Griekse onderzoeker hackte Noord-Koreaanse hackers: 1.640 bedrijven uit 57 landen gekraakt

Bijna twee jaar lang leefde een enkele Griekse onderzoeker in de infrastructuur van een van de meest productieve staatshackoperaties ter wereld. Hij brak niet binnen met een geavanceerde zero-day-kwetsbaarheid – de Noord-Koreaanse hackers infecteerden zichzelf met hun eigen malware, waardoor Vangelis Stykas een voorstoel kreeg bij een wereldwijde inbraakcampagne van ongekende omvang.

Tijdens de Black Hat-beveiligingsconferentie in Las Vegas in augustus 2026 presenteerde Stykas – CTO van het cybersecuritybedrijf Kumio – de meest gedetailleerde openbare weergave van Noord-Korea's wereldwijde hackcampagne ooit. Dit is wat hij vond.

De omvang: 1.640 bedrijven in 57 landen

In 22 maanden tijd analyseerde Stykas ongeveer 5 terabyte aan data die was buitgemaakt op Noord-Koreaanse command-and-control-servers . Het bewijs wees op 1.640 gekraakte organisaties verspreid over 57 landen .

Niet alle inbraken waren even zwaar. Stykas schatte dat 700 tot 800 van de slachtoffers te maken kregen met wat hij 'echt schadelijke' inbraken noemde . In die ernstige gevallen verwierven de aanvallers:

• Root-toegang tot bedrijfsservers
• Volledige controle over Amazon Web Services (AWS)-omgevingen
• Buitmaking van master-cryptografische sleutels, waaronder privésleutels van cryptowallets

Genoemde slachtoffers: crypto, gezondheidszorg en consumentenelektronica

Stykas noemde publiekelijk ongeveer een dozijn organisaties die het meldingsproces goed hadden doorlopen of de inbraak al onafhankelijk hadden ontdekt . Daaronder:

• Coinbase en Uniswap Labs (cryptocurrency/financiën)
• Oppo (Chinese smartphonemaker)
• Boston Children's Hospital (gezondheidszorg)
• De Hoge Raad voor de Rechtspraak van Italië
• AEON Smart Technology (Japan)

De campagne was breed en trof technologiebedrijven, financiële instellingen, zorgverleners en overheidsinstanties in tientallen landen .

De aanvalsvector: nep-sollicitatiegesprekken

De primaire methode voor initiële toegang was een social engineering-campagne die Stykas identificeerde als 'Contagious Interview' . Noord-Koreaanse hackers deden zich voor als bedrijfsrecruiters op professionele netwerken zoals LinkedIn. Ze richtten zich op softwareontwikkelaars met verleidelijke vacatures en lokten slachtoffers tijdens schijnsollicitaties naar het downloaden van met malware besmette codeertests, pdf's of andere bestanden .

Zodra een apparaat van een externe medewerker of werknemer was gecompromitteerd, schakelden de aanvallers door naar het bedrijfsnetwerk. In sommige gevallen infiltreerden Noord-Koreaanse IT-werknemers bedrijven ook direct via frauduleus thuiswerk .

Hoe Stykas binnenkwam – en bleef

Stykas kreeg toegang niet door een geavanceerde inbraak, maar omdat de Noord-Koreaanse hackers per ongeluk hun eigen werkstations met hun eigen malware infecteerden . Deze operationele beveiligingsfout gaf Stykas een voet aan de grond op hun command-and-control-servers. Van daaruit had hij toegang tot hun interne Slack- en Discord-kanalen, spitte hij gestolen gegevens door en haalde hij ontwikkelaarssleutels, broncode en interne communicatie op .

Hij bracht 22 maanden onopgemerkt door met het stilletjes monitoren van hun operaties .

Wat Stykas presenteerde op Black Hat 2026

Op Black Hat onthulde Stykas :

• De volledige omvang van 1.640 slachtofferorganisaties in 57 landen.
• Dat de hackers steeds vaker AI-tools gebruikten om hun operaties op te schalen .
• Een gedeeltelijke slachtofferlijst met Coinbase, Oppo en Boston Children's Hospital .
• Bewijs dat honderden slachtoffers ernstige compromittering hadden ondergaan – root-toegang tot servers, AWS-controle en exfiltratie van cryptografische sleutels .
• De details van de Contagious Interview-campagne als de belangrijkste vector voor initiële toegang .

Implicaties

Stykas' bevindingen onderstrepen een kritieke kwetsbaarheid in de moderne bedrijfsbeveiliging: de afhankelijkheid van externe contractanten en het wervingsproces zelf als aanvalsoppervlak. Ze benadrukken ook hoe staatshackgroepen een verbluffend aantal inbraken – veel meer dan eerder bekend – jarenlang verborgen kunnen houden.

Het feit dat een individuele onderzoeker de hackapparatuur van een natiestaat bijna twee jaar kon infiltreren en monitoren, wijst ook op aanzienlijke operationele beveiligingslekken binnen Noord-Koreaanse cybereenheden .