Kuzey Kore Siber Tehdidi: İş Dolandırıcılığı Artık IT Dışında

Kuzey Kore ile bağlantılı tehdit aktörlerinin uzun süredir devam eden Kuzey Kore iş dolandırıcılığı faaliyetleri, geleneksel bilgi teknolojileri (IT) sektörünün sınırlarını aşarak sağlık ve satış gibi yeni alanlara yayıldı. 31 Ağustos 2026 tarihli son araştırmalar, bu grupların, Pyongyang’ın yasa dışı nükleer silah ve balistik füze programlarını finanse etmek amacıyla Fortune 500 şirketleri ve özel sektör firmalarında uzaktan iş elde etmek için kullandığı yöntemlerin kapsamını genişlettiğini ortaya koyuyor. Çalınmış veya sahte kimlik belgeleri, VPN’ler ve proxy hizmetleri gibi araçlarla gerçek kimlik ve konumlarını gizleyen bu aktörler, küresel iş gücü piyasasında yeni bir güvenlik riski yaratıyor.

Yıllardır Süren Siber Tehdidin Evrimi

Kuzey Kore’nin devlet destekli siber operasyonları, özellikle kalifiye IT çalışanları ağı üzerinden gelir elde etme amacı taşıyan ‘IT çalışanı şeması’ ile yıllardır dikkat çekiyor. Ülke içinde ve dışında faaliyet gösteren bu ağ, dünyanın dört bir yanındaki büyük şirketlerde sahte kimliklerle uzaktan işlere yerleşerek Pyongyang’a yasa dışı gelir akışı sağlıyor. Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta (eski adıyla TAG-121), UNC5267 ve Wagemole gibi farklı isimlerle takip edilen bu kampanya, yalnızca hesapları ele geçirme veya güvenlik açıklarını kullanma üzerine kurulu değil. Aksine, şirketleri uzaktan istihdam etme ve çoğu zaman, işe alındıkları meşru görevleri fiilen yerine getirme gibi daha karmaşık bir sosyal mühendislik yaklaşımı benimsiyor.

Bu strateji, geleneksel siber güvenlik savunmaları için benzersiz bir tespit zorluğu oluşturuyor. Saldırganlar, sistemlere doğrudan bir ihlal gerçekleştirmek yerine, kurumsal yapının içine dışarıdan meşru çalışanlar gibi sızmayı başarıyor. Bu durum, onları klasik tehdit algılama mekanizmalarının radarı dışına çıkararak, uzun vadeli ve kalıcı bir iç tehdit oluşturmalarına olanak tanıyor. Kimlik gizleme amacıyla sanal özel ağlar ve proxy sunucuları kullanmaları, bu operasyonların izini sürmeyi ve faillerini belirlemeyi daha da güçlendiriyor. Geçmişte genellikle yazılım geliştirme, ağ yönetimi veya veri analizi gibi IT odaklı rollerde görülen bu aktörlerin, şimdi farklı sektörlere yönelmesi ise tehdit profilinin genişlediğini gösteriyor.

Yeni Hedefler: Sağlık ve Satış Sektörleri

Siber tehdit aktörlerinin yeni sektörlere yöneldiğini gösteren somut örnekler, bu genişlemenin ciddiyetini ortaya koyuyor. Şubat 2026’da yaşanan bir olayda, Avustralyalı bir sağlık şirketinin üç çalışanı, Kuzey Koreli oldukları şüphesiyle incelenmeye alındı. Bu kişiler, Çinli bireyler gibi görünerek işe girmişti. Tekrarlayan biçimde Astrill VPN ve IPRoyal Proxy hizmetleri üzerinden bağlantı kurmaları, sahtecilikle oluşturulmuş kimlik belgeleri kullanmaları, iki çalışanın pasaportları arasındaki çarpıcı benzerlikler ve işe alım sürecinde sunulan ikametgah belgelerindeki bariz kelime anormallikleri, şüpheleri artırdı.

Tespit edilen bu anormallikler, yalnızca sahte belge üretimi değil, aynı zamanda mevcut kimlik bilgilerinin çalınması veya ödünç alınması ihtimalini de gündeme getirdi. Benzer bir vaka, Ağustos 2026’da adı açıklanmayan bir finansal hizmetler firmasında yaşandı. Burada, bir çalışanın cihazında PiKVM adlı bir donanımın varlığı ortaya çıktı. Bu tür KVM anahtarlarının kullanımı, daha önce Kuzey Kore IT çalışanı şemasıyla ilişkilendirilmişti ve uzaktaki tehdit aktörlerinin ‘laptop çiftliklerinde’ barındırılan cihazlara erişmesine olanak tanıyor. Bu “çalışanın” ayrıca, dahili iletişim araçlarında kendi profil resmi olarak kullanmak üzere, meşru bir GitHub profilinin değiştirilmiş bir sürümünü indirmek için üçüncü taraf bir dosya paylaşım hizmeti olan SendGB’ye eriştiği de belirlendi.

Teknik Detaylar ve Tespit Mekanizmaları

Tehdit aktörlerinin kurumsal ağlara sızmak ve faaliyetlerini sürdürmek için kullandığı teknik detaylar, bu operasyonların sofistike yapısını gözler önüne seriyor. PiKVM gibi KVM (Klavye, Video, Fare) anahtarları veya TinyPilot, uzaktaki bir kullanıcının fiziksel olarak cihazın başında olmadan, hedeflenen bilgisayarı tam kontrolle yönetmesini sağlar. Bu, özellikle “laptop çiftlikleri” olarak adlandırılan, yüzlerce hatta binlerce dizüstü bilgisayarın tek bir yerden uzaktan yönetildiği senaryolarda Kuzey Koreli aktörler tarafından etkin bir şekilde kullanılıyor. Bu sayede, farklı konumlardan farklı kimliklerle birçok şirkette aynı anda çalışabiliyorlar.

Huntress bir analizinde, “DPRK çalışanları savunucular için benzersiz bir tespit zorluğu sunar: Hesapları tehlikeye atmak veya kuruluşların ortamlarındaki boşluklardan içeri girmek yerine, şirketleri uzaktan işe almaya ikna ediyorlar ve çoğu zaman gerçekten işe alındıkları meşru işi yapıyorlar,” ifadelerine yer verdi.

Finansal hizmetler firması vakasında PiKVM kurulumundan günler sonra aynı cihaza bir Guermok USB yakalama kartı da bağlandığı tespit edildi. Guermok, video akışını bir web konferansı uygulaması olan Zoom gibi platformlarda web kamerası girişi olarak göndermeyi sağlayan bir aygıttır. Guermok’un tek başına kullanımı şüpheli olmasa da, PiKVM kurulumu ile Guermok USB eklentisinin art arda gerçekleşmesi, bu cihazların kötü niyetli amaçlarla, muhtemelen gözetleme veya veri sızdırma gibi faaliyetler için kullanıldığına dair güçlü işaretler barındırıyor. Bu gibi donanım tabanlı çözümler, yazılım tabanlı izleme sistemlerini atlatmak için tercih ediliyor.

Kurumlar İçin Artan Riskler ve Zorlu Tespitler

Kuzey Kore iş dolandırıcılığının IT dışına taşınması, şirketler için yeni ve karmaşık riskler doğuruyor. Özellikle sağlık ve finans gibi hassas veri işleyen sektörlerde, bu tür bir iç tehdit, yalnızca finansal kayıplara değil, aynı zamanda fikri mülkiyet hırsızlığına, stratejik bilgilere erişime ve hatta ulusal güvenlik risklerine yol açabilir. Aktörlerin “meşru iş” yapıyor gibi görünmesi, onları geleneksel güvenlik kontrollerinden kaçırmakta ve uzun süre tespit edilemeden kalmalarına olanak tanımakta. Bu durum, insan kaynakları ve siber güvenlik ekipleri arasında yeni bir koordinasyon ihtiyacını beraberinde getiriyor.

Kimlik belgelerinin sahteciliği veya çalınan kimliklerin kullanılması, işe alım süreçlerindeki güven zafiyetlerini ortaya koyuyor. Özellikle uzaktan çalışmanın yaygınlaştığı bir dönemde, adayların kimliklerini ve geçmişlerini doğrulamak kritik hale geliyor. Gözden kaçan kelime anormallikleri veya pasaportlardaki benzerlikler gibi detaylar, dikkatli bir inceleme ile önemli ipuçları sağlayabilir. Şirketler, bu tür tehditlere karşı koyabilmek için yalnızca dijital güvenlik önlemlerini değil, aynı zamanda insan faktörünü ve işe alım süreçlerindeki zafiyetleri de hedef alan bütüncül bir yaklaşıma ihtiyaç duyuyor.

Savunma Stratejileri ve Geleceğin Siber Güvenliği

Bu tür sofistike sosyal mühendislik ve iç tehdit operasyonlarına karşı koymak için kurumların proaktif ve çok katmanlı savunma stratejileri geliştirmesi gerekiyor. İlk adım, işe alım süreçlerini güçlendirmektir. Potansiyel çalışanların kimlik doğrulama süreçlerini sıkılaştırmak, geçmiş kontrollerini derinleştirmek ve uzaktan işe alımlarda daha kapsamlı referans araştırmaları yapmak önemlidir. Özellikle uluslararası çalışanlar için sunulan kimlik ve ikamet belgelerinin dijital forensik yöntemlerle incelenmesi, sahtecilik belirtilerini ortaya çıkarabilir.

Teknik tarafta ise, ağ trafiğinin sürekli izlenmesi ve anormalliklerin tespit edilmesi hayati öneme sahip. Astrill VPN ve IPRoyal Proxy gibi bilinen sanal özel ağ ve proxy hizmetlerinin kullanımını tespit eden sistemler kurmak, şüpheli bağlantıları otomatik olarak işaretleyebilir. PiKVM ve TinyPilot gibi uzaktan yönetim araçlarının kurumsal ağlarda yetkisiz kullanımını izlemek, kritik bir savunma hattı oluşturur. Ayrıca, çalışanların cihazlarına harici donanım (Guermok USB yakalama kartı gibi) takılmasını engelleyen veya tespit eden fiziksel ve yazılımsal güvenlik çözümleri de düşünülmeli. Dosya paylaşım hizmeti kullanımının denetlenmesi ve beklenmedik dosya indirmelerinin takibi de bu zincirin önemli bir halkasıdır.

Bu gelişmeler, siber savaşın yeni bir cephesini temsil ediyor. Devlet destekli aktörlerin, ekonomik yaptırımları aşmak ve ulusal programlarını finanse etmek için yalnızca siber saldırılarla değil, aynı zamanda insan kaynakları ve sosyal mühendislik üzerinden de hareket ettiğini gösteriyor. Şirketler, bu hibrit tehdit ortamında ayakta kalabilmek için sürekli eğitim, teknolojik altyapı güncellemeleri ve insan odaklı güvenlik yaklaşımlarını bir arada uygulamak zorunda. Geleceğin siber güvenliği, sadece dijital duvarlar örmekle değil, aynı zamanda insan zafiyetlerini ve sosyal manipülasyonları da kapsayan kapsamlı stratejilerle şekillenecek.