كيف استخدمت "تشوليما الشهيرة" التزييف العميق بالذكاء الاصطناعي لسرقة وظائف تقنية و2 مليار دولار

أصبحت مجموعة قرصنة كورية شمالية واحدة مسؤولة الآن عن نصف عمليات الاختراق الرقمي المدعومة من الدولة والتي تستهدف قطاع التكنولوجيا الأمريكي. وفقًا لتقارير التهديدات الصادرة حديثًا عن شركة الأمن السيبراني "كراود سترايك" (CrowdStrike)، تدير المجموعة التي تحمل الاسم الرمزي "تشوليما الشهيرة" (Famous Chollima) عملية احتيال توظيفي مدعومة بالذكاء الاصطناعي تضع عملاء النظام داخل شركات غربية كمطوري برمجيات عن بُعد. بمجرد توظيفهم، يسرقون الملكية الفكرية ويستخرجون البيانات الحساسة ويحولون الرواتب إلى بيونغ يانغ — بينما حققت موجة سطو موازية على العملات الرقمية أكثر من ملياري دولار العام الماضي وحده .

حجم العملية

إن الارتفاع بنسبة 130٪ على أساس سنوي في الحوادث الإلكترونية المرتبطة بكوريا الشمالية التي وثقتها كراود سترايك لا يقوده برامج خبيثة تقليدية. بدلاً من ذلك، يستجيب صائدو التهديدات لسيل من حالات التهديد الداخلي حيث حصل مواطنون كوريون شماليون على وصول شرعي إلى شبكات الشركات .

تُظهر أحدث البيانات، التي تغطي الفترة من أبريل 2025 إلى مايو 2026، أن ممثلي التهديد الكوريين الشماليين نفذوا 47% من جميع عمليات الاختراق المدعومة من الدولة والتي تتم "يدويًا" (عبر لوحة مفاتيح) في شركات التكنولوجيا الأمريكية - وشكلت مجموعة تشوليما الشهيرة وحدها هذه الحصة بالكامل . يمثل هذا تصعيدًا كبيرًا مقارنة بعام 2024، عندما تعقبت كراود سترايك 304 حادثة من مجموعة تشوليما الشهيرة، 40% منها تضمنت الخصم يتصرف كموظف داخلي موثوق .

لعبة الخداع بالذكاء الاصطناعي

حرفة مجموعة تشوليما الشهيرة الأساسية متطورة وبسيطة بشكل مقلق في آن واحد: احصل على وظيفة. نشطة منذ عام 2018 على الأقل، تتخصص المجموعة في الحصول على عمل مستقل أو بدوام كامل بطرق احتيالية، عادة كمطوري برمجيات عن بُعد .

ما تغير مؤخرًا هو التصنيع الممنهج لعملية الاحتيال في التوظيف. يصف تقرير البحث عن التهديدات لعام 2025 الصادر عن كراود سترايك "صورة واضحة لخصم يدمج بعمق أدوات مدعومة بالذكاء الاصطناعي التوليدي تقوم بأتمتة وتحسين سير العمل في كل مرحلة من عملية التوظيف والعمل" .

تشمل الأساليب المحددة الموثقة في تقارير كراود سترايك ما يلي:

• مقاطع فيديو وصوت مزيفة بالذكاء الاصطناعي للمقابلات عن بُعد. يستخدم العملاء أدوات ذكاء اصطناعي توليدي متاحة للمستهلكين، بما في ذلك ChatGPT من OpenAI و Gemini من Google، لتغيير صوتهم وفيديوهم في الوقت الفعلي أثناء مقابلات الفيديو ولتوليد إجابات مقنعة على الأسئلة التقنية .
• شخصيات مهنية مختلقة بالكامل. ينشئ ممثلو التهديد ملفات تعريف مصقولة على LinkedIn بصور مولدة بالذكاء الاصطناعي، مع تواريخ توظيف قابلة للتصديق وسير ذاتية مزيفة تجتاز فحوصات الخلفية .
• وثائق هوية مسروقة حقيقية. يستغل العملاء أرقام الضمان الاجتماعي الأمريكية المسروقة ووثائق هوية أخرى لتعميق وهم الشرعية لأنظمة التحقق من الخلفية .

قام فريق كراود سترايك المسمى "أوفر ووتش" (OverWatch) بالتحقيق في أكثر من 320 حالة مميزة لعملاء من مجموعة تشوليما الشهيرة حصلوا فيها على وظائف احتيالية في فترة 12 شهرًا - وهي زيادة مذهلة بنسبة 220% عن العام السابق . كما قفز معدل نجاح هؤلاء الموظفين المتخفين بنسبة 220%، وأشار آدم مايرز، رئيس عمليات مكافحة الخصوم لدى كراود سترايك، إلى أن فريقه يستجيب الآن لحادثة واحدة تقريبًا يوميًا .

ما الذي يسعون إليه؟

الدافع هو خط أنابيب مزدوج للإيرادات للنظام الخاضع للعقوبات.

المسار الأول هو سرقة الرواتب المباشرة. يجمع عملاء تشوليما الشهيرة شيكات الرواتب من الشركات التي يتسللون إليها، ويحولون الأجور إلى كوريا الشمالية. أما المسار الثاني — والأكثر ضررًا للضحايا — فهو سرقة الملكية الفكرية. بمجرد دخول الشبكة ببيانات اعتماد شرعية، يسرق العملاء شيفرة المصدر الاحتكارية والأسرار التجارية والملكية الفكرية الحساسة الأخرى .

بالتوازي مع مخطط موظفي تكنولوجيا المعلومات، يدير النظام الإلكتروني الكوري الشمالي الأوسع عملية ضخمة لسرقة العملات الرقمية. وجد تقرير المشهد الأمني للخدمات المالية لعام 2026 الصادر عن كراود سترايك أن الجماعات المرتبطة بكوريا الديمقراطية (DPRK) سرقت مجتمعة 2.02 مليار دولار من الأصول الرقمية خلال عام 2025، بزيادة 51% مقارنة بالعام السابق . نُسبت أكبر عملية سطو منفردة — 1.46 مليار دولار من العملات الرقمية — إلى المجموعة ذات الصلة المسماة "تشوليما الضاغطة" (PRESSURE CHOLLIMA)، التي وزعت برامج ملغومة عبر اختراق سلسلة التوريد .

الوجهة النهائية لهذه الأموال صريحة. تقول التقارير إن المليارات المسروقة "تُغسل بشكل شبه مؤكد وستستخدم لتمويل برامج النظام العسكرية والنووية" .

ما بعد التوظيف: ابتزاز سرقة البيانات

بينما يركز الإبلاغ العام عن مجموعة تشوليما الشهيرة على التسلل والسرقة، فإن استخراج البيانات يحمل مكافأة محتملة ثانية. تبنت العمليات الإلكترونية الكورية الشمالية الأوسع تكتيكات ابتزاز سرقة البيانات — التهديد بتسريب المعلومات المسروقة ما لم يتم دفع فدية.

ذكر تقرير التهديدات العالمي السابق لكراود سترايك عن زيادة بنسبة 76% في عدد الضحايا المذكورين في مواقع التسريب المخصصة حيث أصبح ابتزاز سرقة البيانات طريقًا مفضلاً للعديد من الخصوم . تلاحظ الشركة أنه تم رصد ممثلين مرتبطين بكوريا الديمقراطية وهم يقومون بحملات سرقة بيانات وابتزاز دون نشر برامج الفدية، ممارسين ضغوطًا من خلال التهديد بكشف البيانات الحساسة .

أكدت كراود سترايك أيضًا أنه في ارتباطات الخدمات التي تشمل مجموعة تشوليما الشهيرة، تم تأكيد سرقة البيانات في 50% من الحالات . يمكن استخدام هذه المعلومات المستخرجة للابتزاز، على الرغم من أن ملخصات التقارير العامة تركز بشكل مباشر أكثر على خط أنابيب التسلل الداخلي وسرقة الرواتب والعملات الرقمية للمجموعة. قد تكون التفاصيل الدقيقة لكتاب قواعد الابتزاز الخاص بالمجموعة متاحة فقط في التقارير الكاملة غير المحررة بدلاً من الملخصات العامة المتاحة حتى الآن.

يمثل حجم وتطور العملية نموذجًا جديدًا في الاختراق الإلكتروني للدول القومية، محولة التهديد من الهجمات المحيطية إلى أشخاص موثوقين داخليًا يتم توظيفهم، ويتقاضون رواتبهم، ويسرقون من الداخل.