Trả 500 USD/tháng thuê thi hộ phỏng vấn, Triều Tiên cài người vào doanh nghiệp Mỹ

Một tổ chức có liên hệ với Triều Tiên đã đề nghị một số lao động IT ở các nước thứ ba như Iran, Lebanon khoản tiền mã hóa trị giá 500 USD/tháng (khoảng 12,7 triệu đồng) để họ thi hộ phỏng vấn xin việc từ xa tại các doanh nghiệp Mỹ, sau đó bàn giao công việc trúng tuyển lại cho nhân sự Triều Tiên.

Những người tham gia thi hộ phỏng vấn đóng vai ứng viên thật, vượt qua vòng phỏng vấn kỹ thuật và xác minh danh tính. Sau khi ký hợp đồng lao động, họ rút lui khỏi công việc thực tế. Từ đó, nhân sự Triều Tiên tiếp quản công việc từ xa và có thể truy cập vào hệ thống nội bộ của doanh nghiệp.

Đài NBC đưa tin tổ chức liên hệ với Triều Tiên đã tiếp cận các lập trình viên ở Iran và Lebanon qua LinkedIn, tuyển họ làm “người thi hộ phỏng vấn”. Một số người trong nhóm này dùng chính tên thật của mình để ứng tuyển vào các vị trí làm việc từ xa tại doanh nghiệp Mỹ và trực tiếp tham gia phỏng vấn video.

Một số người thi hộ được đề nghị khoản tiền mã hóa khoảng 500 USD mỗi tháng. Cũng ghi nhận trường hợp sử dụng danh tính giả và bàn giao công việc cho người khác sau khi trúng tuyển.

Việc dùng lao động nước thứ ba đứng ra giúp né được bước xác minh danh tính trực tiếp mà doanh nghiệp thường áp dụng với ứng viên mang quốc tịch Triều Tiên. Vì người ứng tuyển và người thực sự làm việc là hai người khác nhau, quy trình kiểm tra hồ sơ và phỏng vấn kỹ thuật thông thường khó phát hiện ra sự khác biệt này.

Trung tâm Khiếu nại Tội phạm Internet (IC3) trực thuộc Cục Điều tra Liên bang Mỹ (FBI) trong cảnh báo đưa ra ngày 31 tháng 7 đã xếp lao động IT Triều Tiên vào nhóm rủi ro nội bộ đối với doanh nghiệp. Cảnh báo cho biết sau khi giành được hợp đồng, lao động IT Triều Tiên tìm cách chuyển lương về các cơ quan cấp trên trong nước, đồng thời có thể liên quan đến rò rỉ dữ liệu, đánh cắp tiền mã hóa và lấy cắp thông tin nhạy cảm.

Cảnh báo của IC3 cũng đề cập đến các trường hợp trong quá trình tuyển dụng, người tham gia phỏng vấn hoặc người thực sự làm việc không phải là chính ứng viên đã nộp hồ sơ. Đây được xem là loại rủi ro khác với tấn công từ bên ngoài, vì kẻ xấu lợi dụng quan hệ lao động hợp pháp để có được quyền truy cập nội bộ.

Việc doanh nghiệp gửi laptop và tài khoản đến một địa điểm thứ ba khác với nơi cư trú thực tế của nhân viên, hoặc cấp quyền truy cập hệ thống trước khi hoàn tất xác minh danh tính, cũng được nêu là yếu tố rủi ro. Một khi thiết bị và tài khoản rơi vào tay người thực sự thực hiện công việc, phạm vi tiếp cận thông tin nội bộ của doanh nghiệp có thể mở rộng thêm.

IC3 khuyến nghị doanh nghiệp đối chiếu địa chỉ trên giấy tờ tùy thân với địa chỉ giao thiết bị, đồng thời xác nhận khuôn mặt và môi trường xung quanh ứng viên trong buổi phỏng vấn video. Tài khoản dùng để nhận thanh toán bằng tài sản số, nơi làm việc thực tế và thời điểm truy cập hệ thống cũng cần được kiểm tra đồng thời.

Một bài viết trước đây của TokenPost từng đề cập việc Triều Tiên xâm nhập qua tuyển dụng từ xa đang trở thành vấn đề an ninh tuyển dụng của ngành tài sản số, đồng thời nhấn mạnh tầm quan trọng của việc xác minh lập trình viên từ xa và quy trình phỏng vấn. Trường hợp lần này cho thấy việc thi hộ phỏng vấn không chỉ dừng ở gian lận tuyển dụng, mà còn có thể bị lợi dụng như một cách để giành quyền truy cập nội bộ doanh nghiệp.

Công ty an ninh mạng CrowdStrike, trong Báo cáo Mối đe dọa Dịch vụ Tài chính năm 2026, cho biết các nhóm tấn công liên hệ với Triều Tiên đã đánh cắp 2,02 tỷ USD (khoảng 51.308 tỷ đồng) tài sản số trong năm 2025, tăng 51% so với năm trước.

Báo cáo giải thích tổ chức liên hệ với Triều Tiên đã sử dụng danh tính tạo bằng trí tuệ nhân tạo và tài khoản nhà tuyển dụng giả để xâm nhập vào các sàn giao dịch tiền mã hóa và công ty fintech. Phân tích cho rằng quyền truy cập có được ở khâu tuyển dụng có thể dẫn đến việc đánh cắp tài sản số và lấy cắp thông tin doanh nghiệp.

Với các doanh nghiệp tài sản số tuyển dụng từ xa, xuyên biên giới, cần rà soát riêng quy trình xác minh danh tính của từng công ty cũng như việc xác nhận người thực sự thực hiện công việc.

Nhiều doanh nghiệp tài sản số trong nước cũng sử dụng lập trình viên nước ngoài và nhân sự làm việc từ xa, vì vậy việc xác nhận người tham dự phỏng vấn có trùng khớp với người thực sự làm việc hay không cần được đưa vào phạm vi kiểm soát an ninh. Đặc biệt, quyền truy cập vào hệ thống ví, sàn giao dịch và thông tin khách hàng không nên được cấp toàn bộ ngay sau khi tuyển dụng.

Về mức độ thiệt hại cụ thể và việc có thực sự bị xâm nhập hay không trong từng trường hợp, mỗi doanh nghiệp cần tự xác minh riêng. Doanh nghiệp nên rà soát quy trình tuyển dụng bằng cách đối chiếu địa chỉ giấy tờ tùy thân, địa chỉ giao thiết bị, người tham gia phỏng vấn video, tài khoản nhận thanh toán và thời điểm truy cập hệ thống.