كيف استخدمت "تشوليما الشهيرة" التزييف العميق بالذكاء الاصطناعي لسرقة وظائف تقنية و2 مليار دولار

لعبة الخداع بالذكاء الاصطناعي

حرفة مجموعة تشوليما الشهيرة الأساسية متطورة وبسيطة بشكل مقلق في آن واحد: احصل على وظيفة. نشطة منذ عام 2018 على الأقل، تتخصص المجموعة في الحصول على عمل مستقل أو بدوام كامل بطرق احتيالية، عادة كمطوري برمجيات عن بُعد .

ما تغير مؤخرًا هو التصنيع الممنهج لعملية الاحتيال في التوظيف. يصف تقرير البحث عن التهديدات لعام 2025 الصادر عن كراود سترايك "صورة واضحة لخصم يدمج بعمق أدوات مدعومة بالذكاء الاصطناعي التوليدي تقوم بأتمتة وتحسين سير العمل في كل مرحلة من عملية التوظيف والعمل" .

تشمل الأساليب المحددة الموثقة في تقارير كراود سترايك ما يلي:

• مقاطع فيديو وصوت مزيفة بالذكاء الاصطناعي للمقابلات عن بُعد. يستخدم العملاء أدوات ذكاء اصطناعي توليدي متاحة للمستهلكين، بما في ذلك ChatGPT من OpenAI و Gemini من Google، لتغيير صوتهم وفيديوهم في الوقت الفعلي أثناء مقابلات الفيديو ولتوليد إجابات مقنعة على الأسئلة التقنية .
• شخصيات مهنية مختلقة بالكامل. ينشئ ممثلو التهديد ملفات تعريف مصقولة على LinkedIn بصور مولدة بالذكاء الاصطناعي، مع تواريخ توظيف قابلة للتصديق وسير ذاتية مزيفة تجتاز فحوصات الخلفية .
• وثائق هوية مسروقة حقيقية. يستغل العملاء أرقام الضمان الاجتماعي الأمريكية المسروقة ووثائق هوية أخرى لتعميق وهم الشرعية لأنظمة التحقق من الخلفية .

قام فريق كراود سترايك المسمى "أوفر ووتش" (OverWatch) بالتحقيق في أكثر من 320 حالة مميزة لعملاء من مجموعة تشوليما الشهيرة حصلوا فيها على وظائف احتيالية في فترة 12 شهرًا - وهي زيادة مذهلة بنسبة 220% عن العام السابق . كما قفز معدل نجاح هؤلاء الموظفين المتخفين بنسبة 220%، وأشار آدم مايرز، رئيس عمليات مكافحة الخصوم لدى كراود سترايك، إلى أن فريقه يستجيب الآن لحادثة واحدة تقريبًا يوميًا .

ما الذي يسعون إليه؟

الدافع هو خط أنابيب مزدوج للإيرادات للنظام الخاضع للعقوبات.

المسار الأول هو سرقة الرواتب المباشرة. يجمع عملاء تشوليما الشهيرة شيكات الرواتب من الشركات التي يتسللون إليها، ويحولون الأجور إلى كوريا الشمالية. أما المسار الثاني — والأكثر ضررًا للضحايا — فهو سرقة الملكية الفكرية. بمجرد دخول الشبكة ببيانات اعتماد شرعية، يسرق العملاء شيفرة المصدر الاحتكارية والأسرار التجارية والملكية الفكرية الحساسة الأخرى .

بالتوازي مع مخطط موظفي تكنولوجيا المعلومات، يدير النظام الإلكتروني الكوري الشمالي الأوسع عملية ضخمة لسرقة العملات الرقمية. وجد تقرير المشهد الأمني للخدمات المالية لعام 2026 الصادر عن كراود سترايك أن الجماعات المرتبطة بكوريا الديمقراطية (DPRK) سرقت مجتمعة 2.02 مليار دولار من الأصول الرقمية خلال عام 2025، بزيادة 51% مقارنة بالعام السابق . نُسبت أكبر عملية سطو منفردة — 1.46 مليار دولار من العملات الرقمية — إلى المجموعة ذات الصلة المسماة "تشوليما الضاغطة" (PRESSURE CHOLLIMA)، التي وزعت برامج ملغومة عبر اختراق سلسلة التوريد .

الوجهة النهائية لهذه الأموال صريحة. تقول التقارير إن المليارات المسروقة "تُغسل بشكل شبه مؤكد وستستخدم لتمويل برامج النظام العسكرية والنووية" .

ما بعد التوظيف: ابتزاز سرقة البيانات

بينما يركز الإبلاغ العام عن مجموعة تشوليما الشهيرة على التسلل والسرقة، فإن استخراج البيانات يحمل مكافأة محتملة ثانية. تبنت العمليات الإلكترونية الكورية الشمالية الأوسع تكتيكات ابتزاز سرقة البيانات — التهديد بتسريب المعلومات المسروقة ما لم يتم دفع فدية.

ذكر تقرير التهديدات العالمي السابق لكراود سترايك عن زيادة بنسبة 76% في عدد الضحايا المذكورين في مواقع التسريب المخصصة حيث أصبح ابتزاز سرقة البيانات طريقًا مفضلاً للعديد من الخصوم . تلاحظ الشركة أنه تم رصد ممثلين مرتبطين بكوريا الديمقراطية وهم يقومون بحملات سرقة بيانات وابتزاز دون نشر برامج الفدية، ممارسين ضغوطًا من خلال التهديد بكشف البيانات الحساسة .

أكدت كراود سترايك أيضًا أنه في ارتباطات الخدمات التي تشمل مجموعة تشوليما الشهيرة، تم تأكيد سرقة البيانات في 50% من الحالات . يمكن استخدام هذه المعلومات المستخرجة للابتزاز، على الرغم من أن ملخصات التقارير العامة تركز بشكل مباشر أكثر على خط أنابيب التسلل الداخلي وسرقة الرواتب والعملات الرقمية للمجموعة. قد تكون التفاصيل الدقيقة لكتاب قواعد الابتزاز الخاص بالمجموعة متاحة فقط في التقارير الكاملة غير المحررة بدلاً من الملخصات العامة المتاحة حتى الآن.

يمثل حجم وتطور العملية نموذجًا جديدًا في الاختراق الإلكتروني للدول القومية، محولة التهديد من الهجمات المحيطية إلى أشخاص موثوقين داخليًا يتم توظيفهم، ويتقاضون رواتبهم، ويسرقون من الداخل.