Claro — abaixo está uma versão reescrita, com tom jornalístico, mais fluida e acessível, preservando os termos técnicos em inglês sempre que apropriado.
---
# North Korea amplia esquema de “IT workers” para além da TI e mira novos setores
Atores ligados à República Popular Democrática da Coreia (DPRK), ou Coreia do Norte, vêm ampliando suas operações de infiltração em empresas estrangeiras, agora com movimentação além do setor de tecnologia da informação. Investigações recentes identificaram suspeitos trabalhando também em áreas como sales, marketing e até no setor de saúde.
Essas atividades fazem parte do conhecido esquema de **IT workers**, uma campanha em que a Coreia do Norte explora profissionais qualificados — dentro e fora do país — para conseguir empregos de forma fraudulenta em empresas Fortune 500 e em companhias privadas ao redor do mundo. O objetivo é gerar renda para financiar os programas de armas nucleares e mísseis balísticos de Pyongyang.
O método inclui o uso de documentos de identidade roubados ou falsificados, além de VPNs e proxy services para ocultar localização e identidade reais. A campanha, que já ocorre há anos, também é rastreada por nomes como **Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta**, além das designações anteriores **TAG-121, UNC5267 e Wagemole**.
Segundo a Huntress, esse tipo de ameaça é particularmente difícil de detectar porque os operadores não exploram vulnerabilidades técnicas nem comprometem sistemas por malware. Em vez disso, eles enganam empresas para serem contratados remotamente e, em muitos casos, chegam a executar o trabalho para o qual foram efetivamente contratados.
## Casos recentes revelam novas táticas
Em um caso registrado em fevereiro de 2026, três funcionários de uma empresa de saúde australiana foram identificados como trabalhadores norte-coreanos que se passavam por cidadãos chineses. A suspeita surgiu após a equipe de segurança notar conexões repetidas via **Astrill VPN** e **IPRoyal Proxy**, além de documentos de identidade aparentemente fraudulentos e inconsistências em arquivos enviados como comprovante de residência durante o onboarding.
A Huntress também apontou sinais de fraude em passaportes e carteiras de identidade de residente, mas observou que, mesmo quando os documentos são falsos, ainda pode haver uso de dados legítimos de terceiros que tiveram suas identidades roubadas ou emprestadas.
Em outro incidente, desta vez em uma empresa do setor financeiro não identificada, foi encontrado um **PiKVM** no dispositivo usado pelo suposto funcionário. O uso de KVM switches como **PiKVM** ou **TinyPilot** já havia sido associado ao esquema norte-coreano, permitindo que operadores remotos controlem máquinas hospedadas em laptop farms.
Nesse mesmo caso, o suposto trabalhador também teria acessado o serviço de compartilhamento de arquivos **SendGB** para baixar uma versão modificada de um perfil legítimo do GitHub, provavelmente com a intenção de usar a imagem como foto de perfil em uma ferramenta interna de comunicação.
Dias depois da instalação do PiKVM, o mesmo equipamento recebeu uma placa de captura USB **Guermok**, permitindo streaming de vídeo para uso como webcam input em aplicativos de videoconferência como Zoom. Embora o uso da Guermok isoladamente não seja suspeito, a sequência de eventos reforçou os alertas dos investigadores.
Já em agosto de 2026, a Huntress investigou uma contratação para vendas e marketing realizada 13 dias antes. O caso parecia envolver identidade roubada ou emprestada: o suspeito teria substituído o rosto do titular legítimo pelo próprio depois que os dados da vítima — incluindo nome, data de nascimento, localização e foto policial — foram publicados online por autoridades após a prisão.
“A redução do risco começa na etapa da entrevista e continua com verificações rigorosas de antecedentes antes do onboarding”, disse a Huntress. A empresa recomenda checagens padrão, pesquisa online dos candidatos e validação de histórico profissional para barrar esse tipo de fraude ainda no início do processo.
## PurpleDelta opera em grande escala
As novas ocorrências não são casos isolados. Segundo o grupo Insikt, da Recorded Future, um cluster ligado ao **PurpleDelta** se candidatou a vagas em mais de 1.100 empresas entre o fim de 2024 e o início de 2025, principalmente nos setores de software, technology, recruiting, consulting, healthcare e biotech.
Os operadores, provavelmente baseados na China, são suspeitos de manter 22 identidades fabricadas, algumas delas geradas sinteticamente com AI e sustentadas por documentos obtidos em um serviço ilegal chamado **TrustID Card** (`trustidcard[.]com`).
A Recorded Future descreveu o PurpleDelta como uma operação de “alto ritmo”. O grupo teria enviado candidaturas para pelo menos 60 vagas por dia em 10 job platforms, usado browsers para multiple-account management e perfis separados do Google Chrome para administrar identidades distintas, além de manter planilhas detalhadas para coordenar aplicações entre os diferentes perfis.
Durante entrevistas, os operadores usavam screen recording software combinado com AI transcription tools e chatbots para responder em tempo real, muitas vezes repetindo literalmente respostas do ChatGPT. Uma vez contratados, também gravavam reuniões internas e recorriam ao Google Translate para redigir desculpas pré-prontas, justificando o uso de dispositivos pessoais e contas bancárias próprias no trabalho.
Além disso, foi identificado o uso de identity brokering services, account rental via AnyDesk e ferramentas de múltiplas contas. As operações eram coordenadas por Telegram e Slack, com apoio de facilitadores que compravam e mantinham o hardware fornecido pelas empresas em nome dos trabalhadores.
Segundo a Recorded Future, a atividade do PurpleDelta “quase certamente continua” e deve crescer em escala e sofisticação à medida que os operadores se adaptam à maior conscientização e aos mecanismos de detecção.
A empresa também alerta que a integração crescente de ferramentas de AI ao modus operandi do grupo amplia o risco: perfis gerados por IA, entrevistas assistidas por ChatGPT e transcrição em tempo real reduzem a barreira para criar uma identidade plausível e ajudam os operadores a parecer convincentes mesmo em funções técnicas que talvez não dominem de fato.
## Investigação do FBI e rastreamento financeiro
As descobertas aparecem em paralelo a uma série de desdobramentos relacionados ao tema.
O **FBI** está investigando como um trabalhador de TI da Coreia do Norte conseguiu emprego em uma agência federal do governo dos EUA, ainda não identificada. Acredita-se que o profissional atuava como contractor, e não como empregado direto.
Enquanto isso, os salários obtidos no Ocidente são desviados por meio de uma rede de shell companies e intermediários, incluindo entidades como **Sobaeksu, Saenal e Songkwang**, já sancionadas nos EUA por evasão de sanções. De acordo com a DTEX, esse esquema também estaria sendo usado para apoiar objetivos do regime, como produção de armas e suporte ao esforço de guerra da Rússia. Entre dezembro de 2025 e fevereiro de 2026, o esquema teria movimentado cerca de US$ 1,97 milhão, com repasses passando pela sancionada **Ryongbong General Corporation**.
## Prisões e condenações
No início de maio, dois cidadãos norte-americanos — **Matthew Isaac Knoot** e **Erick Ntekereze Prince** — foram condenados a 18 meses de prisão cada um por operar uma laptop farm para trabalhadores remotos da Coreia do Norte. Os dois esquemas afetaram quase 70 empresas dos EUA e geraram US$ 1,2 milhão em receita ilícita.
Um mês antes, **Kejia Wang**, de 42 anos, e **Zhenxing Wang**, de 39, receberam penas de 108 e 92 meses, respectivamente, por administrar uma operação semelhante em suas casas, em Nova Jersey. Eles ajudaram trabalhadores de TI a conseguir empregos remotos em mais de 100 empresas americanas, gerando cerca de US$ 5 milhões e causando perdas superiores a US$ 3 milhões às vítimas.
Outros quatro homens — **Oleksandr Didenko, Audricus Phagnasay, Jason Salazar e Alexander Paul Travis** — também foram condenados em fevereiro e março.
## Alerta internacional
A ameaça também tem sido observada em outros setores, como crypto, onde relatórios da Nisos mostram que agentes da DPRK usam fraude trabalhista para roubo de ativos. Em um dos casos, um trabalhador chegou a se candidatar a uma vaga de lead AI architect em uma empresa de risk management, expondo involuntariamente o uso de PiKVM para controlar o dispositivo em uma laptop farm com 20 máquinas.
Em abril, a Microsoft informou ter identificado atores ligados ao Jasper Sleet acessando endpoints expostos do **Workday Recruiting Web Service** por meio de career sites externos, provavelmente para coletar informações sobre vagas e processos de recrutamento. A partir daí, a comunicação com as equipes de contratação costuma ocorrer por e-mail e por plataformas legítimas como Microsoft Teams, Zoom ou Cisco Webex. Depois da contratação, os atores criam novos perfis no Workday e atualizam dados de pagamento vinculados a um facilitador.
Segundo a Group-IB, esses indivíduos operam sob identidades sintéticas e se apresentam como developers altamente experientes de diversas partes do mundo para garantir vagas remotas de longo prazo e com boa remuneração.
“Isso não é uma intrusão clássica com malware; é um modelo de acesso viabilizado por trabalho, baseado em engineering social, synthetic identity operations e abuso de plataformas”, resumiu a empresa.
Diante disso, quase uma dezena de governos publicou recentemente um alerta conjunto, pedindo que países, empresas e organizações reforcem medidas para entender a dimensão do problema e implementar contramedidas adequadas.
Entre as recomendações estão o fortalecimento da verificação de identidade, análise rigorosa de documentos, exigência de entrevistas presenciais quando possível e detecção de contas suspeitas por meio de sistemas capazes de identificar entradas anômalas de informações.
---
Se quiser, posso também:
1. **transformar esse texto em uma notícia mais curta e objetiva**,
2. **adaptá-lo para o estilo de portal de tecnologia**, ou
3. **criar uma versão com subtítulos mais jornalísticos e linguagem ainda mais natural para publicação online**.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...