นักวิจัยสร้างบริษัทคริปโตปลอม ล่อจ้างพนักงานไอทีเกาหลีเหนือได้ 3 คน

ทีมนักวิจัยความปลอดภัยไซเบอร์สร้างบริษัทสตาร์ทอัพคริปโตปลอมขึ้นมา เพื่อล่อจ้างพนักงานไอทีจากเกาหลีเหนือที่แฝงตัวสมัครงานในบริษัทเทคโนโลยีต่างๆ ปฏิบัติการนี้จับได้พนักงานต้องสงสัย 3 คน พร้อมเปิดโปงเครื่องมือและกลยุทธ์การปลอมตัวที่ซับซ้อนขึ้นเรื่อยๆ ตามรายงานของ The Hacker News

🐋 ปฏิบัติการล่อซื้อ "Ballena Azul"

ทีมนักวิจัยประกอบด้วย Mauro Eldritch จาก BCA LTD, Heiner García จาก NorthScan และทีมจาก ANY.RUN ผู้ให้บริการวิเคราะห์มัลแวร์และข่าวกรองภัยคุกคาม สร้างบริษัทโปรโตคอล DeFi ปลอมขึ้นมาในชื่อ "Ballena Azul" ที่ดูน่าเชื่อถือ เปิดรับสมัครตำแหน่งนักพัฒนา ผ่านกระบวนการสัมภาษณ์และเซ็นสัญญาจริงทุกขั้นตอน จากนั้นมอบเครื่องคอมพิวเตอร์เสมือน (Work VM) ที่ถูกตรวจสอบพฤติกรรมอย่างใกล้ชิดให้กับผู้ที่ได้รับการว่าจ้าง ปฏิบัติการนี้เป็นภาคต่อจากปฏิบัติการเมื่อเดือนธันวาคม 2568 ที่นักวิจัยเคยปลอมตัวเป็นนายหน้าปล่อยเช่าตัวตนมาแล้ว

🔍 ตัวตนปลอมที่แตกออกทีละจุด

บริษัทปลอมนี้ว่าจ้างผู้ต้องสงสัยได้ 3 คน ทุกคนอ้างตัวตนปลอมทั้งหมด รายแรกอ้างว่าอาศัยอยู่ที่เมือง Pasadena รัฐเท็กซัส แต่ใช้ใบขับขี่รัฐแคลิฟอร์เนียคู่กับบัญชีธนาคารที่รัฐนิวยอร์ก และรูปถ่ายที่ส่งมามีข้อมูล Metadata แสดงว่าผ่านการประมวลผลด้วย Google Gemini ซึ่งเป็น AI สำหรับแต่งภาพ รายที่สองมีเลขประกันสังคมที่ใช้งานได้จริงคู่กับบัญชีธนาคารที่เมือง Kansas City ส่วนรายที่สามใช้ใบขับขี่รัฐนิวยอร์กที่แท้จริงเป็นของบุคคลอื่น และภาพถ่ายจาก iPhone ที่ถูกลบพิกัด GPS ออกไป

🛠️ เครื่องมือที่แก๊งเกาหลีเหนือใช้

เอกสารประจำตัวที่ใช้สมัครงานถูกตกแต่งด้วยซอฟต์แวร์แก้ไขภาพ สอดคล้องกับคำเตือนร่วมของ 11 ประเทศเมื่อวันที่ 31 กรกฎาคมที่ผ่านมา นักวิจัยยังพบว่าผู้ต้องสงสัยใช้เครื่องมือ AI ช่วยสมัครงานหลายตัว เช่น AIApply, Final Round AI, Simplify Copilot และเครื่องมือบันทึกพรอมป์ของ ChatGPT รวมถึงใช้ VPN จาก AstrillVPN บริการรหัสยืนยันตัวตนสองชั้นอย่าง 2fa.cn ผู้ให้บริการ Hosting อย่าง Vultr และ Gorilla Servers พร้อมเชื่อมต่อระยะไกลผ่าน Chrome Remote Desktop ในวันแรกที่ได้รับสิทธิ์เข้าถึงระบบ ผู้ต้องสงสัยทั้ง 3 คนรันคำสั่งตรวจสอบข้อมูลเครื่อง (dxdiag, systeminfo, wmic) และเช็คว่าประเทศต้นทางของการเชื่อมต่อของตัวเองแสดงผลอย่างไร

🌐 บริบทที่ใหญ่กว่า: Famous Chollima และ Lazarus

นักวิจัยระบุว่าผู้ต้องสงสัยทั้ง 3 คนเข้าข่ายกลุ่มที่ CrowdStrike เรียกว่า "Famous Chollima" ซึ่งเป็นปฏิบัติการพนักงานไอทีของเกาหลีเหนือที่อยู่ภายใต้ร่มใหญ่ของกลุ่ม Lazarus ก่อนหน้านี้ กระทรวงยุติธรรมสหรัฐฯ เคยดำเนินคดีเมื่อเดือนเมษายน 2568 ที่พบว่ามีผู้อำนวยความสะดวกชาวอเมริกัน 2 คน ช่วยฝังพนักงานเกาหลีเหนือเข้าทำงานในบริษัทสหรัฐฯ กว่า 100 แห่ง โดยใช้ตัวตนที่ขโมยมากว่า 80 ใบ สร้างรายได้ให้เกาหลีเหนือมากกว่า 5 ล้านดอลลาร์ ปฏิบัติการล่าสุดนี้นำเสนอผลการวิจัยในงานประชุมความปลอดภัยไซเบอร์ DEF CON 34 ที่ลาสเวกัส

📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
👉 Bybit ฟ้องเกาหลีเหนือและ Lazarus Group คดีแฮก $1.5 พันล้านดอลลาร์ ศาลสั่งอายัดทรัพย์แล้ว
👉 เกาหลีเหนือขึ้นแท่นอันดับ 3 ผู้ถือ Bitcoin รายใหญ่ของรัฐบาลโลก! จากฝีมือของ Lazarus Group

🔗 อ้างอิงต้นฉบับ: The Hacker News / thehackernews.com

💬 ความเห็นบรรณาธิการ Bitcoinaddict:
ปฏิบัติการนี้น่าสนใจตรงที่พลิกบทบาท จากที่ปกตินักวิจัยความปลอดภัยจะไล่ตามหลังเหตุการณ์แฮกเกิดขึ้นแล้ว มาเป็นการวางกับดักล่วงหน้าเพื่อศึกษากลยุทธ์การแทรกซึมโดยตรง รายละเอียดที่น่าตกใจที่สุดคือการใช้ AI แต่งภาพถ่ายและช่วยกรอกใบสมัครงาน สะท้อนว่าการปลอมตัวของแก๊งเกาหลีเหนือพัฒนาไปพร้อมกับเทคโนโลยี AI ที่มีอยู่ทั่วไป สำหรับบริษัทคริปโตและ Web3 ในไทยที่จ้างนักพัฒนาระยะไกล บทเรียนสำคัญคือควรตรวจสอบตัวตนผู้สมัครงานให้ละเอียดกว่าที่เคย โดยเฉพาะเมื่อผู้สมัครไม่เคยพบตัวจริง เพราะเทคนิคที่เปิดโปงในเคสนี้บางส่วนก็ยากจะจับได้ด้วยตาเปล่าเช่นกัน

Tags / คีย์เวิร์ด SEO: เกาหลีเหนือ, Lazarus Group, Famous Chollima, พนักงานไอทีปลอม, AI, ความปลอดภัยไซเบอร์

— รายงานโดยทีมข่าว Bitcoinaddict.com