Trabalhadores de TI ligados à Coreia do Norte usam identidades falsas e KVMs remotos para se infiltrar em empresas ocidentais
A empresa de segurança Huntress documentou cinco casos em 2026 de operadores ligados à Coreia do Norte, rastreados como 'FAMOUS CHOLLIMA', que conseguiram vagas legítimas de TI em empresas ocidentais usando documentos falsificados e identidades roubadas. Os operadores usam dispositivos de KVM remoto, VPNs e proxies para simular presença local, executam o trabalho de fato e desviam parte do salário para financiar o regime norte-coreano. O caso ilustra como fraude de identidade e engenharia social contra processos de contratação (RH) viraram vetor de financiamento ilícito e evasão de sanções.
A Huntress publicou evidências de cinco casos confirmados, só em 2026, de trabalhadores remotos de TI vinculados à Coreia do Norte que conseguiram ser contratados por empresas ocidentais usando identidades fabricadas. O grupo, rastreado sob o codinome FAMOUS CHOLLIMA, não depende de exploração técnica de sistemas: o vetor de ataque é o próprio processo de recrutamento e onboarding de RH, que os operadores atravessam com documentos falsos, entrevistas simuladas e, em muitos casos, desempenham de fato as funções pelas quais foram contratados — o que torna a fraude difícil de perceber olhando apenas para a qualidade do trabalho entregue.
A engenharia por trás do esquema é sofisticada e reaproveita técnicas de fraude documental clássica somadas a infraestrutura remota. Em um caso na Austrália, dois candidatos apresentaram passaportes chineses e comprovantes de residência com cidades e datas de emissão praticamente idênticas, além do mesmo erro de digitação repetido em contas de utilidade falsificadas — um indício típico de documentos produzidos em lote pela mesma operação. Em outro caso, os operadores usaram roubo de identidade puro: pegaram a foto de uma pessoa real e trocaram digitalmente pelo rosto do impostor, adaptando um documento autêntico para passar pela verificação de emprego. Para simular presença física e evitar detecção por geolocalização, o grupo usa dispositivos PiKVM — um KVM baseado em Raspberry Pi que dá controle remoto em nível de hardware sobre um computador — combinados com VPNs e serviços de proxy residencial como Astrill e IPRoyal, além de ferramentas de compartilhamento de tela como VDO.Ninja e links recorrentes de reunião no Zoom reaproveitados entre 'candidatos'.
O objetivo final não é sabotagem nem roubo de propriedade intelectual isolado, mas geração de receita: os operadores completam o processo de contratação, recebem salário normalmente e enviam parte dos ganhos de volta à Coreia do Norte, financiando programas estatais sob sanções internacionais — uma forma de lavagem de renda e evasão de controles KYC/AML disfarçada de vínculo empregatício legítimo. Como o dinheiro sai formalmente como folha de pagamento, ele escapa dos filtros tradicionais de compliance financeiro voltados a transações suspeitas, o que torna esse vetor particularmente atrativo para o regime.
A detecção prática exige cruzar sinais que isoladamente pareceriam inocentes: documentos de identidade de candidatos diferentes emitidos quase ao mesmo tempo e no mesmo local, jornada de trabalho concentrada perto da meia-noite UTC (fuso compatível com a Ásia sendo mascarado), presença de hardware KVM associada a testes recorrentes de microfone/câmera antes de entrevistas, e inconsistências sutis entre documentos apresentados por candidatos supostamente não relacionados. Áreas de RH e segurança devem atuar em conjunto, cruzando verificação de antecedentes mais rigorosa antes da contratação com monitoramento técnico durante o onboarding — tratando o processo de contratação remota como uma superfície de fraude e não apenas como um processo administrativo.