CrowdStrike เผยคนไอทีเกาหลีเหนือใช้ AI ดีปเฟคตบตา HR สัมภาษณ์งานได้จริง ขโมยทั้งข้อมูลและเงินเดือน

เคล็ดลับความสำเร็จของพวกเขาไม่ได้อยู่ที่มัลแวร์ซับซ้อน เพราะ 82% ของการโจมตีที่ตรวจพบโดย CrowdStrike ล้วนไม่มีการใช้มัลแวร์แบบดั้งเดิมเลย

สมัครงานด้วย AI: ดีปเฟคสัมภาษณ์งาน และโปรไฟล์ LinkedIn ปลอม

หัวใจสำคัญของปฏิบัติการคือการตบตาฝ่าย HR ด้วยเทคโนโลยี AI ที่คนทั่วไปเข้าถึงได้ กลุ่ม Famous Chollima ซึ่งปฏิบัติการมาตั้งแต่ปี 2018 ได้ยกระดับการปลอมตัวเป็น 'คน IT ทำงานระยะไกล' ให้กลายเป็นอุตสาหกรรมเต็มรูปแบบ

รายงานการล่าภัยคุกคามปี 2025 ของ CrowdStrike อธิบายว่าเป็นการผสมผสาน "เครื่องมือ GenAI ที่ทำงานอัตโนมัติและปรับปรุงประสิทธิภาพทุกขั้นตอนของกระบวนการจ้างงาน" ซึ่งรวมถึง:

• ดีปเฟคสัมภาษณ์งานสด: ใช้เครื่องมือ AI สำหรับผู้บริโภค เช่น ChatGPT และ Gemini เพื่อเปลี่ยนทั้งเสียงและวิดีโอแบบเรียลไทม์ขณะสัมภาษณ์งานออนไลน์ พวกเขายังใช้ AI สร้างคำตอบทางเทคนิคที่น่าเชื่อถือต่อคำถามของกรรมการสัมภาษณ์อีกด้วย
• โปรไฟล์ LinkedIn และ Resume ปลอม: สร้างบุคลิกออนไลน์ปลอมขึ้นมาทั้งหมด พร้อมประวัติการทำงานสมมติและรูปโปรไฟล์ที่สร้างโดย AI
• ขโมยข้อมูลประจำตัวจริง: ใช้เลข Social Security ของคนอเมริกันที่ถูกขโมยมาเพื่อผ่านระบบตรวจสอบประวัติ (Background Check)

ทีม OverWatch ของ CrowdStrike ต้องสืบสวนกรณีที่กลุ่ม Famous Chollima ได้งานปลอมถึง 320 กรณีภายใน 12 เดือนเดียว ซึ่งเพิ่มขึ้น 220% จากปีก่อนหน้า อัตราความสำเร็จในการปลอมตัวก็เพิ่มขึ้นในอัตราเดียวกัน โดยอดัม ไมเยอร์ส (Adam Meyers) หัวหน้าฝ่ายปฏิบัติการตอบโต้ฝ่ายตรงข้ามของ CrowdStrike เปิดเผยว่าขณะนี้ทีมของเขาต้องรับมือกับเหตุการณ์ลักษณะนี้ "เกือบวันละครั้ง"

จุดมุ่งหมาย: ดูดเงินเดือนและขโมยทรัพย์สินทางปัญญา

เมื่อแทรกซึมเข้ามาเป็นพนักงานได้สำเร็จ พวกเขามีเป้าหมายสองด้าน ด้านแรกคือการรับเงินเดือนแล้วส่งกลับเกาหลีเหนือ อีกด้านคือการขโมยรหัสต้นฉบับซอฟต์แวร์ ความลับทางการค้า และทรัพย์สินทางปัญญาอื่นๆ

นอกจากนี้ ระบบนิเวศไซเบอร์ของเกาหลีเหนือยังมีรายได้มหาศาลจากการขโมยคริปโทเคอร์เรนซี โดยในปี 2025 กลุ่มต่างๆ ที่เชื่อมโยงกับเกาหลีเหนือขโมยเงินคริปโตรวมกันได้ถึง 2.02 พันล้านดอลลาร์สหรัฐ เพิ่มขึ้น 51% จากปีก่อนหน้า เงินจำนวนนี้จะถูกฟอกและนำไปใช้สนับสนุนโครงการทางทหารและอาวุธนิวเคลียร์ของรัฐบาลเปียงยาง

หนึ่งในการโจรกรรมครั้งใหญ่ที่สุดมูลค่า 1.46 พันล้านดอลลาร์เป็นฝีมือของกลุ่มที่เกี่ยวข้องกันในชื่อ PRESSURE CHOLLIMA ซึ่งใช้ซอฟต์แวร์ที่ฝังมัลแวร์ผ่านการเจาะระบบซัพพลายเชน

มากกว่าแค่ขโมย: การกรรโชกด้วยข้อมูลที่ถูกขโมย

ในกรณีที่เกี่ยวข้องกับ Famous Chollima มีการยืนยันว่าการขโมยข้อมูลเกิดขึ้นถึง 50% ข้อมูลที่รั่วไหลออกไปนี้อาจถูกใช้เพื่อการกรรโชกข่มขู่ ซึ่งเป็นกลยุทธ์ที่อาชญากรไซเบอร์กลุ่มอื่นๆ ใช้กันมากขึ้น ข้อมูลจากการติดตามของ CrowdStrike พบจำนวนเหยื่อที่ถูกขู่ปล่อยข้อมูลบนเว็บไซต์เฉพาะเพิ่มขึ้นถึง 76% ทำให้เกิดเป็นรูปแบบการโจมตีใหม่ที่ไม่ต้องใช้มัลแวร์เรียกค่าไถ่ แต่ขู่จะเปิดเผยข้อมูลสำคัญของบริษัท

ปฏิบัติการที่ดำเนินอยู่ขณะนี้เป็นมากกว่าการแฮ็ก แต่คือสงครามจารกรรมไซเบอร์ที่เปลี่ยนโฉมหน้าไปอย่างสิ้นเชิง โดยเปลี่ยนจาก 'การโจมตีจากภายนอก' เป็น 'ภัยคุกคามจากคนใน' ที่ถูกจ้างมาถูกต้องตามกฎหมาย