Nie wszystkie włamania były równe. Stykas oszacował, że 700 do 800 z tych ofiar doznało, jak to określił, „naprawdę niszczycielskich” włamań . W tych poważnych przypadkach atakujący uzyskali:

• Dostęp na poziomie root do serwerów firmowych
• Pełną kontrolę nad środowiskami Amazon Web Services (AWS)
• Wydobycie głównych kluczy kryptograficznych, w tym kluczy prywatnych do portfeli kryptowalut

Nazwane ofiary: kryptowaluty, opieka zdrowotna i elektronika użytkowa

Stykas publicznie wymienił około kilkunastu organizacji, które dobrze poradziły sobie z procesem ujawniania lub same niezależnie odkryły włamanie . Wśród nich:

• Coinbase i Uniswap Labs (kryptowaluty/finanse)
• Oppo (chiński producent smartfonów)
• Boston Children's Hospital (opieka zdrowotna)
• Najwyższa Rada Sądownictwa Włoch
• AEON Smart Technology (Japonia)

Kampania była szeroko zakrojona, uderzając w firmy technologiczne, instytucje finansowe, placówki opieki zdrowotnej i organy rządowe w kilkudziesięciu krajach .

Wektor ataku: fałszywe rozmowy kwalifikacyjne

Podstawową metodą uzyskania początkowego dostępu była kampania socjotechniczna, którą Stykas zidentyfikował jako „Contagious Interview” . Północnokoreańscy hakerzy podszywali się pod rekruterów korporacyjnych na platformach takich jak LinkedIn. Celowali w programistów, kusząc ich atrakcyjnymi ofertami pracy, a podczas fikcyjnych rozmów kwalifikacyjnych nakłaniali ofiary do pobrania testów programistycznych, plików PDF lub innych plików zawierających złośliwe oprogramowanie .

Gdy urządzenie pojedynczego kontrahenta lub pracownika zostało zaatakowane, hakerzy przeskakiwali do sieci firmowej. W niektórych przypadkach północnokoreańscy pracownicy IT infiltrowali firmy bezpośrednio poprzez fałszywe zatrudnienie zdalne .

Jak Stykas się dostał – i pozostał

Stykas uzyskał dostęp nie w wyniku zaawansowanej infiltracji, ale dlatego, że północnokoreańscy hakerzy przypadkowo zainfekowali własne stacje robocze własnym złośliwym oprogramowaniem . Ta porażka w zakresie bezpieczeństwa operacyjnego dała Stykasowi przyczółek w ich serwerach dowodzenia i kontroli. Stamtąd uzyskał dostęp do ich wewnętrznych kanałów Slack i Discord, przeczesał skradzione dane oraz wydobył klucze deweloperskie, kod źródłowy i wewnętrzną komunikację .

Spędził 22 miesiące, cicho monitorując ich operacje, nie będąc wykrytym .

Co Stykas zaprezentował na Black Hat 2026

Na Black Hat Stykas ujawnił :

• Pełny zakres 1640 organizacji-ofiar w 57 krajach.
• Że hakerzy coraz częściej używają narzędzi AI do skalowania swoich operacji .
• Częściową listę ofiar, w tym Coinbase, Oppo i Boston Children's Hospital .
• Dowody na to, że setki ofiar doznały poważnych naruszeń – dostęp do serwerów na poziomie root, kontrola AWS i wydobycie kluczy kryptograficznych .
• Szczegóły kampanii Contagious Interview jako głównego wektora początkowego dostępu .

Implikacje

Odkrycia Stykasa podkreślają krytyczną lukę w nowoczesnym bezpieczeństwie korporacyjnym: poleganie na zdalnych kontrahentach i samym procesie rekrutacji jako powierzchni ataku. Pokazują również, jak sponsorowane przez państwo grupy hakerskie mogą ukrywać oszałamiającą liczbę naruszeń – znacznie więcej niż wcześniej znane – przez lata.

Fakt, że indywidualny badacz mógł infiltrować i monitorować aparat hakerski państwa narodowego przez prawie dwa lata, sugeruje również znaczące luki w bezpieczeństwie operacyjnym w północnokoreańskich jednostkach cybernetycznych .

Nie wszystkie włamania były równe. Stykas oszacował, że 700 do 800 z tych ofiar doznało, jak to określił, „naprawdę niszczycielskich” włamań . W tych poważnych przypadkach atakujący uzyskali:

• Dostęp na poziomie root do serwerów firmowych
• Pełną kontrolę nad środowiskami Amazon Web Services (AWS)
• Wydobycie głównych kluczy kryptograficznych, w tym kluczy prywatnych do portfeli kryptowalut

Nazwane ofiary: kryptowaluty, opieka zdrowotna i elektronika użytkowa

Stykas publicznie wymienił około kilkunastu organizacji, które dobrze poradziły sobie z procesem ujawniania lub same niezależnie odkryły włamanie . Wśród nich:

• Coinbase i Uniswap Labs (kryptowaluty/finanse)
• Oppo (chiński producent smartfonów)
• Boston Children's Hospital (opieka zdrowotna)
• Najwyższa Rada Sądownictwa Włoch
• AEON Smart Technology (Japonia)

Kampania była szeroko zakrojona, uderzając w firmy technologiczne, instytucje finansowe, placówki opieki zdrowotnej i organy rządowe w kilkudziesięciu krajach .

Wektor ataku: fałszywe rozmowy kwalifikacyjne

Podstawową metodą uzyskania początkowego dostępu była kampania socjotechniczna, którą Stykas zidentyfikował jako „Contagious Interview” . Północnokoreańscy hakerzy podszywali się pod rekruterów korporacyjnych na platformach takich jak LinkedIn. Celowali w programistów, kusząc ich atrakcyjnymi ofertami pracy, a podczas fikcyjnych rozmów kwalifikacyjnych nakłaniali ofiary do pobrania testów programistycznych, plików PDF lub innych plików zawierających złośliwe oprogramowanie .

Gdy urządzenie pojedynczego kontrahenta lub pracownika zostało zaatakowane, hakerzy przeskakiwali do sieci firmowej. W niektórych przypadkach północnokoreańscy pracownicy IT infiltrowali firmy bezpośrednio poprzez fałszywe zatrudnienie zdalne .

Jak Stykas się dostał – i pozostał

Stykas uzyskał dostęp nie w wyniku zaawansowanej infiltracji, ale dlatego, że północnokoreańscy hakerzy przypadkowo zainfekowali własne stacje robocze własnym złośliwym oprogramowaniem . Ta porażka w zakresie bezpieczeństwa operacyjnego dała Stykasowi przyczółek w ich serwerach dowodzenia i kontroli. Stamtąd uzyskał dostęp do ich wewnętrznych kanałów Slack i Discord, przeczesał skradzione dane oraz wydobył klucze deweloperskie, kod źródłowy i wewnętrzną komunikację .

Spędził 22 miesiące, cicho monitorując ich operacje, nie będąc wykrytym .

Co Stykas zaprezentował na Black Hat 2026

Na Black Hat Stykas ujawnił :

• Pełny zakres 1640 organizacji-ofiar w 57 krajach.
• Że hakerzy coraz częściej używają narzędzi AI do skalowania swoich operacji .
• Częściową listę ofiar, w tym Coinbase, Oppo i Boston Children's Hospital .
• Dowody na to, że setki ofiar doznały poważnych naruszeń – dostęp do serwerów na poziomie root, kontrola AWS i wydobycie kluczy kryptograficznych .
• Szczegóły kampanii Contagious Interview jako głównego wektora początkowego dostępu .

Implikacje

Odkrycia Stykasa podkreślają krytyczną lukę w nowoczesnym bezpieczeństwie korporacyjnym: poleganie na zdalnych kontrahentach i samym procesie rekrutacji jako powierzchni ataku. Pokazują również, jak sponsorowane przez państwo grupy hakerskie mogą ukrywać oszałamiającą liczbę naruszeń – znacznie więcej niż wcześniej znane – przez lata.

Fakt, że indywidualny badacz mógł infiltrować i monitorować aparat hakerski państwa narodowego przez prawie dwa lata, sugeruje również znaczące luki w bezpieczeństwie operacyjnym w północnokoreańskich jednostkach cybernetycznych .