Angriff auf den Rekrutierungsprozess Ein nordkoreanischer Infiltrationsversuch

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Nordkoreanische Hacker unterwandern gezielt Bewerbungsprozesse, um IT-Abwehrmaßnahmen zu umgehen und strategische Positionen in Unternehmen zu besetzen. Ein detaillierter Infiltrationsversuch bei der Kryptobörse Kraken zeigt, wie Sicherheitsexperten verdächtige Bewerber erkennen – und liefert praktische Präventivstrategien gegen raffinierte staatliche Angriffe.

Was passiert, wenn staatliche Hacker nicht mehr durch die Hintertür eindringen, sondern sich ganz offiziell bewerben? Der Fall eines nordkoreanischen Agenten, der versuchte, durch den Recruitingprozess Zugang zu sensiblen Systemen zu erlangen, offenbart eine alarmierende neue Taktik im Cyberkrieg. Die Sicherheitsexperten der Kryptoplattform Kraken wendeten das Blatt und teilen ihre Erkenntnisse bewusst mit der Branche, denn nur durch gemeinsamen Wissensaustausch können solche Angriffe wirksam abgewehrt werden. Ein aufschlussreicher Fallbericht mit konkreten Sicherheitsempfehlungen für Unternehmen im digitalen Zeitalter.

Laut einer gemeinsamen Erklärung der Vereinigten Staaten, Japans und Südkoreas vom Juni 2025 haben allein nordkoreanische Hackergruppen im vergangenen Jahr Kryptowährungen im Wert von 659 Millionen US-Dollar gestohlen. Nach Schätzungen der Vereinten Nationen hat Nordkorea in den letzten sieben Jahren durch diese Cyberoperationen rund 3,6 Milliarden Dollar erbeutet. Diese Bedrohung erstreckt sich jedoch auf alle Branchen, nicht nur auf Finanz- und Kryptounternehmen. Über den direkten Diebstahl hinaus streben diese Angreifer zunehmend Arbeitsplätze in den Zielunternehmen an. Damit sind verschiedene Absichten verbunden: legitime Gehaltszahlungen zur Finanzierung des Regimes zu erhalten, strategische Informationen über Unternehmensabläufe zu sammeln sowie Schwachstellen zu identifizieren, die andere Hacker später ausnutzen können. Die betroffenen Unternehmen erleiden nicht nur erhebliche finanzielle Schäden, sondern haben auch mit einem massiven Vertrauensverlust zu kämpfen. Während die technischen Schutzmaßnahmen kontinuierlich ausgebaut werden, nutzen staatlich unterstützte Akteure zunehmend diese alternativen Zugangswege, die die etablierten Sicherheitskontrollen umgehen.

Security-Insider Podcast – Folge 101

Riskante IT-Fachkräfte aus Nordkorea

Eine zunehmend beliebte, aber oft unterschätzte Angriffsmethode zielt auf den Personalbeschaffungsprozess. Anstatt technische Sicherheitsbarrieren zu durchbrechen, streben die Angreifer danach, ganz offiziell „durch die Vordertür“ einzutreten und reguläre Positionen zu besetzen. Diese Vorgehensweise eröffnet ihnen potenziell Zugriff auf kritische Systeme und vertrauliche Daten, ohne dabei technische Sicherheitsvorkehrungen aushebeln zu müssen.

Der Fall Kraken: Ein nordkoreanischer Infiltrationsversuch

Unser Sicherheitsteam bei Kraken, einer der weltweit führenden Kryptowährungsbörsen, deckte kürzlich einen solchen Infiltrationsversuch durch einen nordkoreanischen Hacker auf. Der Vorfall begann, als unser Sicherheitsteam von Industriepartnern Informationen über aktive Rekrutierungsversuche nordkoreanischer Akteure im Kryptosektor erhielt, einschließlich einer Liste potenziell gefährdeter E-Mail-Adressen.

Beim Abgleich unserer Rekrutierungsdatenbank mit dieser Liste entdeckten wir eine Übereinstimmung mit einem Bewerber, der sich unter dem Pseudonym „Steven Smith“ auf eine vakante Ingenieursposition beworben hatte.

Statt den verdächtigen Bewerber sofort abzulehnen, entschieden wir uns für einen anderen Weg: Wir führten den Bewerbungsprozess unter ständiger Beobachtung kontrolliert weiter. Diese Vorgehensweise ermöglichte uns, die Taktiken des Angreifers zu dokumentieren und wertvolle Erkenntnisse zu gewinnen.

Bei der ersten Überprüfung des Bewerbers fielen mehrere Ungereimtheiten auf. Der Kandidat meldete sich zum Erstgespräch mit einem anderen Namen als im Lebenslauf angegeben. Während des Telefongesprächs bemerkten wir Stimmwechsel, die auf eine Echtzeit-Unterstützung von außen hindeuteten.

Agenten als Bewerber für IT-Stellen

Was Sie über nordkoreanische Cyber-Akteure wissen müssen

Identifikation und Untersuchung: Die analytische Aufdeckung

Nach Entdeckung der ersten Auffälligkeiten führte unser Sicherheitsteam umfassende OSINT-Analysen (Open Source Intelligence) durch. Diese ergaben, dass die E-Mail-Adresse des Kandidaten zu einem Netzwerk gefälschter Identitäten gehörte, das bereits zur Infiltration mehrerer Firmen genutzt wurde. Eine der verknüpften Identitäten war sogar als ausländischer Agent auf einer Sanktionsliste zu finden.

Unsere technische Prüfung deckte weitere verdächtige Muster auf: Die Nutzung entfernter Mac-Desktops in Kombination mit VPN-Verbindungen zur Verschleierung des tatsächlichen Standorts, kompromittierte E-Mail-Adressen in öffentlichen Profilen sowie manipulierten Ausweisdokumente, die mit hoher Wahrscheinlichkeit auf Datenbeständen eines zwei Jahre zurückliegenden Identitätsdiebstahls basierten.

Im weiteren Verlauf des Bewerbungsverfahrens bauten wir gezielte Prüfungen ein. Das letzte Gespräch fand am 31. Oktober statt, und wir nutzten den Halloween-Anlass für eine Testfrage. Als der Interviewer beiläufig auf die Feierlichkeiten am Abend einging, zeigte der Bewerber eine auffällige Unkenntnis, ein deutlicher Hinweis auf mangelnde Vertrautheit mit dem kulturellen Kontext. Besonders aufschlussreich war auch die Fragen zum Wohnort: Obwohl der Kandidat Houston als seinen Wohnsitz angab, konnte er bei Nachfragen weder die Stadt beschreiben noch lokale Restaurantempfehlungen geben. Diese kontextuellen Überprüfungsmethoden überforderten den Angreifer sichtbar.

Erpressungsversuche durch DVRK

Nordkorea infiltriert IT in USA und Europa

Konsequenzen und Präventivmaßnahmen für Unternehmen

Aus diesem dokumentierten Fall lassen sich mehrere konkrete Sicherheitsmaßnahmen ableiten. Personaleinstellungsprozesse müssen als sicherheitskritische Komponenten behandelt werden. Herkömmliche technische Bewertungen sollten durch unvorhersehbare Echtzeit-Überprüfungen ergänzt werden, da generative KI zunehmend zur Umgehung standardisierter Tests eingesetzt wird.

Eine abteilungsübergreifende Sicherheitskultur ist unverzichtbar: Personalabteilungen sollten im Erkennen verdächtiger Muster geschult werden. Überprüfungsverfahren sollten regelmäßig aktualisiert werden, um berechenbare Muster zu vermeiden. Der branchenweite Austausch zu Bedrohungsakteuren kann die gemeinsame Abwehrfähigkeit deutlich stärken.

Die Bedrohungslage entwickelt sich ständig weiter. Staatlich unterstützte Angreifer setzen vermehrt auf direkte Unterwanderungsmethoden. Wirksame Cybersicherheit erfordert daher einen ganzheitlichen Ansatz, der technische Schutzmaßnahmen mit der Absicherung menschlicher Prozesse verbindet. Bei Kraken teilen wir unsere Erfahrungen bewusst mit der gesamten Branche und Sicherheitsverantwortlichen verschiedener Sektoren, da wir überzeugt sind, dass nur durch offenen Austausch und gemeinsame Transparenz die zunehmend komplexen Angriffe erfolgreich abgewehrt werden können. Die Verankerung von Sicherheitsprinzipien in allen Unternehmensbereichen ist unerlässlich, um potenzielle Bedrohungen frühzeitig zu erkennen. Das Grundprinzip „Vertrauen ist gut, Kontrolle ist besser“ bildet das Fundament einer robusten Sicherheitsstrategie, die aktuellen und künftigen Bedrohungen gewachsen ist.

Über den Autor: Nick Percoco ist Chief Security Officer bei Kraken.

(ID:50491933)