Coreia do Norte infiltrou centenas de empresas de tecnologia dos EUA com funcionários de TI falsos, revela CrowdStrike

O golpe da contratação com inteligência artificial

O principal método de atuação do Famous Chollima é ao mesmo tempo sofisticado e perturbadoramente simples: conseguir um emprego. Ativo desde pelo menos 2018, o grupo é especializado em obter trabalhos fraudulentos como freelancer ou em tempo integral, normalmente como desenvolvedor de software remoto .

O que mudou recentemente foi a industrialização da fraude de contratação. O Relatório de Caça a Ameaças de 2025 da CrowdStrike descreve um "quadro claro de um adversário que entrelaça profundamente ferramentas de IA generativa para automatizar e otimizar os fluxos de trabalho em cada estágio do processo de contratação e emprego" .

As táticas específicas documentadas nos relatórios da CrowdStrike incluem:

• Deepfakes com IA para entrevistas em vídeo e áudio. Os agentes usam ferramentas de IA generativa, incluindo o ChatGPT da OpenAI e o Gemini do Google, para alterar sua voz e vídeo em tempo real durante as entrevistas, e para gerar respostas convincentes a perguntas técnicas .
• Personas profissionais totalmente fabricadas. Os hackers criam perfis polidos no LinkedIn com imagens geradas por IA, completos com históricos de trabalho verossímeis e currículos falsos que passam por verificações de antecedentes .
• Documentos de identidade reais roubados. Os operadores usam números de Seguro Social dos EUA e outros documentos de identidade roubados para aprofundar a ilusão de legitimidade para os sistemas de triagem .

A equipe de caça a ameaças OverWatch da CrowdStrike investigou mais de 320 casos distintos de agentes do Famous Chollima obtendo empregos fraudulentos em um período de 12 meses — um aumento impressionante de 220% em relação ao ano anterior . A taxa de sucesso dessas contratações disfarçadas também disparou 220%, e o chefe de operações de contra-ataque da CrowdStrike, Adam Meyers, observou que sua equipe agora está respondendo a cerca de um incidente desses por dia .

O que eles estão buscando

A motivação é um fluxo de receita dupla para o regime sancionado.

A primeira via é o simples roubo de salários. Os operadores do Famous Chollima recebem os contracheques das empresas que infiltram, canalizando os salários para a Coreia do Norte. A segunda — e mais danosa para as vítimas — é o roubo de propriedade intelectual. Uma vez dentro de uma rede com credenciais legítimas, os operadores roubam código-fonte proprietário, segredos comerciais e outras informações confidenciais .

Paralelamente ao esquema dos trabalhadores de TI, o ecossistema cibernético mais amplo da Coreia do Norte executa uma enorme operação de roubo de criptomoedas. O Relatório do Cenário de Ameaças a Serviços Financeiros de 2026 da CrowdStrike descobriu que grupos ligados à RPDC (República Popular Democrática da Coreia, nome oficial da Coreia do Norte) roubaram um total de US$ 2,02 bilhões em ativos digitais durante 2025, um aumento de 51% em relação ao ano anterior . O maior roubo individual — US$ 1,46 bilhão em criptomoedas — foi atribuído ao grupo relacionado PRESSURE CHOLLIMA, que implantou um software com um cavalo de Troia por meio de um comprometimento da cadeia de suprimentos .

O destino final desses fundos é explícito. Os bilhões roubados são "quase certamente lavados e serão usados para financiar os programas militares e de armas nucleares do regime", afirma o relatório .

Além da contratação: extorsão por roubo de dados

Enquanto os relatórios públicos sobre o Famous Chollima enfatizam a infiltração e o roubo, a exfiltração de dados carrega um segundo retorno potencial. As operações cibernéticas norte-coreanas em geral adotaram táticas de extorsão por roubo de dados — ameaçando vazar informações roubadas a menos que um resgate seja pago.

O Relatório Global de Ameaças anterior da CrowdStrike registrou um aumento de 76% no número de vítimas nomeadas em sites de vazamento dedicados, à medida que a extorsão por roubo de dados se tornou uma rota de monetização preferida por muitos adversários . A empresa observa que agentes ligados à RPDC foram observados conduzindo campanhas de roubo de dados e extorsão sem implantar ransomware, aplicando pressão por meio da ameaça de expor dados confidenciais .

A CrowdStrike também confirmou que, em contratos de serviço envolvendo o Famous Chollima, o roubo de dados foi confirmado em 50% dos casos . Essas informações extraídas poderiam ser usadas para extorsão, embora os resumos públicos dos relatórios se concentrem mais diretamente no esquema de infiltração interna e no roubo de salários e criptomoedas do grupo. Os detalhes exatos do manual de resgate pós-detecção do Famous Chollima podem estar disponíveis apenas nos relatórios completos e não editados, em vez dos resumos públicos disponíveis até o momento.

A escala e a sofisticação da operação representam um novo paradigma na intrusão cibernética por Estados-nação, mudando a ameaça de ataques de perímetro para informantes internos confiáveis que são contratados, recebem salários e roubam de dentro para fora.