La Corea del Nord ha trasformato il lavoro digitale a distanza in uno strumento per aggirare le sanzioni internazionali e procurarsi valuta estera. Secondo le autorità statunitensi, migliaia di tecnici informatici legati a Pyongyang cercano incarichi presso imprese straniere, comprese quelle americane, presentandosi con generalità false o sottratte a cittadini ignari. Una volta assunti, lavorano contemporaneamente per più organizzazioni e trasferiscono una parte consistente dei compensi al regime di Kim Jong Un. Il documentario del Wall Street Journal, “Infiltrated: North Korea’s Secret US Workforce”, ricostruisce il funzionamento di una di queste cellule. L’inchiesta, durata un anno, si basa su una vasta raccolta di materiale fuoriuscito dai sistemi utilizzati dal gruppo: messaggi di posta elettronica, calendari, dati di navigazione e registrazioni delle attività svolte sui computer. Queste informazioni mostrano come gli operatori vengano preparati, come cerchino impiego e quali tecniche adottino per nascondere la propria provenienza. In poco più di tre mesi, la squadra esaminata dal Wall Street Journal avrebbe inviato candidature a oltre mille aziende. Gli strumenti di intelligenza artificiale venivano impiegati lungo quasi tutto il processo di selezione: per redigere curriculum e lettere motivazionali, migliorare la conoscenza dell’inglese e preparare risposte alle domande dei selezionatori. Alcune registrazioni indicavano che i candidati consultavano direttamente ChatGPT durante i colloqui. Con il rafforzamento dei controlli da parte delle imprese, gli operatori avrebbero inoltre sperimentato programmi capaci di modificare digitalmente il volto durante le videochiamate. L’intelligenza artificiale, in questo modo, non serviva soltanto a costruire una candidatura credibile, ma anche a ridurre le possibilità di essere identificati. Poiché la consegna di un computer aziendale direttamente in Corea del Nord farebbe scattare immediatamente i controlli, gli operatori ricorrono alle cosiddette “laptop farm”. Si tratta di abitazioni o locali negli Stati Uniti nei quali intermediari conservano e mantengono collegati i dispositivi forniti dai datori di lavoro. Il tecnico nordcoreano può così controllare il computer a distanza, facendo apparire la connessione come proveniente dal territorio americano. Gli intermediari possono occuparsi anche della ricezione della posta, dell’apertura di conti, dell’incasso dei compensi e, in determinate circostanze, della partecipazione a videochiamate aziendali. Alcuni collaborano consapevolmente; altri vengono reclutati senza conoscere la reale identità delle persone che stanno aiutando. In un caso raccontato al giornale, un residente dell’Ohio avrebbe persino presenziato alle riunioni al posto del tecnico effettivo, dividendo con lui lo stipendio. Le indagini federali hanno confermato che il fenomeno non è marginale. Nel dicembre 2024 il Dipartimento di Giustizia ha incriminato quattordici cittadini nordcoreani, accusandoli di avere utilizzato identità false o rubate e di aver generato almeno 88 milioni di dollari in circa sei anni. Si tratta comunque di accuse, non di condanne definitive. In un’altra operazione, una rete facilitata dall’interno degli Stati Uniti avrebbe permesso a lavoratori collegati alla Corea del Nord di entrare in più di 300 aziende americane. Per superare i controlli fiscali e occupazionali, gli operatori utilizzano documenti, indirizzi e dati personali appartenenti a cittadini statunitensi. Una sola identità può essere impiegata per ottenere diversi contratti nello stesso periodo, mentre ogni tecnico può amministrare numerosi profili fittizi.Le persone a cui vengono sottratti i dati rischiano di ritrovarsi associate a stipendi mai percepiti, dichiarazioni fiscali irregolari e attività finanziarie sospette. Un uomo della Georgia intervistato dal Wall Street Journal ha riferito che, dopo la vendita online e l’impiego della sua identità, ha incontrato difficoltà nell’aprire conti bancari, ottenere finanziamenti e affittare un’abitazione. Il sistema, quindi, non danneggia solamente le imprese infiltrate: può compromettere per anni la posizione economica e amministrativa dei cittadini coinvolti. L’assunzione fraudolenta comporta rischi che vanno oltre il pagamento di uno stipendio a una persona non autorizzata. Una volta ottenute le credenziali interne, l’operatore può accedere al codice sorgente, ai dati riservati, ai sistemi finanziari e alle infrastrutture informatiche dell’azienda. In alcuni episodi contestati dalle autorità, lavoratori nordcoreani avrebbero sottratto informazioni proprietarie per poi minacciare di divulgarle se l’impresa non avesse pagato un riscatto. Altri avrebbero cercato incarichi presso società del settore blockchain proprio per guadagnarne la fiducia e raggiungere i portafogli digitali. Nel 2025 il Dipartimento di Giustizia ha annunciato procedimenti relativi al furto di più di 900.000 dollari in valuta virtuale da una società di ricerca blockchain di Atlanta e a un’ulteriore sottrazione di oltre 750.000 dollari ai danni di due imprese. Anche in questi casi si parla di contestazioni giudiziarie.

Gli attacchi nordcoreani contro obiettivi americani e il furto sistematico di criptovalute

L’infiltrazione nel mercato del lavoro rappresenta soltanto una parte della strategia informatica attribuita a Pyongyang. Nel 2014 l’FBI indicò il governo nordcoreano come responsabile dell’attacco contro Sony Pictures Entertainment. Gli aggressori sottrassero documenti, comunicazioni interne e dati personali, distrussero numerosi sistemi e costrinsero la società a interrompere parte delle proprie attività. L’operazione fu collegata all’uscita del film “The Interview”, incentrato su un complotto immaginario contro Kim Jong Un. Alle unità nordcoreane è stata attribuita anche la creazione di WannaCry, il ransomware che nel 2017 colpì centinaia di migliaia di computer in numerosi Paesi. Negli Stati Uniti le campagne riconducibili a Pyongyang hanno inoltre preso di mira aziende tecnologiche, società energetiche, appaltatori della difesa e personale dei dipartimenti di Stato e della Difesa mediante messaggi di spear phishing e programmi malevoli. Un altro fronte ha riguardato la sanità. Il Dipartimento di Giustizia ha accusato un operatore legato all’intelligence nordcoreana di aver partecipato ad attacchi ransomware contro ospedali e fornitori sanitari americani. Secondo l’accusa, i riscatti venivano riciclati e successivamente utilizzati per finanziare intrusioni contro organizzazioni governative, tecnologiche e militari. Le autorità hanno intercettato circa 114.000 dollari in valuta virtuale collegati a queste operazioni. Le criptovalute sono diventate una delle principali fonti illecite di finanziamento del regime. Gli hacker nordcoreani ricorrono a falsi reclutatori, applicazioni di trading contraffatte, collegamenti infetti e tecniche di ingegneria sociale per compromettere dipendenti, sviluppatori e società che amministrano portafogli digitali.

Tra i casi attribuiti ufficialmente alla Corea del Nord figurano:

• il furto di 11,8 milioni di dollari da una società finanziaria di New York nel 2020, realizzato, secondo il Dipartimento di Giustizia, mediante un’applicazione di criptovalute contenente una porta d’accesso nascosta;
• la sottrazione di 100 milioni di dollari dal bridge Horizon di Harmony nel giugno 2022, attribuita dall’FBI ai gruppi Lazarus e APT38;
• il furto di 4.502,9 bitcoin, valutati allora circa 308 milioni di dollari, dalla piattaforma giapponese DMM Bitcoin nel maggio 2024;
• l’attacco contro l’exchange Bybit del 21 febbraio 2025, nel quale furono sottratti asset virtuali per circa 1,5 miliardi di dollari. L’FBI ha attribuito l’operazione al gruppo nordcoreano indicato come TraderTraitor.

Dopo ogni sottrazione, le criptovalute vengono generalmente spostate attraverso numerosi portafogli, servizi di scambio, bridge tra blockchain e strumenti progettati per nascondere la provenienza dei fondi. Una volta riciclato, il denaro può essere convertito o impiegato per acquistare beni e servizi destinati al regime. Secondo il Tesoro americano, un singolo informatico nordcoreano può arrivare a produrre fino a 300.000 dollari l’anno. Il governo di Pyongyang tratterrebbe fino al 90% dei guadagni degli operatori inviati o impiegati all’estero, ricavando complessivamente centinaia di milioni di dollari ogni anno.  Questi proventi, insieme al denaro ottenuto mediante estorsioni e furti di criptovalute, vengono considerati dalle autorità statunitensi una fonte di sostegno per i programmi missilistici e per le armi di distruzione di massa della Corea del Nord. Il lavoro remoto fraudolento, lo spionaggio informatico e la criminalità finanziaria costituiscono dunque componenti complementari della stessa strategia: penetrare nelle economie straniere, sottrarre risorse e trasferirle a un regime fortemente limitato dalle sanzioni internazionali.

@riproduzione riservata