Kuzey Koreli Hacklerlerin Sahte İş Görüşmesi Tuzağı: Binlerce Cihaz Tehlikede

Siber Casusluk ve İstihdam Dolandırıcılığında Yeni Boyut

Küresel siber güvenlik ekosistemi, ulus-devlet destekli tehdit aktörlerinin her geçen gün daha sofistike ve kurnaz yöntemler geliştirmesine şahit oluyor. Son yıllarda özellikle Kuzey Kore'ye yakınlığıyla bilinen siber suç grupları, finansal kaynak yaratmak ve stratejik istihbarat toplamak amacıyla geleneksel oltalama (phishing) taktiklerinin ötesine geçen stratejiler benimsiyor. Uluslararası güvenlik otoritelerinin gün yüzüne çıkardığı son kampanyalar, iş arayan yazılımcıların ve kripto para meraklılarının hayallerinin nasıl büyük birer siber güvenlik kabusuna dönüştürülebileceğini gözler önüne seriyor.

ABD, Almanya, Japonya ve Avustralya gibi ülkelerden kolluk kuvvetleri ile siber güvenlik ajanslarının ortaklaşa yürüttüğü kapsamlı soruşturmalar, "WaterPlum" adı verilen küresel bir tehdit grubunun faaliyetlerini mercek altına aldı. Grupla ilişkili siber saldırganlar, Batılı ve müttefik ülkelerdeki kalifiye bilişim profesyonellerini, web tasarımcılarını, akıllı sözleşme geliştiricilerini ve Web3 ekosisteminde faaliyet gösteren uzmanları hedef alan kurgusal işe alım süreçleri kurguluyor. Uzmanlar, bu kampanyanın sadece basit bir veri hırsızlığı olmadığını, aynı zamanda küresel tedarik zincirini ve kurumsal ağları sızdırmaya yönelik uzun vadeli bir stratejik operasyon olduğunu vurguluyor.

Mülakat Maskesi Altında Gelen Zararlı Yazılımlar ve RAT Operasyonları

WaterPlum operasyonunun işleyiş mekanizması, insan psikolojisinin ve iş bulma motivasyonunun zayıf noktalarını ustalıkla istismar ediyor. LinkedIn ve benzeri profesyonel ağlar üzerinden potansiyel kurbanlarla iletişime geçen sahte insan kaynakları uzmanları, cazip maaş teklifleri ve prestijli projelerle adayların ilgisini çekiyor. Sürecin ilerleyen aşamalarında ise adaylardan teknik yeterliliklerini kanıtlamaları için bir dizi "kodlama testi" veya "teknik değerlendirme ödevi" indirmeleri isteniyor.

Adayların büyük bir iyi niyetle ve kariyer heyecanıyla kendi bilgisayarlarına indirdiği bu dosyalar, aslında profesyonel düzeyde hazırlanmış arka kapılar (backdoor) barındırıyor. Dosyaların açılmasıyla birlikte hedef sistemlere Uzaktan Erişim Truva Atları (RAT) ve gelişmiş bilgi toplayıcı (infostealer) zararlı yazılımlar sessizce yerleşiyor. Bu zararlılar sayesinde saldırganlar; kurbanların tuş vuruşlarını (keylogger), pano (clipboard) içeriklerini, tarayıcı verilerini, hassas kimlik bilgilerini ve en önemlisi kripto para cüzdan verilerini ele geçiriyor. Yapılan resmi açıklamalara göre, bu yöntemle dünya genelinde 30 bin civarında cihazın tehlikeye atıldığı ve 7 binin üzerinde kripto para cüzdanının boşaltıldığı tespit edildi.

• Hedef Kitle: Yazılım mühendisleri, web tasarımcıları, blokzincir geliştiricileri ve kripto para analistleri.
• Kullanılan Araçlar: Özelleştirilmiş kodlama testleri, sahte mülakat yazılımları, gelişmiş RAT'ler ve bilgi hırsızı zararlılar.
• Birincil Amaç: Kripto varlıkları çalmak, kurumsal ağlara sızmak ve rejim için döviz girdisi sağlamak.

Kurumsal Ağlar İçin Gizli Tehdit ve Çalınan Kimlikler

Saldırının boyutu yalnızca bireysel kripto para yatırımcılarının varlıklarını kaybetmesiyle sınırlı kalmıyor. Sahte mülakat kancasına takılan bazı adaylar, daha sonra gerçek ve yasal şirketlerde iş bulduklarında, kişisel bilgisayarlarında hâlâ aktif olan bu zararlı yazılımlar kurumsal ağlar için birer sıçrama tahtası haline geliyor. Bu durum, siber suçluların uluslararası şirketlerin fikri mülkiyet haklarına, hassas ticaret sırlarına ve müşteri verilerine erişmesine olanak tanıyor.

Öte yandan, ele geçirilen kimlik belgeleri ve pasaport kopyaları, Kuzey Koreli gerçek IT çalışanlarının Batılı şirketlerde uzaktan çalışma pozisyonlarına yerleşebilmesi için kullanılan sahte profillerin oluşturulmasında kullanılıyor. Sektör raporlarına göre, dünya genelinde bu şekilde istihdam edilen 100 bin civarında Kuzey Koreli bilişim işçisi bulunuyor. "Laptop çiftlikleri" adı verilen özel altyapılar sayesinde, bu kişilerin fiziksel olarak farklı ülkelerde çalıştıkları imajı yaratılıyor. Elde edilen gelirlerin büyük bir kısmı doğrudan Pyongyang yönetimine aktarılarak ülkenin nükleer ve askeri programlarının finansmanında kullanılıyor. Bu devasa operasyonun rejime yıllık 500 milyon dolardan fazla gelir sağladığı tahmin ediliyor.

Şüpheli İşe Alım Sinyalleri ve Sektörün Alması Gereken Önlemler

Teknoloji şirketleri ve insan kaynakları departmanları, Kuzey Koreli siber aktörlerin bu hibrit saldırılarına karşı güvenlik duvarlarını ve mülakat protokollerini yeniden gözden geçirmek zorunda kalıyor. Adayların sunduğu özgeçmişlerin olağanüstü derecede kusursuz görünmesi, mülakat sırasında kameraların sürekli olarak "teknik arıza" bahanesiyle kapatılması, yapay zeka tabanlı yüz değiştirme (deepfake) teknolojilerinin kullanılmasına işaret eden görsel anomaliler ve arka planda gelen yabancı sesler en kritik kırmızı bayraklar arasında yer alıyor.

Küresel güvenlik otoriteleri, işe alım süreçlerinde kripto para cinsinden ödeme talep eden veya yüz yüze görüşmekten sürekli kaçınan adaylara karşı son derece şüpheci yaklaşılması gerektiğini belirtiyor. Eğer bir kurumun ağında veya çalışanının cihazında bu tür bir şüpheli etkileşim tespit edilirse, derhal kapsamlı bir adli bilişim (forensic) incelemesi başlatılması ve tüm kurumsal kimlik bilgilerin sıfırlanması hayati önem taşıyor. Aksi takdirde, tek bir mülakat simülasyonu, tüm kurumsal altyapının felç olmasına yol açabilecek zincirleme bir siber felaketin fitilini ateşleyebilir.