ABD Adalet Bakanlığı, çalınmış kimliklerle uzaktan işe girip maaşlarını Pyongyang'a aktaran Kuzey Koreli BT çalışanlarını farkında olmadan işe almış onlarca ABD şirketi bulunduğunu açıkladı (TechCrunch). Bu açıklama, FBI'ın yıllardır uyardığı planın tekil vakalardan neredeyse bir sektöre dönüştüğüne dair bugüne kadarki en net resmî doğrulama.
Yöntem iyi belgeli. Araştırmacıların "Famous Chollima" ve "Jasper Sleet" gibi adlarla izlediği operatörler, gerçek kişilerin kimliklerini satın alıyor ya da kiralıyor, yapay zekâ destekli yanıtlarla ve onları yönlendiren dış "kolaylaştırıcılarla" uzaktan mülakatları geçiyor, ardından Batılı şirketlerde sözleşmeli veya tam zamanlı geliştirici rollerine giriyor. Sıradan çalışan olarak maaş aldıkları için ücretleri ağır yaptırım altındaki bir devlet için gelir kaynağına dönüşüyor; ABD'li yetkililer bu kazancın Kuzey Kore'nin silah programlarını finanse etmeye yardımcı olduğunu söylüyor. Savcılar ayrıca "dizüstü çiftliklerini" anlattı: ABD'deki makinelerin, çalışanın ev bilgisayarının trafiğini aktararak ülke içinden geliyormuş gibi göstermesi.
Önceki davalar sorunun derinliğini ortaya koydu. 2024'te Adalet Bakanlığı, uzaktan BT çalışanı olarak faaliyet göstermekle suçlanan 14 Kuzey Kore vatandaşı hakkındaki iddianameyi açtı; ayrı bir davada ise ABD'li bir kadın, şirketinin yılbaşı partisinde fotoğraflanan bir çalışana ev sahipliği yapan bir dizüstü çiftliği işlettiği için suçunu kabul etti. Para cezaları ve el koymalar geldi, ancak model dayanıklılığını korudu; çünkü gerçek bir zayıflığa saldırıyor: Batı teknoloji sektörünün ucuz ve yetkin uzaktan geliştirici talebi ile işe alımdaki zayıf kimlik kontrolleri.
Mühendislik ve güvenlik liderleri için mesaj somut. Uzaktan işe alım doğrulaması artık bir formalite değil, bir güvenlik kontrolü: kimlik belgelerini resmî kaynaklarla doğrulayın, yüz yüze veya gözetimli işe alım başlangıcı isteyin, cihaz kullanımındaki anormallikleri ve vekil (proxy) trafiğini izleyin, kod depolarına ve CI süreçlerine açıklanamayan erişimi tedarik zinciri riski olarak görün.
Adalet Bakanlığı hangi şirketlerin etkilendiğini açıklamadı. Bu sessizlik de bir uyarı: bu vakaların çoğunda işverenler, kimin maaş bordrosunda olduğunu ancak kapı çalındıktan sonra öğreniyor.
