Kuzey Kore’nin İş Dolandırıcılığı Sağlık ve Satış Sektörlerine Sıçradı

Yıllardır bilgi teknolojileri sektörünü hedef alan Kuzey Kore iş dolandırıcılığı faaliyetleri, son dönemde yeni bir boyut kazanarak sağlık ve satış gibi alanlara da yayıldı. Demokratik Halk Cumhuriyeti (DPRK) ile bağlantılı tehdit aktörleri, uluslararası yaptırımlara rağmen ülkenin yasa dışı nükleer silah ve balistik füze programlarını finanse etmek amacıyla uzaktan çalışma pozisyonlarına sızmaya devam ediyor. Bu genişleme, küresel ölçekte uzaktan istihdam süreçlerinin güvenlik açıkları ve kimlik doğrulama mekanizmalarındaki zafiyetler konusunda ciddi endişeleri beraberinde getiriyor.

Siber Dünyadan Yeni Hedeflere: Genişleyen İstihdam Taktikleri

Kuzey Kore’nin siber güvenlik tehditleri konusunda uzun bir geçmişi bulunuyor. Geçmişte daha çok siber saldırılar ve fidye yazılımlarıyla anılan bu grup, son yıllarda “BT çalışanı şeması” olarak bilinen farklı bir strateji benimsedi. Bu şema kapsamında, yetenekli BT çalışanları –hem ülke içinden hem de dışından– sahte kimlikler, sanal özel ağlar (VPN) ve proxy hizmetleri kullanarak dünyanın dört bir yanındaki Fortune 500 şirketleri ve özel sektör firmalarında uzaktan işler buluyorlardı. Amaç, gizlice gelir elde ederek Pyongyang’ın yasa dışı silah programlarına kaynak sağlamaktı.

Bu karmaşık ve uzun soluklu operasyonlar, güvenlik araştırmacıları tarafından Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta (eski adıyla TAG-121), UNC5267 ve Wagemole gibi farklı isimlerle izleniyor. Tehdit aktörleri, hesapları ele geçirmek veya sistem açıklarından faydalanmak yerine, şirketleri kendilerini uzaktan işe almaya ikna ederek sistemlere sızıyor. Bu durum, onlara geleneksel siber saldırılardan daha farklı bir avantaj sağlıyor; çünkü işe alınan kişiler çoğu zaman kendilerinden beklenen meşru işi yapıyor gibi görünüyor, bu da tespit edilmelerini zorlaştırıyor.

Gizlenmiş Kimlikler ve Gelişmiş Erişim Araçları

Kuzey Koreli çalışanların tespitini güçleştiren temel yöntemlerden biri, gerçek kimlik ve konumlarını maskelemek için kullandıkları araçlardır. Sahte veya çalıntı kimlik belgeleri, VPN hizmetleri (örneğin Astrill VPN) ve IPRoyal Proxy gibi proxy servisleri, bu kişilerin coğrafi konumlarını gizlemelerine olanak tanıyor. Şirketlerin işe alım süreçlerinde sundukları elektronik faturalardaki bariz kelime anormallikleri veya pasaportlardaki benzerlikler gibi detaylar, ancak kapsamlı incelemeler sonucunda fark edilebiliyor.

Teknik tarafta, finansal hizmetler sektöründeki isimsiz bir firmada ortaya çıkan bir vakada, çalışan cihazında PiKVM kullanımının tespit edilmesi dikkat çekici. PiKVM veya TinyPilot gibi KVM anahtarları, Kuzey Koreli BT çalışanlarının “laptop çiftlikleri” olarak bilinen düzenekler aracılığıyla cihazlara uzaktan bağlanmasına olanak tanıyor. Ayrıca, bu “çalışanların” SendGB gibi üçüncü taraf dosya paylaşım hizmetlerini kullanarak yasal bir GitHub profilinin değiştirilmiş bir sürümünü indirdiği ve muhtemelen bunu dahili iletişim araçlarında kendi profil resmi olarak kullanmayı amaçladığı belirlendi. PiKVM kurulumundan günler sonra, aynı cihaza Guermok USB yakalama kartının takılması, web konferans uygulamalarında (örneğin Zoom) video akışını webcam girişi olarak göndermeyi hedefleyen şüpheli bir eylem olarak yorumlandı. Guermok’un tek başına kullanımı şüpheli olmasa da, PiKVM kurulumu ile ardışık olarak gerçekleşmesi alarm zillerini çaldırdı.

Finans, Sağlık ve Satış Sektörleri Risk Altında

Bu genişleme, özellikle hassas verilerin işlendiği sağlık, finans ve müşteri ilişkilerinin kritik olduğu satış-pazarlama sektörleri için büyük riskler barındırıyor. Kuzey Koreli aktörler artık yalnızca yazılım geliştirme veya IT altyapısı projeleriyle sınırlı kalmıyor; doğrudan hasta bilgileri, finansal kayıtlar veya ticari sırlar gibi kritik bilgilere erişim sağlayabilecek pozisyonlara sızabiliyorlar. Bu durum, veri ihlali riskini artırmakla kalmıyor, aynı zamanda şirketlerin itibarını ve müşterilerinin güvenliğini de tehlikeye atıyor.

Şubat 2026’da Avustralyalı bir sağlık şirketinde yaşanan bir olay, bu tehdidin ciddiyetini gözler önüne serdi. Üç çalışanın, Çinli bireyleri taklit eden Kuzey Koreli çalışanlar olduğu tespit edildi. Bu kişilerin Astrill VPN ve IPRoyal Proxy üzerinden sürekli bağlantı kurmaları, sahte kimlik belgeleri kullanmaları ve pasaportlarındaki benzerlikler bu duruma işaret ediyordu. Ağustos 2026’da Huntress tarafından incelenen bir başka olayda ise, yalnızca 13 gün önce işe başlayan bir satış ve pazarlama çalışanının, işi almak için çalıntı veya ödünç alınmış bir kimliği kullandığı ortaya çıktı. Bu vakalar, sektörlerin daha önce odaklanmadığı alanlarda dahi bu tür dolandırıcılıkların ne kadar yaygınlaşabileceğini gösteriyor.

Kurumlar İçin Güçlü Doğrulama ve Sürekli İzleme Gerekliliği

Şirketlerin, bu tür gelişmiş istihdam dolandırıcılığına karşı savunma mekanizmalarını güçlendirmesi kritik önem taşıyor. Öncelikle, işe alım süreçlerinde kapsamlı kimlik doğrulama adımları uygulanmalı ve sunulan belgelerin gerçekliği çok katmanlı yöntemlerle teyit edilmelidir. Sadece kimlik belgeleri değil, ikametgâh ve referans kontrolleri de detaylıca araştırılmalı, dijital ayak izleri (örneğin sosyal medya ve profesyonel ağlardaki profiller) titizlikle incelenmelidir.

Uzaktan çalışma ortamlarında çalışanların ağ etkinliğinin sürekli izlenmesi de büyük önem taşıyor. Olağan dışı VPN veya proxy kullanımı, bilinmeyen KVM cihazlarının tespiti veya şüpheli donanım eklentileri (Guermok gibi) güvenlik ekipleri tarafından derhal incelenmelidir. Ayrıca, dahili iletişim araçlarında kullanılan profil resimleri gibi basit görünen detayların bile dolandırıcılık amacıyla manipüle edilip edilmediği kontrol edilmelidir. Bu tedbirler, kurumların iç tehditlere karşı daha dirençli hale gelmesini sağlayabilir.

Siber Güvenlikte Yeni Nesil İç Tehdit Modelleri

Kuzey Kore iş dolandırıcılığının IT sektöründen çıkarak sağlık, finans ve satış gibi alanlara yayılması, siber güvenlik dünyasında yeni bir iç tehdit modelinin ortaya çıktığını gösteriyor. Artık sadece dışarıdan gelen saldırılara odaklanmak yeterli değil; kurumlar, kendi bünyesine sızmış, meşru bir çalışan gibi görünen ancak gizli ajandaları olan kişilere karşı da tetikte olmak zorunda. Bu durum, özellikle uzaktan çalışma modelinin yaygınlaştığı günümüzde, şirketlerin siber güvenlik stratejilerini baştan sona gözden geçirmesini gerektiriyor.

Bu gelişmeler, uluslararası yaptırımların ve teknik engellemelerin ötesine geçen, insan faktörünü manipüle etmeye dayalı daha sofistike tehditlerin habercisi. Küresel iş gücü piyasasının ve uzaktan çalışma esnekliğinin getirdiği fırsatların yanında, bu tür riskler de yadsınamaz. Şirketlerin, sadece teknolojik savunma sistemlerine değil, aynı zamanda insan kaynakları ve güvenlik ekipleri arasındaki koordinasyonu güçlendirmeye de yatırım yapması, bu yeni nesil tehditlere karşı ayakta kalabilmenin anahtarı olacaktır.