Nordkoreanischer Jobbetrug erfasst Gesundheitswesen und Vertrieb

Mit Nordkorea in Verbindung stehende Akteure bewerben sich laut aktuellen Untersuchungen inzwischen nicht mehr nur auf IT-Stellen.

Zunehmend sind auch auf Positionen im Vertrieb, Marketing sowie im medizinischen Bereich betroffen. Die seit Jahren laufende Kampagne wird unter Namen wie Famous Chollima, Jasper Sleet, PurpleDelta und Wagemole verfolgt.

Bei dem sogenannten IT-Worker-Scheme nutzt Nordkorea ein Netzwerk qualifizierter IT-Kräfte, um sich betrügerisch Stellen bei Fortune-500-Unternehmen sowie privaten Firmen weltweit zu sichern und damit aus der Ferne Einkommen für die verbotenen Atomwaffen- und Raketenprogramme des Landes zu erwirtschaften. Dabei kommen gestohlene oder gefälschte Ausweisdokumente, VPNs und Proxy-Dienste zum Einsatz, um wahre Identität und Standort zu verschleiern. Das Sicherheitsunternehmen Huntress beschrieb die besondere Erkennungsschwierigkeit so: Nordkoreanische Arbeitskräfte stellten Verteidiger vor eine einzigartige Erkennungsherausforderung, da sie sich nicht in Systeme einhackten, sondern Unternehmen dazu brächten, sie ganz regulär aus der Ferne einzustellen und dabei oft tatsächlich die legitime Arbeit verrichteten, für die sie angeheuert wurden.

In einem im Februar 2026 dokumentierten Fall identifizierte Huntress drei Beschäftigte eines australischen Gesundheitsunternehmens als nordkoreanische Arbeitskräfte, die sich als chinesische Staatsangehörige ausgaben, aufgefallen durch wiederholte Verbindungen über Astrill VPN und IPRoyal Proxy sowie durch Auffälligkeiten in den eingereichten Ausweisdokumenten. Bei einem zweiten, im selben Monat untersuchten Fall bei einem Finanzdienstleister fand Huntress auf dem Gerät des Beschäftigten die Fernsteuerungssoftware PiKVM, die es Akteuren erlaubt, sich aus der Ferne mit Geräten in sogenannten Laptop-Farmen zu verbinden, kurz darauf ergänzt um eine USB-Erfassungskarte zur Einspeisung eines gefälschten Kamerabilds in Videokonferenzen. In einem dritten, im August 2026 untersuchten Fall hatte sich ein erst 13 Tage zuvor eingestellter Vertriebsmitarbeiter offenbar die Identität einer real existierenden, zuvor verhafteten Person angeeignet.

Ein einzelner Cluster bewarb sich bei mehr als 1.100 Unternehmen

Nach Angaben der Threat-Intelligence-Firma Recorded Future bewarb sich allein ein dem Cluster PurpleDelta zugeordnetes Netzwerk zwischen Ende 2024 und Anfang 2025 bei mehr als 1.100 Unternehmen, überwiegend aus Software, Technologie, Personalvermittlung sowie Gesundheitswesen und Biotechnologie. Die vermutlich in China ansässigen Akteure unterhielten dabei 22 teils mithilfe von KI erzeugte, frei erfundene Identitäten und nutzten während Vorstellungsgesprächen Bildschirmaufzeichnung, KI-gestützte Transkription sowie Chatbots, um Antworten in Echtzeit zu generieren, teils wortwörtlich aus ChatGPT übernommen. Recorded Future geht davon aus, dass die Aktivität andauert: „PurpleDelta activity is almost certainly ongoing and will very likely continue to expand.“ Auf Deutsch: Die Aktivität von PurpleDelta dauere mit hoher Wahrscheinlichkeit weiter an und werde sich aller Voraussicht nach weiter ausweiten.

Auch das Unternehmen Group-IB bestätigte unabhängig ein vergleichbares Muster erfundener, hochqualifiziert wirkender Entwicklerprofile. Es handle sich nicht um eine klassische Schadsoftware-Angriffskette, sondern um ein auf Arbeitsvermittlung basierendes Zugangsmodell, aufgebaut auf Social Engineering, synthetischen Identitäten und dem Missbrauch legitimer Plattformen.

Internationale Behörden fordern verstärkte Gegenmaßnahmen gegen Nordkorea

Das FBI untersucht derzeit zudem einen Fall, bei dem ein nordkoreanischer IT-Mitarbeiter offenbar erfolgreich eine Anstellung bei einer nicht namentlich genannten US-Bundesbehörde erlangte. Nach Schätzungen des Sicherheitsunternehmens DTEX erwirtschaftete allein ein Teil des Schemas zwischen Dezember 2025 und Februar 2026 rund 1,97 Millionen US-Dollar an Zahlungen über die sanktionierte Ryongbong General Corporation. Bereits im Mai wurden zudem zwei US-Bürger zu jeweils 18 Monaten Haft verurteilt, weil sie sogenannte Laptop-Farmen für nordkoreanische Fernarbeiter betrieben hatten, betroffen waren dabei fast 70 US-Unternehmen.

Angesichts des anhaltenden Ausmaßes der Bedrohung veröffentlichten Ende Juli fast ein Dutzend Regierungen gemeinsam eine Warnung an Länder, Unternehmen und Organisationen, die eigenen Anstrengungen zum Verständnis und zur Eindämmung nordkoreanischer Arbeitskräfteschemata zu verstärken. Cybersicherheits- und Nachrichtendienstbehörden aus den USA, Japan, Südkorea, Australien, Kanada, Frankreich, Deutschland, Italien, den Niederlanden, Neuseeland und Großbritannien empfahlen dabei unter anderem strengere Identitätsprüfungsverfahren, verpflichtende persönliche Vorstellungsgespräche sowie Systeme zur Erkennung auffälliger Angaben bei der Anstellung.

(red)