Kako se domaće IT tvrtke bore protiv sjevernokorejskih "remote ratnika"?

Fenomen sjevernokorejskih IT stručnjaka koji pod lažnim identitetima ciljaju međunarodne tehnološke tvrtke već je zahvatio i europsko tržište. Procjene govore o tisućama operativaca, a svaki od njih u stanju je neovlašteno pristupiti desecima tvrtki koristeći krivotvorene identitete. Prema nekim izvorima, i više od 10.000 sjevernokorejskih IT stručnjaka na ovaj način godišnje preusmjerava stotine milijuna eura režimu u Pjongjangu, što izravno financira razvoj nuklearnog i raketnog programa. Ova sofisticirana operacija predstavlja novu generaciju kibernetičkih prijetnji, a kombinira napredne AI tehnologije, deepfake alate i društveni inženjering.

Domaći IT sektor pred novim sigurnosnim ispitom

S kontinuiranim rastom hrvatskog IT tržišta, raste i njegova izloženost sofisticiranim globalnim prijetnjama. Direktiva NIS2 dodatno pojačava važnost sigurnog upravljanja lancem opskrbe, propisivanjem procesa vezanih uz ljudske resurse i pravila angažiranja trećih strana. No, koliko su hrvatske tvrtke svjesne i spremne za ovaj specifičan izazov?

Iskustva s terena potvrđuju da prijetnja nije samo teoretska. Iz tvrtke Span navode konkretne slučajeve: "Dvije naše partnerske firme javno su priznale da su imale pokušaje zapošljavanja sjevernokorejskih IT 'remote' radnika. U jednom slučaju, takav je radnik bio zaposlen, ali je ubrzo identificiran i otpušten. U drugom slučaju, prijevara je otkrivena i prije zaposlenja, no organizacija je tog kandidata ipak odlučila „zaposliti“ kako bi saznali više informacija o napadačima."

S druge strane, u Combisu i Infobipu za sada nisu zabilježili izravne pokušaje takvih aktivnosti. U Combisu to pripisuju svom temeljitom procesu zapošljavanja, dok Andro Galinović, direktor Odjela za informacijsku sigurnost Infobipa navodi: "Ne, do sada nismo zabilježili takve slučajeve. Jedan od razloga je i to što se ne bavimo razvojem blockchain tehnologije niti smo dio kripto industrije, koja je do sada bila najčešća meta ovakvih pokušaja."

Zaštita od infiltracije

Suočene s ovakvim prijetnjama, vodeće hrvatske IT tvrtke razvile su složene mehanizme zaštite. Ključni element, slažu se sugovornici, leži u višeslojnom pristupu provjeri kandidata.

"Naš proces zapošljavanja je izuzetno temeljit i uključuje više krugova razgovora uživo, tehničke i psihologijske provjere znanja i vještina te sustav preporuka," ističu iz Combisa. Njihova politika inzistiranja na intervjuima uživo za sve kandidate prije zasnivanja radnog odnosa eliminira rizik povezan s provjerom identiteta isključivo remote kandidata. "Na našim projektima primarno su angažirani naši zaposlenici, a eventualna suradnja s vanjskim tvrtkama i pojedincima podliježe strogim internim procedurama odobrenja dobavljača, usklađenim sa sigurnosnim standardima HT-a i Deutsche Telekom grupe," dodaju.

U Spanu također veliku pažnju posvećuju ljudskom faktoru: "Proces selekcije uključuje višekratne razgovore s kandidatima i video intervjue uživo, gdje se osim stručnih kompetencija procjenjuje i autentičnost komunikacije. U slučajevima zapošljavanja za osjetljive pozicije, dodatno provodimo provjere preporuka i identiteta putem verificiranih izvora.“

Infobipov pristup kombinira intervjue s vanjskom provjerom. "Uz provjeru životopisa i LinkedIn profila, svi razgovori tijekom selekcijskog procesa vrlo su interaktivni s ciljem provjere stvarnih komunikacijskih vještina i tehničkog znanja," objašnjava Galinović. "Tehnički intervjui se odvijaju u realnom vremenu, što još uvijek predstavlja značajnu prepreku za korištenje deepfake tehnologije ili tzv. proxy kandidata. Dodatno, provodimo obveznu vanjsku provjeru kandidata u selekcijskom procesu preko specijaliziranog pružatelja usluga koji verificira identitet, dokumente, diplome i povijest poslova za sve zaposlenike." Također naglašava da Infobip ima vrlo mali broj IT stručnjaka koji rade potpuno udaljeno, a "svi oni prethodno fizički preuzeli opremu i proveli određeno vrijeme u uredu prije dobivanja te mogućnosti."

Taktike i ciljevi u Europi

Situacija u Europi zahtijeva poseban oprez. Izvještaji ukazuju na povećanu aktivnost sjevernokorejskih operativaca u zemljama poput Njemačke, Portugala i Velike Britanije, s fokusom na web razvoj, blockchain i AI. Platforme poput Upworka i Freelancera koriste se za pronalaženje poslova, dok se plaćanja vrše preko kriptovaluta i servisa kao što su Wise i Payoneer. Posebno zabrinjava korištenje lokalnih "facilitatora" koji pomažu u održavanju lažne prisutnosti, tako što osiguravaju službena računala u zemlji navodnog rada.

Iz Spana potvrđuju ovaj logistički aspekt: "Prema trenutačnom modelu, sjevernokorejski IT radnici prvo se spajaju na tzv. „farmu“ laptopa u zemlji poslodavca, a tek onda pristupaju IT sustavu firme. To je za njih logistički zahtjevno jer, osim te farme, trebaju i osobe koje će im pomoći izvući novac (tzv. money mule)."

Generativna umjetna inteligencija kao saveznik i prijetnja

Napadači koriste AI za kreiranje deepfake videozapisa za intervjue, generiranje lažnih portfelja i real-time manipulaciju tijekom online razgovora. No, tvrtke se također okreću tehnologiji i edukaciji kao odgovoru.

"Kao tvrtki kojoj je kibernetička sigurnost jedna od temeljnih djelatnosti, kontinuirano pratimo razvoj sofisticiranih prijetnji, uključujući i one koje koriste AI i deepfake tehnologije," kažu iz Combisa. Na sličan način odgovara i Andro Galinović: "Razina svijesti o ovakvim rizicima u IT zajednici svakodnevno raste. I sami u sklopu naših mjesečnih edukacija o kibernetičkoj sigurnosti posvećujemo pažnju aktualnim temama, među ostalima i upravo ovoj problematici."

Iz Spana upozoravaju na evoluciju prijetnje uz pomoć AI: "Do neke mjere postoji svijest o riziku, ali vrlo često se vodimo mišljenjem kako mi nismo interesantni napadačima. Primjerice, jezična barijera je podupirala takvo razmišljanje, ali AI alati su srušili tu barijeru i omogućili skaliranje napada. Kako vrijeme prolazi rizik za prijevare je sve veći."

Realnost rizika

Kolika je stvarna opasnost za hrvatske tvrtke? "Procjena stvarnog rizika ovisi o zrelosti i temeljitosti procesa zapošljavanja i sigurnosnih provjera svake pojedine tvrtke," pragmatični su u Combisu. Infobip smatra da bi u njihovom slučaju takav scenarij bio "vrlo teško izvediv" zbog strogih protokola, ali upozoravaju: "Veći rizik postoji u tvrtkama koje zapošljavaju isključivo na daljinu, s ubrzanim selekcijskim procesima."

Span ukazuje na geografski faktor: "Koliko znamo, takve farme [laptopa] su do sada otkrivene samo u Ujedinjenom Kraljevstvu i SAD-u, pa je rizik za firme koje zapošljavaju isključivo unutar Hrvatske zasad nizak. S druge strane, hrvatske firme koje imaju urede u tim zemljama, ili zapošljavaju radnike iz inozemstva, mogu biti meta ovakvih napada."

Najnoviji trendovi, prema upozorenju FBI-a s početka 2025., pokazuju da se aktivnosti sjevernokorejskih IT radnika šire i na iznuđivanje podataka, gdje otkriveni radnici drže ukradene podatke "kao taoca" dok se ne ispune zahtjevi za otkupninu.

Proaktivnost i svijest kao ključ obrane

Razvoj hrvatske IT industrije čini je sve atraktivnijom metom. Primjeri Combisa, Spana i Infobipa pokazuju da temeljiti procesi zapošljavanja, osobne interakcije i kontinuirana edukacija predstavljaju snažnu liniju obrane. Direktiva NIS2 pruža dodatni okvir, no odgovornost leži na tvrtkama da implementiraju rigorozne kontrole.

"Općenito, tehnološki napredak uvijek donosi nove izazove, stoga je važno da cijela industrija ostane budna i proaktivna," zaključuju iz Combisa. U eri umjetne inteligencije, koja zamagljuje granice stvarnosti, povratak osnovama, tj. temeljitim provjerama i osobnoj interakciji predstavlja najbolju obranu.