Huntress ha osservato che il programma di falsa assunzione legato alla DPRK è andato oltre i ruoli IT: i casi recenti includono sanità, vendite e marketing. Il cambio conta perché sposta il rischio dall’accesso tecnico alla possibilità di toccare dati di pazienti e clienti.
Il meccanismo resta lo stesso. Gli operatori usano identità rubate o false, poi nascondono la posizione con VPN, proxy e setup con laptop farm o KVM remoti per sembrare dipendenti normali. Così non entrano forzando una rete: entrano passando dall’onboarding, e il comportamento può sembrare lavoro legittimo.
Per chi assume da remoto, soprattutto in funzioni che vedono dati sensibili, il punto debole è la verifica dell’identità al momento dell’ingresso. Se il profilo passa come reale, i controlli su account ed endpoint possono restare muti mentre l’accesso ai dati è già stato concesso.