เกาหลีเหนือแฝงตัวสมัครงานคริปโตทางไกล ทำให้การสัมภาษณ์กลายเป็นแนวป้องกันด่านแรก

บุคคลที่เชื่อมโยงกับเกาหลีเหนือใช้ขั้นตอนการรับสมัครงานทางไกลของบริษัทคริปโตเป็นช่องทางแทรกซึม สถานการณ์นี้กลับมาเป็นที่พูดถึงอีกครั้งหลังมีบทสัมภาษณ์เชิงสืบสวนเปิดเผยพฤติกรรมต้องสงสัย ผู้เชี่ยวชาญด้านความปลอดภัยชี้ว่าการแฮกกระเป๋าเงินดิจิทัลไม่ใช่ความเสี่ยงเดียวอีกต่อไป เพราะขั้นตอนสัมภาษณ์งาน การปฐมนิเทศ การส่งอุปกรณ์ และการให้สิทธิ์เข้าถึงระบบทางไกล กลายเป็น ‘แนวป้องกันด่านแรก’ ที่องค์กรต้องเฝ้าระวัง

เว็บไซต์ข่าว Crypto Briefing รายงานเมื่อวันที่ 18 (เวลาท้องถิ่น) ว่า โลรา ชิน(Laura Shin) พิธีกรพอดแคสต์ Unchained ปลอมตัวเป็นผู้สมัครงานในชื่อ ‘โซฟี หว่อง’ เพื่อสัมภาษณ์ชายที่แนะนำตัวว่าชื่อ ‘จัสติน ลิม’ บทสนทนานี้เผยแพร่เป็นตอนหนึ่งของพอดแคสต์ Unchained เมื่อวันที่ 14 ที่ผ่านมา

ในบทสัมภาษณ์ ลิมอธิบายตัวเองว่าเป็นนักพัฒนาทางไกล เขาตอบคำถามเกี่ยวกับความปลอดภัยของสมาร์ทคอนแทรกต์ เดอะแกรฟ(GRT) ยูนิสวอป(UNI) และ Velas ได้ แต่กลับตอบคำถามเกี่ยวกับผู้นำเกาหลีเหนือด้วยท่าทีหลบเลี่ยง ตามรายงานระบุ

Crypto Briefing เขียนว่าลิมมีความเชื่อมโยงกับการโจรกรรมเงิน 2.7 ล้านดอลลาร์ (ประมาณ 3,800 ล้านวอน) จากบริษัท MetaPlay เมื่อปี 2022 อย่างไรก็ตาม จุดเชื่อมโยงนี้เป็นเพียงข้ออ้างของรายงานฉบับดังกล่าวเท่านั้น ยังไม่มีเอกสารการสอบสวนอย่างเป็นทางการหรือแถลงจากหน่วยงานใดยืนยัน

เอฟบีไอ(FBI) หน่วยงานสอบสวนกลางสหรัฐฯ ระบุในประกาศเมื่อวันที่ 16 พฤษภาคม 2024 ว่าแรงงานไอทีเกาหลีเหนือใช้ผู้ช่วยในสหรัฐฯ เพื่อปกปิดตัวตนและเข้าถึงเครือข่ายของบริษัทต่าง ๆ โดยระบุวิธีการหลักไว้ว่า △รับอุปกรณ์ทำงาน △เชื่อมต่อรีโมทเดสก์ท็อป △เปิดบัญชีธนาคาร △สร้างบัญชีในเว็บไซต์หางาน △ให้คนอื่นเข้าสัมภาษณ์งานทางวิดีโอแทน และ △ตั้งบริษัทบังหน้าในสหรัฐฯ

คำเตือนของเอฟบีไอมีความหมายในตัวเอง เพราะมองว่าการถูกแฮกไม่ใช่ปัญหาจากช่องโหว่ของโค้ดเพียงอย่างเดียว แต่เป็นปัญหาที่เกิดจากขั้นตอนการจ้างงานด้วย คำแนะนำระบุว่าบริษัทควรตรวจสอบตัวตนไม่เพียงก่อนรับเข้าทำงาน แต่ต้องตรวจสอบตำแหน่งที่ตั้ง อุปกรณ์ และรูปแบบการใช้บัญชีอย่างต่อเนื่องตลอดช่วงที่ว่าจ้าง

กระทรวงยุติธรรมสหรัฐฯ แถลงเมื่อวันที่ 30 มิถุนายน 2025 ว่าแรงงานเกาหลีเหนือใช้ตัวตนที่ถูกขโมยหรือปลอมแปลงสมัครงานไอทีทางไกล และได้งานในบริษัทสหรัฐฯ มากกว่า 100 แห่ง แถลงเดียวกันระบุว่ามีการตรวจค้น ‘ฟาร์มโน้ตบุ๊ก’ ต้องสงสัย 29 แห่งใน 16 รัฐ ยึดบัญชีธนาคาร 29 บัญชี และยึดเว็บไซต์หลอกลวง 21 เว็บไซต์

ฟาร์มโน้ตบุ๊กหมายถึงจุดที่บุคคลที่สามเก็บอุปกรณ์ทำงานที่บริษัทผู้จ้างส่งมา แล้วเปิดทางให้แรงงานในต่างประเทศเชื่อมต่อเข้าใช้งานระยะไกล กระทรวงยุติธรรมระบุว่าแรงงานไอทีเกาหลีเหนือบางคนได้งานในบริษัทวิจัยและพัฒนาบล็อกเชน และขโมยสินทรัพย์ดิจิทัลไปมากกว่า 900,000 ดอลลาร์ (ประมาณ 1,300 ล้านวอน)

เชนอนาลิซิส(Chainalysis) บริษัทวิเคราะห์ข้อมูลบล็อกเชน ระบุในรายงานปี 2025 ว่าแฮกเกอร์เกาหลีเหนือขโมยเงินไปแล้ว 2,002 ล้านดอลลาร์ (ประมาณ 2.831 ล้านล้านวอน) ในปีนั้น และยอดสะสมรวมพุ่งถึง 6,750 ล้านดอลลาร์ (ประมาณ 9.5445 ล้านล้านวอน) เชนอนาลิซิสอธิบายว่ากลุ่มที่เชื่อมโยงกับเกาหลีเหนือฝังแรงงานไอทีเข้าไปในบริษัทคริปโตเพื่อเข้าถึงสิทธิ์ระบบ หรือปลอมตัวเป็นผู้สัมภาษณ์งานของบริษัทเว็บ 3 และเอไอ เพื่อล่อเอาข้อมูลยืนยันตัวตนและสิทธิ์เข้าถึงซอร์สโค้ดระหว่างขั้นตอนสัมภาษณ์เชิงเทคนิค

คูเดลสกี ซีเคียวริตี(Kudelski Security) บริษัทความปลอดภัยไซเบอร์ เปิดเผยงานวิจัยเมื่อวันที่ 30 มิถุนายน 2026 ว่าแคมเปญ ‘Contagious Interview’ ที่เชื่อมโยงกับเกาหลีเหนือ ล่อนักพัฒนาผ่านลิงก์อิน วอตส์แอป และดิสคอร์ด งานวิจัยพบว่าในขั้นตอนสัมภาษณ์เทคนิคปลอม เหยื่อจะถูกหลอกให้รันโค้ดจากที่เก็บข้อมูลที่แฝงมัลแวร์ ซึ่งขโมยข้อมูลสำคัญอย่างตัวแปรสภาพแวดล้อมและโทเคนออกไป

โนวบีโฟร์(KnowBe4) บริษัทฝึกอบรมด้านความปลอดภัยไซเบอร์ เผยในบทความเมื่อวันที่ 24 กุมภาพันธ์ 2025 ถึงประสบการณ์การสัมภาษณ์ผู้สมัครงานปลอมจากเกาหลีเหนือ ผู้สมัครคนดังกล่าวถามคำถามซ้ำเพื่อถ่วงเวลา และดูเหมือนใช้การค้นหาหรือคำตอบจาก AI ในการตอบ โนวบีโฟร์ระบุว่าบริษัทที่จ้างนักพัฒนาระยะไกลเจอผู้สมัครลักษณะนี้ซ้ำแล้วซ้ำเล่า

วงการคริปโตมีลักษณะที่เอื้อให้การตรวจสอบตัวตนหลวมได้ง่าย เพราะเป็นองค์กรที่ทำงานทางไกลเป็นหลัก มีการร่วมงานกับนักพัฒนาข้ามประเทศ เร่งรับคนเร็ว และมีวัฒนธรรมใช้ชื่อแฝง หากการตรวจสอบสมาร์ทคอนแทรกต์และการเฝ้าระวังกระเป๋าเงินเป็นเครื่องมือ ‘ตรวจจับหลังเกิดเหตุ’ การตรวจสอบช่วงสัมภาษณ์และปฐมนิเทศก็คือ ‘แนวป้องกันก่อนเกิดเหตุ’ ที่ต้องทำก่อนให้สิทธิ์เข้าถึงระบบภายใน

บริษัทคริปโตในเกาหลีใต้เองก็เผชิญปัญหาเดียวกัน ก่อนหน้านี้ TokenPost เคยรายงานว่ากรณีสัมภาษณ์นักพัฒนาทางไกลที่ต้องสงสัยว่าเชื่อมโยงกับเกาหลีเหนือ ได้เปิดเผยปัญหาการตรวจสอบตัวตนในขั้นตอนรับสมัครงานของวงการสินทรัพย์ดิจิทัล ครั้งนั้นชื่อแฝง สัญชาติ และที่พักอาศัยของบุคคลในข่าวยังไม่ได้รับการยืนยันอย่างเป็นอิสระเช่นกัน ประเด็นสำคัญไม่ใช่ตัวบุคคล แต่เป็นวิธีการที่ใช้

ทีมวิจัยด้านความปลอดภัยเคยตั้งบริษัทดีไฟปลอมขึ้นมาเพื่อสืบสวนย้อนกลับไปหาแรงงานไอทีปลอมที่ถูกระบุว่าเป็นเครือข่ายลาซารัสของเกาหลีเหนือ TokenPost เคยรายงานเกี่ยวกับกรณีนี้ว่ามีการใช้บัตรประชาชนปลอม หมายเลขประกันสังคมที่ถูกขโมย และบัญชีที่ให้คนอื่นสวมรอยในขั้นตอนสมัครงาน

ประเด็นครั้งนี้จึงไม่ได้มุ่งเป้าไปที่ตัวตนของผู้ถูกสัมภาษณ์รายใดรายหนึ่ง แต่ชี้ไปที่โครงสร้างการรับสมัครงานของวงการคริปโตทั้งระบบ การจัดการขั้นตอนสัมภาษณ์งาน การส่งอุปกรณ์ การอนุญาตเข้าถึงระยะไกล และการให้สิทธิ์ใช้งาน ให้อยู่ภายใต้ระบบความปลอดภัยเดียวกัน จะช่วยลดความเสี่ยงจากการแทรกซึมที่มุ่งเข้าถึงระบบภายในได้