคนหน้าใหม่ผ่านสื่อสังคมออนไลน์และเว็บบอร์ด

มากกว่าเงินเดือน: การจารกรรม การขโมยข้อมูล และอาชญากรรมไซเบอร์

แม้เป้าหมายหลักของแผนการใช้แรงงานไอทีของเกาหลีเหนือคือการหาเงินตราต่างประเทศ แต่ความเสี่ยงนั้นมีมากกว่าแค่การสูญเสียเงินเดือน เมื่อเข้าไปทำงานในบริษัทแล้ว ผู้ปฏิบัติการเหล่านี้อาจ:

• ขโมยทรัพย์สินทางปัญญาและความลับทางการค้า
• เข้าถึงข้อมูลอ่อนไหวของผู้รับเหมาด้านกลาโหม รวมถึงข้อมูลที่ถูกควบคุมการส่งออก
• ฝังมัลแวร์เพื่อใช้ในการโจมตีเรียกค่าไถ่หรือปฏิบัติการจารกรรมในอนาคต
• รวบรวมข้อมูลภายในเพื่อส่งต่อให้กลุ่มแฮ็กเกอร์เกาหลีเหนือ เช่น กลุ่ม Lazarus อันอื้อฉาว

มีหลายกรณีที่บันทึกไว้ว่า คนงานไอทีเกาหลีเหนือใช้สิทธิ์เข้าถึงเพื่อขโมยคริปโทเคอร์เรนซี รีดไถนายจ้าง หรือสนับสนุนการโจมตีไซเบอร์ขนาดใหญ่ เชื่อกันว่ากลุ่ม Lazarus เพียงกลุ่มเดียวขโมยคริปโทฯ ไปแล้วมากกว่า 3,000 ล้านดอลลาร์นับตั้งแต่ปี 2007 รวมถึงการโจรกรรมครั้งใหญ่เป็นประวัติการณ์มูลค่า 1,500 ล้านดอลลาร์ในปี 2025

บริษัทจะป้องกันตนเองได้อย่างไร: บทเรียนและข้อแนะนำ

กลโกงคนงานไอทีเกาหลีเหนือเผยให้เห็นจุดเปราะบางร้ายแรงในวิธีที่บริษัทจ้างและบริหารพนักงานทางไกล ผู้เชี่ยวชาญแนะนำให้ใช้แนวทางป้องกันหลายชั้น:

• ตรวจสอบเข้มงวดขึ้น: ตรวจสอบร่องรอยดิจิทัล เช็กบุคคลอ้างอิง และใช้วิดีโอคอลยืนยันตัวตน
• เฝ้าระวังความผิดปกติ: ตรวจหาที่อยู่ IP น่าสงสัย หมายเลขโทรศัพท์ที่ใช้ร่วมกัน และการใช้เครื่องมือจัดการระยะไกล
• จำกัดความเสี่ยงจาก BYOD: บังคับใช้มาตรการรักษาความปลอดภัยของอุปกรณ์ปลายทาง จำกัดการเข้าถึงจากอุปกรณ์ส่วนตัว และแบ่งแยกระบบที่มีข้อมูลอ่อนไหว
• ให้ความรู้แก่พนักงาน: ฝึกทีมทรัพยากรบุคคลและไอทีให้สังเกตสัญญาณเตือน และประสานงานตรวจสอบตัวตน
• ตอบสนองอย่างรวดเร็ว: หากพบว่าเป็นคนงานไอทีเกาหลีเหนือ ให้จำกัดการรับมือไว้ในกลุ่มที่เชื่อถือได้ วิเคราะห์ความเชื่อมโยงกับผู้ร่วมขบวนการ และเก็บรักษาหลักฐานไว้ให้หน่วยงานบังคับใช้กฎหมาย

เจ้าหน้าที่ยังเตือนให้บริษัทระวังการเสนอราคาทำสัญญาที่ต่ำผิดปกติ คำขอให้ชำระเงินเป็นคริปโทเคอร์เรนซี และผู้สมัครที่หลีกเลี่ยงการสัมภาษณ์ทางวิดีโอหรือส่งเอกสารที่มีข้อมูลไม่สอดคล้องกัน

ภาพใหญ่: มาตรการคว่ำบาตร สงครามไซเบอร์ และการตอบสนองทั่วโลก

การส่งคนงานไอทีไปต่างประเทศของเกาหลีเหนือเป็นส่วนหนึ่งของยุทธศาสตร์ที่กว้างขึ้นเพื่อหลบเลี่ยงมาตรการคว่ำบาตรและหาเงินทุนให้โครงการอาวุธ สหประชาชาติระบุว่า ปัจจุบันการโจมตีทางไซเบอร์สร้างรายได้ประมาณครึ่งหนึ่งของเงินตราต่างประเทศที่เกาหลีเหนือได้รับ และคิดเป็น 40% ของเงินทุนสำหรับอาวุธทำลายล้างสูง ความสามารถของระบอบการปกครองในการปรับตัว ตั้งแต่เปลี่ยนจากแรงงานใช้แรงงานเป็นงานทางไกลไฮเทค และจากสหรัฐฯ มุ่งสู่ยุโรป ตอกย้ำถึงความท้าทายที่หน่วยงานกำกับดูแลระหว่างประเทศกำลังเผชิญ

รัฐบาลสหรัฐฯ ญี่ปุ่น เกาหลีใต้ และประเทศในยุโรปออกคำเตือน เพิ่มความเข้มงวดในการบังคับใช้กฎหมาย และดำเนินคดีกับทั้งผู้เอื้ออำนวยจากต่างประเทศและผู้ร่วมขบวนการในประเทศ แพลตฟอร์มฟรีแลนซ์และบริษัทเทคโนโลยีถูกเรียกร้องให้เพิ่มความเข้มงวดในการยืนยันตัวตนและเฝ้าติดตามกิจกรรมที่น่าสงสัย อย่างไรก็ตาม ผู้เชี่ยวชาญคนหนึ่งระบุว่า "ความพยายามของเกาหลีเหนือในการแทรกซึมบริษัทตะวันตกเพื่อหากำไรและจารกรรมจะยังดำเนินต่อไป การปราบปรามจะทำให้ปฏิบัติการสะดุด แต่คาดว่าเกาหลีเหนือจะปรับตัว"

สรุป

• เกาหลีเหนือส่งคนงานไอทีหลายพันคนไปต่างประเทศ โดยใช้ตัวตนปลอมแทรกซึมบริษัทและหาเงินตราต่างประเทศให้ระบอบการปกครอง
• ผู้ปฏิบัติการเหล่านี้ใช้ AI ดีปเฟก และการชักจูงทางสังคมที่ซับซ้อนเพื่อปลอมเป็นพนักงานทางไกลที่ถูกต้องตามกฎหมาย โดยมักได้รับความช่วยเหลือจากผู้เอื้ออำนวยในชาติตะวันตก
• เมื่อเข้าไปทำงานได้แล้ว พวกเขาอาจขโมยข้อมูลและทรัพย์สินทางปัญญา หรือแม้แต่ช่วยให้เกิดการโจมตีไซเบอร์ โดยส่งเงินเดือนและเงินที่ขโมยมาเข้าสู่โครงการอาวุธของเกาหลีเหนือ
• หน่วยงานบังคับใช้กฎหมายในสหรัฐฯ และประเทศอื่น ๆ ยึดทรัพย์สินมูลค่าหลายล้านดอลลาร์ ดำเนินคดีกับผู้เอื้ออำนวย และเตือนบริษัทให้ยกระดับแนวปฏิบัติด้านการจ้างงานและความมั่นคงไซเบอร์
• ปฏิบัติการนี้เปลี่ยนเป้าหมายจากสหรัฐฯ ไปยังยุโรปเมื่อการบังคับใช้เข้มงวดขึ้น พร้อมเตือนให้บริษัททั่วโลกเฝ้าระวังภัยคุกคามที่พัฒนาอยู่ตลอด