اختراق قراصنة كوريا الشمالية: 1,640 ضحية في 57 دولة

لمدة تقرب من عامين، عاش باحث يوناني داخل البنية التحتية لواحدة من أكثر عمليات القرصنة المدعومة من الدول نشاطًا في العالم. لم يقتحمها باستغلال ثغرات صفرية متطورة — بل إن قراصنة كوريا الشمالية أصابوا أنفسهم ببرمجياتهم الخبيثة، مما منح فانجيليس ستيكاس مقعدًا في الصف الأمامي لحملة اختراق عالمية ذات نطاق مذهل.

في مؤتمر الأمن 'بلاك هات' في لاس فيغاس في أغسطس 2026، قدم ستيكاس — الرئيس التقني لشركة الأمن السيبراني 'كيمييو' — السرد العام الأكثر تفصيلاً لحملة القرصنة العالمية لكوريا الشمالية التي تم إنتاجها على الإطلاق. إليكم ما وجده.

النطاق: 1,640 شركة في 57 دولة

على مدار 22 شهرًا، حلل ستيكاس حوالي 5 تيرابايت من البيانات المستخرجة من خوادم القيادة والتحكم الكورية الشمالية . تشير الأدلة إلى 1,640 مؤسسة مخترقة في 57 دولة .

لم تكن جميع الاختراقات متساوية. قدر ستيكاس أن 700 إلى 800 من تلك الضحايا عانوا مما وصفه باختراقات 'مدمرة حقًا' . في تلك الحالات الشديدة، تمكن المهاجمون من الحصول على:

• وصول على مستوى الجذر (Root) إلى الخوادم المؤسسية
• سيطرة كاملة على بيئات أمازون ويب سيرفيسز (AWS)
• استخراج المفاتيح cryptographic الرئيسية، بما في ذلك مفاتيح المحافظ الخاصة بالعملات المشفرة

الضحايا المذكورون: العملات المشفرة والرعاية الصحية والإلكترونيات الاستهلاكية

ذكر ستيكاس علنًا حوالي اثنتي عشرة منظمة تعاملت بشكل جيد مع عملية الإفصاح أو اكتشفت الاختراق بشكل مستقل . من بينهم:

• كوينبيز ويونيسواب لابز (العملات المشفرة/المالية)
• أوبو (شركة تصنيع هواتف صينية)
• مستشفى بوسطن للأطفال (الرعاية الصحية)
• المجلس الأعلى للقضاء في إيطاليا
• إيون للتقنيات الذكية (اليابان)

كانت الحملة واسعة النطاق، حيث استهدفت شركات التكنولوجيا والمؤسسات المالية ومقدمي الرعاية الصحية والهيئات الحكومية في عشرات البلدان .

ناقل الهجوم: مقابلات عمل وهمية

كانت طريقة الوصول الأولية الرئيسية هي حملة هندسة اجتماعية حددها ستيكاس باسم 'المقابلة المعدية' . تظاهر قراصنة كوريا الشمالية بأنهم مسؤولي توظيف في الشركات على شبكات مهنية مثل لينكد إن. استهدفوا مطوري البرمجيات بعروض عمل مغرية، وخلال مقابلات وهمية، خدعوا الضحايا لتنزيل اختبارات برمجة ملوثة بالبرمجيات الخبيثة أو ملفات PDF أو غيرها .

بمجرد اختراق جهاز مقاول أو موظف واحد، تمكن المهاجمون من الانتقال إلى الشبكة المؤسسية. في بعض الحالات، تسلل عمال تكنولوجيا معلومات كوريون شماليون إلى الشركات مباشرة من خلال التوظيف عن بُعد الاحتيالي .

كيف دخل ستيكاس — وبقي

لم يحصل ستيكاس على الوصول من خلال اختراق متطور، بل لأن قراصنة كوريا الشمالية أصابوا عن طريق الخطأ محطات عمل خاصة بهم ببرمجياتهم الخبيثة . منحه هذا الفشل في الأمن التشغيلي موطئ قدم في خوادم القيادة والتحكم الخاصة بهم. ومن هناك، وصل إلى قنوات سلاك وديسكورد الداخلية، وتمشى بين البيانات المسروقة، واستخرج مفاتيح المطورين وكود المصدر والاتصالات الداخلية .

قضى 22 شهرًا في مراقبة عملياتهم بهدوء دون أن يتم اكتشافه .

ما قدمه ستيكاس في بلاك هات 2026

في بلاك هات، كشف ستيكاس :

• النطاق الكامل لـ 1,640 مؤسسة ضحية في 57 دولة.
• أن القراصنة كانوا يستخدمون بشكل متزايد أدوات الذكاء الاصطناعي لتوسيع نطاق عملياتهم .
• قائمة جزئية بالضحايا تضم كوينبيز وأوبو ومستشفى بوسطن للأطفال .
• أدلة على أن مئات الضحايا عانوا من اختراق شديد — وصول على مستوى الجذر إلى الخوادم، والسيطرة على AWS، واستخراج المفاتيح cryptographic .
• تفاصيل حملة المقابلة المعدية كناقل الوصول الأولي الرئيسي .

الآثار

تؤكد نتائج ستيكاس على ثغرة خطيرة في الأمن المؤسسي الحديث: الاعتماد على المقاولين عن بُعد وعملية التوظيف نفسها كسطح هجوم. كما تسلط الضوء على كيف يمكن لمجموعات القرصنة المدعومة من الدول إخفاء عدد مذهل من الاختراقات — أكثر بكثير مما كان معروفًا سابقًا — لسنوات.

كما تشير حقيقة أن باحثًا فرديًا يمكنه التسلل ومراقبة أجهزة قرصنة دولة بأكملها لمدة عامين تقريبًا إلى وجود فجوات كبيرة في الأمن التشغيلي داخل الوحدات الإلكترونية لكوريا الشمالية .