北韓的秘密 IT 軍團：全球詐騙行動曝光
在遠距工作已成常態的數位時代，北韓將全球科技人才市場武器化。數以千計的北韓 IT 專家冒用假身分、編造複雜的掩護故事，滲透美國、歐洲及其他地區的企業。他們的任務是為政權賺取外匯、規避國際制裁，並將數百萬美元、有時甚至數億美元，輸送至金正恩的核武與飛彈計畫。
目錄
這項秘密行動透過執法機關的行動、網路安全研究及罕見的第一手證詞曝光，揭露一個結合網路犯罪、身分盜用與國家支持間諜活動的複雜網絡。這項計畫的規模與膽大妄為，令業界人士和政府官員震驚，也引發外界對全球數位勞動力安全的迫切疑問。
詐騙手法：假證件、筆電農場與全球欺瞞
北韓行動的核心策略簡單卻有效：冒充其他國家的專業 IT 人員，取得外國企業的遠距工作。為此，北韓人員混用盜用及偽造的身分、AI 生成的文件和數位偽裝手法。他們建立看似可信的 LinkedIn 和 GitHub 個人檔案，偽造學歷紀錄，甚至使用深偽技術通過視訊面試。
受聘後，這些人員很少在北韓境內工作。他們通常駐紮在中國、俄羅斯及東南亞等地，這些地區的網路限制較少，也較容易規避監控。有些人甚至在非洲或中東活動。為進一步掩蓋來源，他們使用 VPN（虛擬私人網路）、遠端管理工具，以及在西方充當中間人的協力者；這些人負責接收公司筆電、設定遠端存取並處理薪資。
其中一種臭名昭著的手法是設置「筆電農場」：在美國或歐洲的實體場所放置數十台電腦，再由身在海外的北韓人員遠端操控。這類配置讓人看起來像是從當地合法地點登入，藉此繞過基本的安全檢查。
根據美國司法部資料，已有超過 80 名美國人的身分遭盜用於這類詐騙，數百家公司從科技新創到國防承包商，都在不知情的情況下聘用北韓人員。聯邦調查局（FBI）已查扣數百台電腦、數十個網域，以及與這些行動有關的數百萬美元加密貨幣。
人的一面：北韓 IT 人員在海外的生活
「晉洙」（Jin-su）等脫北者的罕見證詞，揭露這種隱晦工作的個人代價與日常實況。晉洙接受 BBC 訪問時表示，他曾使用數百個假身分應徵遠距職缺，經常同時兼任多份工作，每月收入最高可達 5,000 美元，其中 85% 必須上繳政權。他說：「我們知道這就像搶劫，但只能接受這是我們的命運。這仍然比待在北韓時好多了。」
多數北韓 IT 人員以團隊形式工作，並受到政府監視人員嚴密監控。儘管他們比留在國內的同胞享有更多自由，也能接觸西方媒體，但叛逃風險很高，自己與家人都可能面臨嚴重後果。即使危險重重，選擇逃離的人仍寥寥無幾，因為他們能留下的錢雖只是收入的一小部分，以北韓的標準來看卻足以改變人生。
為何選擇遠距 IT 工作？規避制裁的完美掩護
國際制裁，尤其是針對武器計畫的制裁，已重創北韓經濟。傳統外匯來源，例如派遣勞工到中國工廠或俄羅斯工地工作，正逐漸萎縮。在此背景下，遠距 IT 工作具備多項優勢：
- 高薪：技術熟練的 IT 人員年收入可達 30 萬美元，遠高於在海外從事體力勞動的勞工。
- 不易曝光：遠距工作很少需要面對面開會，更容易隱瞞真實身分。
- 全球觸及：透過網路，北韓人員可鎖定全球企業，從美國、歐洲到紐西蘭和阿聯酋。
- 接觸敏感資料：一旦打入企業內部，這些人員便可竊取智慧財產、企業機密，甚至敏感的國防資訊。
根據聯合國估計，北韓 IT 人員每年為政權創造 2.5 億至 6 億美元收入。這些資金經由中間人網絡、加密貨幣交易和空殼公司洗錢，使主管機關難以追查。
深入解析手法：AI、深偽技術與社交工程
北韓 IT 人員不只是技術高超的程式設計師，也是欺瞞高手。網路安全研究人員發現，他們備有詳盡的面試腳本、偽造履歷和經 AI 編修的照片，用來冒充西方專業人士。有些人甚至付錢給歐洲或美國的真人「租用」身分，以分潤收入為條件，取得合法文件和銀行帳戶。
微軟威脅情報團隊以代號「Jasper Sleet」追蹤這些活動。該團隊指出，北韓人員利用 AI 生成假身分、修改求職文件用的照片，甚至在面試時變造聲音。協力者則幫助他們通過雇用查核、接收設備並設定遠端存取。規避防護的手法包括使用 VPN、虛擬私人伺服器和遠端管理工具，掩蓋真實所在地。
Ally Security 的招聘主管 Rob Henley 描述了辨識這些冒牌者的難處：「一開始，對有些人來說有點像在玩遊戲，像是在分辨誰是真的、誰是假的，但很快就變得相當惱人。」他後來要求應徵者在視訊通話時展示日光；這個簡單的方法往往能揭穿身處錯誤時區的人。
從美國轉向歐洲：目標轉移與手法演變
隨著美國企業和執法機關提高警覺，北韓人員開始把目標轉向歐洲，當地的招聘流程和身分查核往往不如美國嚴格。Google 威脅情報小組及其他網路安全專家警告，歐洲科技公司如今已成為主要目標，尤其是採行「自備裝置」（BYOD）政策、招聘流程快速的企業。
在這類環境中，北韓人員可使用自己的設備存取公司系統，混在一般遠距員工之中。一旦進入內部，他們可能竊取資料、威脅洩漏敏感資訊，或在遭解雇時要求以加密貨幣支付。AI 生成的身分和深偽技術讓偵查更加困難，因為履歷前後不一或英語能力不佳等傳統警訊，正日益受到科技手段掩蓋。
西方協力者的角色：幫手與中間人
北韓 IT 人員計畫高度仰賴西方的協助網絡。這些協力者有時不知情，有時則是共謀，透過以下方式提供關鍵支援：
- 接收公司筆電並設定遠端存取
- 開設銀行帳戶和空殼公司以收取薪資
- 提供假護照、當地電話號碼和推薦人
- 指導人員掌握文化線索和求職策略
已有數名美國人因經營「筆電農場」或充當金融中間人而遭起訴。其中一案中，一名美國公民被控在家中經營筆電農場，讓北韓人員操控數十台電腦並洗錢匯出薪資。另有一些人因協助竊取和轉移加密貨幣而遭起訴，司法部查扣了數百萬美元。
儘管當局大力打擊，這項行動規模龐大且適應力強，許多協力者仍在活動，也有人透過社群媒體和網路論壇招募新成員。
不只是薪資：間諜活動、資料竊取與網路犯罪
北韓 IT 人員計畫的主要目標雖是賺取外匯，但風險遠不止薪資損失。一旦進入企業內部，這些人員可能：
- 竊取智慧財產和商業機密
- 存取國防承包商的敏感資料，包括受出口管制的資訊
- 植入惡意軟體，供日後勒索軟體或間諜活動使用
- 蒐集內部資訊，供北韓駭客組織使用，例如臭名昭著的 Lazarus Group
多起有紀錄的案例顯示，北韓 IT 人員利用其存取權限竊取加密貨幣、勒索雇主，或協助發動更大規模的網路攻擊。據信，光是 Lazarus Group 自 2007 年以來就竊得超過 30 億美元的加密貨幣，其中包括 2025 年創紀錄的 15 億美元竊案。
企業如何自保：教訓與建議
北韓 IT 人員詐騙案暴露出企業招聘和管理遠距員工方式的嚴重漏洞。專家建議採取多層次防護：
- 加強審查：查核數位足跡、確認推薦資料，並透過視訊通話核實身分。
- 監控異常：留意可疑 IP 位址、重複使用的電話號碼，以及遠端管理工具的使用情況。
- 降低 BYOD 風險：落實端點安全、限制個人設備的存取權限，並將敏感系統分區隔離。
- 教育員工：訓練人資和 IT 團隊辨識警訊，並協調進行身分查核。
- 迅速應變：若確認有北韓 IT 人員，應將應變工作限於可信任的小組，分析其與協力者的關聯，並保存證據供執法機關調查。
當局也呼籲企業提高警覺，留意報價異常低廉、要求以加密貨幣付款，或避開視訊面試、提供前後不一致文件的應徵者。
大局觀：制裁、網路戰與全球應對
北韓利用海外 IT 人員，是其規避制裁、資助武器計畫的整體策略之一。根據聯合國資料，網路攻擊如今約占北韓外匯收入的一半，以及其大規模毀滅性武器資金的 40%。該政權能夠靈活調整策略，從體力勞動轉向高科技遠距工作，並將目標從美國轉移至歐洲，凸顯國際監管機關所面臨的挑戰。
美國、日本、南韓和歐洲各國政府已發布警告、加強執法，並起訴外國協力者與國內共犯。各界也呼籲自由工作者平台和科技公司加強身分查核，並監控可疑活動。然而，正如一名專家所言：「北韓企圖滲透西方企業以牟利和從事間諜活動的行動會持續下去。打擊行動會干擾其運作，但預料北韓將會調整策略。」
摘要
- 北韓派遣數以千計的 IT 人員前往海外，利用假身分滲透企業，為政權賺取外匯。
- 這些人員運用 AI、深偽技術和複雜的社交工程手法，冒充合法遠距工作者，並經常獲得西方協力者相助。
- 進入企業內部後，他們可能竊取資料和智慧財產，甚至協助發動網路攻擊；薪資和竊得的資金則被輸送回北韓，支援武器計畫。
- 美國及其他國家的執法機關已查扣數百萬美元資產、起訴協力者，並警告企業加強招聘和網路安全措施。
- 隨著執法趨嚴，這項行動已從美國轉向歐洲，各地企業都被呼籲提高警覺，防範這項不斷演變的威脅。
