Исследователи Silent Push выявили северокорейского IT-работника, который через Discord ищет иностранцев для прохождения собеседований и оформления удалённой работы под их именем. За роль посредника, который будет изображать перед работодателем кандидата и получать зарплату, предлагали 35%, остальные 65% уходили организаторам схемы.
Расследование началось с поддельной вакансии в Discord-сообществе Mouse Review. Аккаунт tecguru113 искал партнёров из США, стран ЕС и Латинской Америки. Аналитик Silent Push создал вымышленный профиль и связался с автором через Telegram. Посредник объяснил механизм: иностранец должен включать камеру на собеседовании, разговаривать с работодателем, пока настоящий программист помогает с ответами и выполняет техническую работу.
Во время тестовых заданий предлагалось подключение к компьютеру посредника через AnyDesk, TeamViewer или Chrome Remote Desktop, чтобы северокорейский специалист мог самостоятельно писать код. Для ответов на вопросы допускалось использование ChatGPT. Фактически одного сотрудника разделяли на две роли: локальный посредник предоставлял лицо, документы и счёт, а удалённый программист выполнял работу.
Собеседник сразу рекомендовал Astrill VPN. Silent Push ранее связывала этот сервис с инфраструктурой северокорейских IT-работников. Это деталь, но не прямое доказательство.
Когда аналитик попросил включить камеру, собеседник согласился, но отказался демонстрировать экран. После упоминания Северной Кореи быстро отключил видео. Silent Push изучила технические, финансовые и инфраструктурные данные и пришла к выводу, что оператор гражданин КНДР. Прямого признания не было, поэтому это атрибуция исследователей, а не доказанный факт.
Модель совпадает со схемами, которые власти нескольких стран связывают с северокорейскими удалёнными работниками. В предупреждении от 31 июля 2026 года США, Великобритания, Германия, Франция, Нидерланды, Япония, Южная Корея и другие государства описали использование поддельных документов, посредников, VPN, удалённого управления и чужих банковских счетов. Посредники проходят интервью вместо настоящего работника и получают часть зарплаты за предоставление своей личности.
Другой вариант — так называемые ноутбучные фермы. Компания отправляет компьютер на адрес в США или другую разрешённую страну, посредник включает устройство и предоставляет удалённый доступ. Работодатель видит локальный IP-адрес и предполагает, что сотрудник работает из указанного региона.
В апреле 2026 года Министерство юстиции США сообщило о схеме, в которой участники помогли северокорейским специалистам устроиться в более чем 100 компаний. Использовали личности как минимум 80 американцев и получили свыше 5 млн долларов. Двух организаторов ноутбучных ферм приговорили к 108 и 92 месяцам заключения.
Рис для работодателя не ограничивается оплатой труда человека под чужим именем. ФБР предупреждало, что после трудоустройства северокорейские IT-работники получают доступ к исходному коду и внутренним системам, копируют конфиденциальные данные, а затем требуют выкуп за молчание о утечке.
Silent Push рекомендует проверять не только документы и резюме, но и реальное местонахождение кандидата во время собеседования, сопоставлять географию подключений, внимательно относиться к VPN и удалённому управлению, проверять совпадение имени работника с владельцем расчётного счёта. Ни один признак не подтверждает связь с КНДР, но комбинация поддельной личности, посредника перед камерой, скрытого удалённого доступа и необычной схемы платежей требует дополнительной проверки.
