Bên trong mạng lưới lừa đảo IT toàn cầu của Triều Tiên: Danh tính giả, “trại máy tính xách tay” và nguồn tài trợ bí mật cho một chính quyền bị cô lập

Đội quân IT bí mật của Triều Tiên: Mạng lưới lừa đảo toàn cầu bị phanh phui

Trong kỷ nguyên số, khi làm việc từ xa đã trở thành chuẩn mực, Triều Tiên đã biến thị trường việc làm công nghệ toàn cầu thành công cụ phục vụ mục đích của mình. Hàng nghìn chuyên gia IT Triều Tiên, hoạt động dưới danh tính giả và những câu chuyện ngụy trang tinh vi, đã xâm nhập các công ty trên khắp Mỹ, châu Âu và nhiều nơi khác. Nhiệm vụ của họ là kiếm ngoại tệ mạnh cho chính quyền, né tránh các lệnh trừng phạt quốc tế và chuyển hàng triệu, đôi khi hàng trăm triệu USD vào các chương trình hạt nhân và tên lửa của Kim Jong Un.

Chiến dịch bí mật này được phanh phui qua các hoạt động thực thi pháp luật, nghiên cứu an ninh mạng và những lời kể trực tiếp hiếm hoi. Nó cho thấy một mạng lưới tinh vi kết hợp tội phạm mạng, đánh cắp danh tính và hoạt động gián điệp do nhà nước bảo trợ. Quy mô và mức độ táo bạo của âm mưu đã khiến cả giới trong ngành lẫn quan chức chính phủ sửng sốt, đồng thời đặt ra những câu hỏi cấp bách về an ninh của lực lượng lao động số toàn cầu.

Cách thức lừa đảo: Giấy tờ giả, “trại máy tính xách tay” và màn đánh lừa toàn cầu

Trọng tâm trong chiến dịch của Triều Tiên là một chiến lược đơn giản nhưng hiệu quả: giả danh chuyên gia IT lành nghề đến từ các quốc gia khác để được tuyển vào làm việc từ xa cho công ty nước ngoài. Để làm vậy, các nhân viên Triều Tiên kết hợp sử dụng danh tính bị đánh cắp và danh tính giả mạo, tài liệu do AI tạo ra cùng các thủ đoạn đánh lừa trên không gian số. Họ lập hồ sơ LinkedIn và GitHub thuyết phục, làm giả hồ sơ học vấn, thậm chí dùng công nghệ deepfake để vượt qua các cuộc phỏng vấn video.

Sau khi được tuyển dụng, những người này hiếm khi làm việc ngay tại Triều Tiên. Thay vào đó, họ được bố trí ở các nước như Trung Quốc, Nga và Đông Nam Á, nơi internet ít bị hạn chế hơn và việc né tránh giám sát dễ dàng hơn. Một số còn hoạt động tại châu Phi hoặc Trung Đông. Để che giấu thêm nguồn gốc, họ sử dụng VPN (mạng riêng ảo), công cụ quản lý từ xa và những kẻ tiếp tay ở phương Tây làm trung gian: nhận máy tính xách tay của công ty, thiết lập quyền truy cập từ xa và xử lý việc trả lương.

Một thủ đoạn khét tiếng là sử dụng “trại máy tính xách tay”: những địa điểm thực tế tại Mỹ hoặc châu Âu, nơi hàng chục máy tính được bố trí và do các nhân viên Triều Tiên ở nước ngoài điều khiển từ xa. Cách sắp đặt này khiến người ta tưởng rằng nhân viên đăng nhập từ các địa điểm hợp pháp trong nước, qua mặt những bước kiểm tra an ninh cơ bản.

Theo Bộ Tư pháp Mỹ, danh tính của hơn 80 người Mỹ đã bị đánh cắp để sử dụng trong các vụ lừa đảo này; hàng trăm công ty, từ startup công nghệ đến nhà thầu quốc phòng, đã vô tình tuyển dụng người của Triều Tiên. FBI đã thu giữ hàng trăm máy tính, hàng chục tên miền web và hàng triệu USD tiền mã hóa có liên quan đến các hoạt động này.

Khía cạnh con người: Cuộc sống của nhân viên IT Triều Tiên ở nước ngoài

Lời kể hiếm hoi từ những người đào tẩu như “Jin-su” cho thấy cái giá cá nhân và thực tế thường nhật của công việc bí mật này. Jin-su, người trả lời phỏng vấn BBC, kể rằng anh dùng hàng trăm danh tính giả để ứng tuyển việc làm từ xa, thường cùng lúc đảm nhận nhiều vị trí và kiếm tới 5.000 USD mỗi tháng, trong đó 85% được gửi về cho chính quyền. “Chúng tôi biết việc này giống như cướp bóc, nhưng chỉ đành coi đó là số phận,” anh nói. “Dù sao thì vẫn tốt hơn nhiều so với khi chúng tôi ở Triều Tiên.”

Phần lớn nhân viên IT Triều Tiên hoạt động theo nhóm và bị các cán bộ giám sát của chính phủ theo dõi chặt chẽ. Dù được tự do hơn và tiếp cận truyền thông phương Tây nhiều hơn so với đồng bào ở quê nhà, họ vẫn đối mặt với nguy cơ đào tẩu cao, còn hậu quả đối với bản thân và gia đình thì rất nghiêm trọng. Dù nguy hiểm, rất ít người chọn trốn thoát, bởi số tiền họ được giữ lại, dù chỉ là một phần thu nhập, có thể làm thay đổi cuộc đời theo tiêu chuẩn ở Triều Tiên.

Vì sao chọn việc làm IT từ xa? Vỏ bọc hoàn hảo để né tránh trừng phạt

Nền kinh tế Triều Tiên bị các lệnh trừng phạt quốc tế làm suy yếu nghiêm trọng, đặc biệt là những biện pháp nhắm vào các chương trình vũ khí. Những nguồn thu ngoại tệ truyền thống, như đưa lao động sang làm việc tại các nhà máy Trung Quốc hoặc công trường xây dựng ở Nga, đang cạn dần. Trong bối cảnh đó, công việc IT từ xa có một số lợi thế:

• Thu nhập cao: Nhân viên IT lành nghề có thể kiếm tới 300.000 USD mỗi năm, cao hơn nhiều so với lao động phổ thông ở nước ngoài.
• Ít bị chú ý: Công việc từ xa hiếm khi đòi hỏi gặp mặt trực tiếp, giúp che giấu danh tính thật dễ dàng hơn.
• Phạm vi toàn cầu: Internet cho phép người của Triều Tiên nhắm đến các công ty trên khắp thế giới, từ Mỹ và châu Âu đến New Zealand và UAE.
• Tiếp cận dữ liệu nhạy cảm: Khi đã xâm nhập, họ có thể đánh cắp sở hữu trí tuệ, bí mật doanh nghiệp và cả thông tin quốc phòng nhạy cảm.

Theo ước tính của Liên Hợp Quốc, nhân viên IT Triều Tiên tạo ra từ 250 triệu đến 600 triệu USD mỗi năm cho chính quyền. Số tiền này được rửa qua mạng lưới trung gian, các giao dịch tiền mã hóa và công ty bình phong, khiến nhà chức trách khó truy dấu.

Thủ đoạn bên trong: AI, deepfake và kỹ nghệ thao túng xã hội

Người của Triều Tiên làm việc trong lĩnh vực IT không chỉ là những lập trình viên giỏi mà còn rất tinh vi trong việc đánh lừa người khác. Các nhà nghiên cứu an ninh mạng đã phát hiện những kịch bản phỏng vấn chi tiết, hồ sơ xin việc giả mạo và ảnh được chỉnh sửa bằng AI để họ có thể đóng giả chuyên gia phương Tây. Một số người còn trả tiền cho người thật ở châu Âu hoặc Mỹ để “thuê” danh tính, chia cho họ một phần thu nhập để đổi lấy quyền sử dụng giấy tờ hợp pháp và tài khoản ngân hàng.

Nhóm Tình báo Mối đe dọa của Microsoft theo dõi các hoạt động này dưới mật danh “Jasper Sleet”. Nhóm cho biết nhân viên Triều Tiên dùng AI tạo nhân thân giả, chỉnh sửa ảnh trên giấy tờ xin việc, thậm chí thay đổi giọng nói trong các cuộc phỏng vấn. Những kẻ hỗ trợ giúp họ qua mặt quy trình xác minh việc làm, nhận thiết bị và thiết lập quyền truy cập từ xa. Các thủ đoạn né tránh phòng vệ gồm sử dụng VPN, máy chủ riêng ảo và công cụ quản lý từ xa để che giấu vị trí thật.

Rob Henley, một quản lý tuyển dụng tại Ally Security, mô tả khó khăn khi phát hiện những trường hợp giả mạo này: “Ban đầu, với một số người, việc đó giống như một trò chơi, kiểu cố đoán xem ai là người thật, ai là giả, nhưng chẳng mấy chốc đã trở nên khá phiền phức.” Ông đành yêu cầu ứng viên cho thấy ánh sáng ban ngày trong cuộc gọi video; một mẹo đơn giản thường giúp phát hiện những người làm việc ở sai múi giờ.

Từ Mỹ sang châu Âu: Mục tiêu dịch chuyển, phương thức ngày càng tinh vi

Khi các công ty Mỹ và cơ quan thực thi pháp luật cảnh giác hơn, người của Triều Tiên đã chuyển hướng sang châu Âu, nơi quy trình tuyển dụng và kiểm tra danh tính thường ít nghiêm ngặt hơn. Nhóm Tình báo Mối đe dọa của Google cùng các chuyên gia an ninh mạng khác cảnh báo rằng các công ty công nghệ châu Âu hiện là mục tiêu hàng đầu, đặc biệt là những công ty áp dụng chính sách “tự mang thiết bị cá nhân” (BYOD) và quy trình tuyển dụng cấp tốc.

Trong những môi trường này, nhân viên Triều Tiên có thể trà trộn như những nhân viên làm việc từ xa bình thường, dùng thiết bị của mình để truy cập hệ thống công ty. Sau khi xâm nhập, họ có thể đánh cắp dữ liệu, đe dọa rò rỉ thông tin nhạy cảm hoặc đòi thanh toán bằng tiền mã hóa nếu bị sa thải. Việc dùng danh tính do AI tạo ra và deepfake càng khiến khó phát hiện hơn, bởi công nghệ ngày càng che lấp những dấu hiệu cảnh báo truyền thống như hồ sơ xin việc thiếu nhất quán hoặc tiếng Anh kém.

Vai trò của những kẻ tiếp tay ở phương Tây: Hỗ trợ và làm trung gian

Mạng lưới nhân viên IT của Triều Tiên phụ thuộc nhiều vào một hệ thống hỗ trợ ở phương Tây. Những người này, đôi khi vô tình, đôi khi cố ý, cung cấp sự trợ giúp thiết yếu bằng cách:

• Nhận và thiết lập máy tính xách tay của công ty để cho phép truy cập từ xa
• Mở tài khoản ngân hàng và lập công ty bình phong để nhận lương
• Cung cấp hộ chiếu giả, số điện thoại địa phương và người tham chiếu
• Hướng dẫn người của Triều Tiên về chuẩn mực văn hóa và chiến lược ứng tuyển

Một số người Mỹ đã bị truy tố vì điều hành “trại máy tính xách tay” hoặc làm trung gian tài chính. Trong một vụ việc, một công dân Mỹ bị buộc tội điều hành trại máy tính xách tay ngay tại nhà mình, giúp nhân viên Triều Tiên điều khiển hàng chục máy tính và rửa tiền lương. Những người khác bị truy tố vì hỗ trợ đánh cắp và chuyển tiền mã hóa; Bộ Tư pháp đã thu giữ hàng triệu USD.

Dù các biện pháp trấn áp đã được tăng cường, quy mô lớn và khả năng thích nghi của chiến dịch đồng nghĩa với việc nhiều kẻ hỗ trợ vẫn đang hoạt động, còn những người mới được tuyển mộ qua mạng xã hội và các diễn đàn trực tuyến.

Không chỉ là tiền lương: Gián điệp, đánh cắp dữ liệu và tội phạm mạng

Mục tiêu chính của mạng lưới nhân viên IT Triều Tiên là kiếm ngoại tệ, nhưng rủi ro không chỉ dừng ở việc thất thoát tiền lương. Sau khi xâm nhập một công ty, họ có thể:

• Đánh cắp sở hữu trí tuệ và bí mật thương mại
• Truy cập dữ liệu nhạy cảm của nhà thầu quốc phòng, bao gồm thông tin bị kiểm soát xuất khẩu
• Cài mã độc để phục vụ các chiến dịch tống tiền bằng mã độc hoặc gián điệp trong tương lai
• Thu thập thông tin nội bộ để các nhóm tin tặc Triều Tiên như nhóm Lazarus khét tiếng sử dụng

Trong một số vụ việc đã được ghi nhận, nhân viên IT Triều Tiên lợi dụng quyền truy cập để đánh cắp tiền mã hóa, tống tiền chủ lao động hoặc tiếp tay cho các cuộc tấn công mạng quy mô lớn hơn. Riêng nhóm Lazarus được cho là đã đánh cắp hơn 3 tỷ USD tiền mã hóa kể từ năm 2007, trong đó có vụ trộm kỷ lục 1,5 tỷ USD vào năm 2025.

Cách doanh nghiệp tự bảo vệ: Bài học và khuyến nghị

Vụ lừa đảo nhân viên IT Triều Tiên đã phơi bày những lỗ hổng nghiêm trọng trong cách các công ty tuyển dụng và quản lý nhân viên làm việc từ xa. Các chuyên gia khuyến nghị áp dụng nhiều lớp phòng vệ:

• Thẩm tra chặt chẽ hơn: Xác minh dấu vết số, kiểm tra người tham chiếu và dùng cuộc gọi video để xác nhận danh tính.
• Giám sát dấu hiệu bất thường: Theo dõi địa chỉ IP đáng ngờ, số điện thoại được nhiều người dùng chung và việc sử dụng công cụ quản lý từ xa.
• Hạn chế rủi ro BYOD: Thực thi bảo mật thiết bị đầu cuối, hạn chế thiết bị cá nhân truy cập và phân đoạn các hệ thống nhạy cảm.
• Đào tạo nhân viên: Huấn luyện các nhóm nhân sự và IT nhận biết dấu hiệu cảnh báo, phối hợp xác minh danh tính.
• Ứng phó nhanh chóng: Nếu phát hiện nhân viên IT Triều Tiên, hãy giới hạn việc xử lý trong một nhóm đáng tin cậy, phân tích mối liên hệ với các đối tượng tiếp tay và bảo toàn chứng cứ để cung cấp cho cơ quan thực thi pháp luật.

Nhà chức trách cũng khuyến cáo các công ty cảnh giác với những hồ sơ dự thầu có mức giá thấp bất thường, yêu cầu thanh toán bằng tiền mã hóa và ứng viên né tránh phỏng vấn video hoặc cung cấp giấy tờ không nhất quán.

Bức tranh lớn hơn: Trừng phạt, chiến tranh mạng và phản ứng toàn cầu

Việc Triều Tiên sử dụng nhân viên IT ở nước ngoài là một phần trong chiến lược rộng lớn hơn nhằm né tránh trừng phạt và tài trợ cho các chương trình vũ khí. Theo Liên Hợp Quốc, các cuộc tấn công mạng hiện tạo ra khoảng một nửa nguồn thu ngoại tệ của Triều Tiên và 40% kinh phí dành cho vũ khí hủy diệt hàng loạt. Khả năng thích nghi của chính quyền, từ chuyển lao động phổ thông sang làm việc công nghệ cao từ xa, rồi chuyển hướng từ Mỹ sang châu Âu, cho thấy các cơ quan quản lý quốc tế đang đối mặt với thách thức lớn đến mức nào.

Chính phủ Mỹ, Nhật Bản, Hàn Quốc và các nước châu Âu đã đưa ra cảnh báo, siết chặt việc thực thi pháp luật và truy tố cả những đối tượng hỗ trợ nước ngoài lẫn đồng phạm trong nước. Các nền tảng tuyển dụng tự do và công ty công nghệ được kêu gọi tăng cường xác minh danh tính, giám sát hoạt động đáng ngờ. Tuy nhiên, như một chuyên gia nhận định: “Triều Tiên sẽ tiếp tục tìm cách xâm nhập các công ty phương Tây để kiếm lời và tiến hành hoạt động gián điệp. Các đợt trấn áp sẽ làm gián đoạn hoạt động, nhưng Triều Tiên được dự đoán sẽ thích nghi.”

Tóm tắt

• Triều Tiên đã đưa hàng nghìn nhân viên IT ra nước ngoài, sử dụng danh tính giả để xâm nhập các công ty và kiếm ngoại tệ cho chính quyền.
• Những người này sử dụng AI, deepfake và các thủ đoạn thao túng xã hội tinh vi để đóng giả nhân viên làm việc từ xa hợp pháp, thường với sự giúp sức của những kẻ tiếp tay ở phương Tây.
• Sau khi xâm nhập, họ có thể đánh cắp dữ liệu, sở hữu trí tuệ và thậm chí hỗ trợ các cuộc tấn công mạng; tiền lương và tiền bị đánh cắp được chuyển về tài trợ cho các chương trình vũ khí của Triều Tiên.
• Cơ quan thực thi pháp luật ở Mỹ và các nước khác đã thu giữ tài sản trị giá hàng triệu USD, truy tố những kẻ hỗ trợ và cảnh báo các công ty tăng cường biện pháp tuyển dụng, an ninh mạng.
• Khi việc thực thi pháp luật được siết chặt, chiến dịch đã chuyển trọng tâm từ Mỹ sang châu Âu; các công ty trên toàn thế giới được kêu gọi cảnh giác trước mối đe dọa không ngừng biến đổi này.