Lima pekerja palsu Korea Utara lolos rekrutmen—perannya makin luas

Huntress melaporkan pada 26 Agustus 2026 bahwa lima individu yang telah direkrut organisasi mitranya sepanjang tahun ini dinilai kemungkinan merupakan pekerja jarak jauh Korea Utara. Investigasi Huntress menempatkan mereka di lingkungan TI, medis, jasa keuangan, serta penjualan dan pemasaran—menunjukkan bahwa skema tersebut tidak lagi terbatas pada pekerjaan teknologi.

Kelima orang itu memperoleh pekerjaan melalui jalur lamaran dan onboarding perusahaan, bukan dengan membobol akun karyawan yang sudah ada. Laporan ITPro pada 28 Agustus menyebut sebagian bahkan menjalankan tugas normal setelah diterima; namun, identifikasi mereka tetap berupa asesmen keamanan, bukan putusan pengadilan atau pengumuman dakwaan.

Mengapa akses mereka tampak sah

Kesulitan utama dalam lima kasus ini adalah akses diberikan melalui proses perusahaan yang normal. Setelah kandidat diterima, akun, perangkat, dan izin kerja mereka terlihat seperti milik pegawai sah karena memang dibuat oleh organisasi, bukan dicuri melalui serangan eksternal.

Dalam kasus yang mulai diperiksa pada Februari, sebuah organisasi mitra di Australia mencurigai tiga pegawai sektor kesehatan yang diduga menyamar sebagai warga China. Analisis enam bulan log Microsoft 365 menemukan autentikasi melalui Astrill VPN, IPRoyal Proxy, dan infrastruktur lain, disertai pola lokasi serta jam aktif yang tidak sesuai dengan profil kerja yang diklaim.

Kasus lain di sebuah perusahaan jasa keuangan memperlihatkan bagaimana akses jarak jauh dapat disembunyikan pada tingkat perangkat keras. Jejak Windows menunjukkan laptop pegawai terhubung ke PiKVM V4 Mini sekitar sepekan sebelum perangkat lunak Huntress dipasang, lalu ke kartu tangkap Guermok yang dapat meneruskan video eksternal sebagai masukan kamera. Rangkuman IT Security Guru juga mencatat perpindahan laptop dari router perjalanan ke jaringan rumah sebelum akhirnya memakai koneksi ethernet tetap.

Lima lapisan indikator yang diamati

Bukti dalam investigasi tidak bertumpu pada aksen, penampilan, atau satu alamat IP. Huntress menghubungkan kejanggalan dari beberapa lapisan yang muncul pada identitas, akun, dan perangkat yang sama:

• Identitas: foto profil yang diambil dari akun GitHub orang lain lalu diubah, data milik orang nyata dengan wajah pengganti, tanda tangan yang tampak ditempel secara digital, serta dokumen dua pegawai dengan pola yang saling bertumpang tindih.
• Jaringan: autentikasi berulang melalui Astrill VPN dan IPRoyal Proxy, penggunaan infrastruktur hosting tertentu, serta geolokasi yang tidak konsisten dengan tempat tinggal atau tempat kerja yang dinyatakan.
• Perangkat: PiKVM untuk mengendalikan komputer melalui peramban pada tingkat perangkat keras dan kartu tangkap Guermok yang dapat memasukkan video eksternal ke aplikasi konferensi.
• Pola akses: kurang dari separuh aktivitas tiga akun terjadi pada jam kerja yang diharapkan, dengan puncak tepat tengah malam UTC; pada kasus lain, pengguna memeriksa alamat IP publik beberapa menit sebelum rapat Zoom.
• Onboarding dan perilaku kerja: penggunaan layanan berbagi berkas, alat pengalihan layar atau video, ekstensi penerjemahan dan pelafalan, pengujian mikrofon berulang, serta publikasi tautan dan kata sandi rapat rutin di situs berbagi kode.

Dua pegawai sektor kesehatan juga menyerahkan paspor, kartu identitas penduduk, dan tagihan listrik yang tampak meyakinkan. Pemeriksaan menemukan paspor diterbitkan di Shenzhen dengan selisih satu hari, kartu identitas memiliki masa berlaku serta kantor penerbit yang sama, alamatnya berada di jalan yang sama, dan foto paspor diambil memakai model ponsel yang sama dengan selisih delapan menit. Rangkaian kecocokan itu lebih bermakna daripada setiap detail jika dinilai sendirian.

VPN, PiKVM, kartu tangkap, alat penerjemahan, dan jadwal kerja tidak biasa semuanya dapat memiliki penggunaan yang sah. Kekuatan asesmen muncul ketika anomali identitas, infrastruktur, perangkat, dan perilaku saling menguatkan pada pekerja yang sama.

Verifikasi tidak berhenti setelah onboarding

Temuan tersebut membuat verifikasi pascaperekrutan sama pentingnya dengan pemeriksaan kandidat. Sebelum akses diberikan, organisasi dapat mencocokkan identitas, riwayat kerja, wajah orang yang diwawancarai, lokasi yang diklaim, dan penerima pembayaran melalui jalur independen, bukan hanya mengandalkan salinan dokumen yang dikirim kandidat.

Wawancara langsung dengan pertanyaan dinamis dan demonstrasi keterampilan membantu memastikan bahwa orang yang diwawancarai juga orang yang akan bekerja. Dokumen perlu diperiksa untuk konsistensi tanggal penerbitan, metadata foto, tanda manipulasi, dan kemiripan dengan berkas kandidat lain. Notaris atau penyedia verifikasi resmi dapat digunakan bila sesuai dengan hukum setempat dan kebutuhan peran.

Sesudah onboarding, telemetri harus tersedia sejak perangkat perusahaan pertama kali diaktifkan. Tim keamanan dapat menginventarisasi perangkat USB, mendeteksi PiKVM dan kartu tangkap melalui log sistem, membandingkan autentikasi dengan lokasi serta zona waktu yang telah diverifikasi, dan mengorelasikan data endpoint, identitas, peramban, cloud, serta jaringan. Hak akses awal yang terbatas mengurangi dampak jika identitas kemudian tidak dapat dikonfirmasi.

Eskalasi harus berbasis bukti, bukan profil

Kewarganegaraan, aksen, penampilan, kebutuhan alat bantu bahasa, atau penggunaan VPN saja tidak membuktikan hubungan dengan Korea Utara. Memperlakukan ciri tersebut sebagai vonis akan menghasilkan banyak kesalahan sekaligus membuka risiko diskriminasi terhadap pekerja jarak jauh yang sah.

Ambang pemeriksaan sebaiknya berlaku sama bagi semua kandidat dan pegawai. Satu login melalui VPN dapat memicu verifikasi rutin; gabungan dokumen termanipulasi, lokasi yang terus berubah, perangkat kendali tersembunyi, dan pengalihan video dapat membenarkan penyelidikan formal. HR, keamanan, hukum, dan kepatuhan perlu mencatat dasar keputusan serta memberi pekerja kesempatan menjelaskan anomali.

Jika ditemukan risiko langsung terhadap data atau sistem, akses dapat dibatasi secara proporsional sambil log dan artefak forensik dipertahankan. Pertanyaan yang diuji adalah apakah identitas, lokasi, perangkat, dan pola akses sesuai dengan informasi yang telah diverifikasi—bukan dari mana seseorang diperkirakan berasal.

Status lima kasus dan hal yang belum diketahui

Huntress tidak memublikasikan nama lima individu atau organisasi terdampak. Laporannya juga tidak menyatakan bahwa kelimanya telah didakwa, merinci lama kerja masing-masing, menghitung pendapatan yang dialihkan, atau menyebut bahwa setiap kasus menyebabkan pencurian data maupun pemasangan malware.

Kesimpulan yang didukung temuan saat ini lebih terbatas tetapi tetap penting: lima pekerja yang dinilai kemungkinan terkait DPRK berhasil memperoleh akses sebagai pegawai, sedangkan pekerjaan dan lingkungan organisasinya telah meluas di luar TI. Kelanjutan kasus bergantung pada penyelidikan organisasi terdampak atau tindakan aparat; bagi perekrut dan tim keamanan, bukti paling kuat tetap berasal dari korelasi identitas dan telemetri teknis sebelum serta sesudah akses diberikan.

Baca juga:

• Agen OpenAI lolos dari sandbox dan membobol Hugging Face
• Satu memori palsu bisa menyesatkan agen AI lama setelah sesi berakhir
• 274 server Zimbra dibobol meski perbaikan sudah tersedia lima minggu