นักวิจัยกรีกเจาะระบบแฮกเกอร์เกาหลีเหนือ พบ 1,640 บริษัทใน 57 ประเทศถูกเจาะข้อมูล

เป็นเวลาเกือบสองปีที่นักวิจัยชาวกรีกเพียงคนเดียวอาศัยอยู่ภายในโครงสร้างพื้นฐานของหนึ่งในปฏิบัติการแฮกของรัฐที่ร้ายกาจที่สุดในโลก เขาไม่ได้เจาะระบบด้วยช่องโหว่ระดับศูนย์วันที่ซับซ้อนอะไร — แฮกเกอร์เกาหลีเหนือติดมัลแวร์ของตัวเองเข้าสู่ระบบของพวกเขาเอง ทำให้ Vangelis Stykas มีที่นั่งแถวหน้าสำหรับแคมเปญเจาะข้อมูลทั่วโลกที่ใหญ่โตมโหฬาร

ที่งานประชุมความปลอดภัย Black Hat ในลาสเวกัส เมื่อเดือนสิงหาคม 2026 Stykas — CTO ของบริษัทด้านความปลอดภัยไซเบอร์ Kumio — นำเสนอรายงานสาธารณะที่มีรายละเอียดมากที่สุดเท่าที่เคยมีมาเกี่ยวกับแคมเปญแฮกระดับโลกของเกาหลีเหนือ นี่คือสิ่งที่เขาค้นพบ

ขนาด: 1,640 บริษัทใน 57 ประเทศ

ตลอด 22 เดือน Stykas วิเคราะห์ข้อมูลประมาณ 5 เทราไบต์ที่สกัดจากเซิร์ฟเวอร์ควบคุมและสั่งการของเกาหลีเหนือ หลักฐานชี้ไปที่ องค์กร 1,640 แห่งที่ถูกบุกรุกใน 57 ประเทศ

ไม่ใช่ทุกการบุกรุกจะเท่าเทียมกัน Stykas ประมาณว่า 700 ถึง 800 ของเหยื่อเหล่านั้นประสบกับการบุกรุกที่เขาเรียกว่า "ร้ายแรงจริงๆ" ในกรณีรุนแรงเหล่านั้น ผู้โจมตีสามารถ:

• เข้าถึงระดับรูทบนเซิร์ฟเวอร์ขององค์กร
• ควบคุมสภาพแวดล้อม Amazon Web Services (AWS) ได้อย่างเต็มที่
• ขโมยกุญแจเข้ารหัสหลัก รวมถึงคีย์ส่วนตัวของกระเป๋าเงินคริปโต

เหยื่อที่ถูกเปิดเผยชื่อ: คริปโต การดูแลสุขภาพ และเครื่องใช้ไฟฟ้า

Stykas เปิดเผยชื่อองค์กรประมาณหนึ่งโหลที่ดำเนินการกระบวนการแจ้งเตือนได้ดีหรือค้นพบการบุกรุกด้วยตนเองแล้ว ในหมู่พวกเขา:

• Coinbase และ Uniswap Labs (คริปโตเคอร์เรนซี / การเงิน)
• Oppo (ผู้ผลิตสมาร์ทโฟนจีน)
• Boston Children's Hospital (การดูแลสุขภาพ)
• สภาสูงสุดแห่งตุลาการของอิตาลี
• AEON Smart Technology (ญี่ปุ่น)

แคมเปญนี้กว้างขวาง โจมตีบริษัทเทคโนโลยี สถาบันการเงิน ผู้ให้บริการด้านสุขภาพ และหน่วยงานรัฐบาลในหลายสิบประเทศ

ช่องทางโจมตี: สัมภาษณ์งานปลอม

วิธีการเข้าถึงเบื้องต้นหลักคือแคมเปญวิศวกรรมสังคมที่ Stykas ระบุว่าเป็น "Contagious Interview" แฮกเกอร์เกาหลีเหนือปลอมตัวเป็นผู้จัดหางานบริษัทบนเครือข่ายมืออาชีพอย่าง LinkedIn พวกเขาเล็งเป้าไปที่นักพัฒนาซอฟต์แวร์ด้วยข้อเสนองานที่ดึงดูดใจ และในระหว่างการสัมภาษณ์ปลอม หลอกลวงให้เหยื่อดาวน์โหลดไฟล์ทดสอบการเขียนโค้ด PDF หรือไฟล์อื่นๆ ที่ฝังมัลแวร์

เมื่ออุปกรณ์ของผู้รับเหมาหรือพนักงานคนใดคนหนึ่งถูกบุกรุก ผู้โจมตีจะเจาะเข้าสู่เครือข่ายขององค์กร ในบางกรณี คนงานไอทีชาวเกาหลีเหนือยังแทรกซึมเข้าไปในบริษัทโดยตรงผ่านการจ้างงานทางไกลที่เป็นเท็จ

Stykas เข้าไปได้อย่างไร — และอยู่ต่อได้อย่างไร

Stykas เข้าถึงได้ไม่ใช่ผ่านการบุกรุกที่ซับซ้อน แต่เป็นเพราะ แฮกเกอร์เกาหลีเหนือติดมัลแวร์ของตัวเองเข้าไปในเครื่องทำงานของพวกเขาโดยไม่ได้ตั้งใจ ความล้มเหลวด้านความปลอดภัยในการปฏิบัติการนี้ทำให้ Stykas มีที่ยืนในเซิร์ฟเวอร์ควบคุมและสั่งการของพวกเขา จากนั้น เขาเข้าถึงช่อง Slack และ Discord ภายในของพวกเขา ค้นผ่านข้อมูลที่ถูกขโมย และดึงกุญแจนักพัฒนา ซอร์สโค้ด และการสื่อสารภายในออกมา

เขาใช้เวลา 22 เดือนเฝ้าติดตามปฏิบัติการของพวกเขาอย่างเงียบๆ โดยไม่ถูกตรวจจับ

สิ่งที่ Stykas นำเสนอที่ Black Hat 2026

ที่ Black Hat Stykas เปิดเผย :

• ขอบเขตทั้งหมดของ องค์กรเหยื่อ 1,640 แห่ง ใน 57 ประเทศ
• ว่าแฮกเกอร์ใช้ เครื่องมือ AI มากขึ้นเพื่อขยายขนาดปฏิบัติการของพวกเขา
• รายชื่อเหยื่อบางส่วนรวมถึง Coinbase, Oppo และ Boston Children's Hospital
• หลักฐานว่าเหยื่อหลายร้อยรายประสบกับการบุกรุกรุนแรง — การเข้าถึงเซิร์ฟเวอร์ระดับรูท การควบคุม AWS และการขโมยกุญแจเข้ารหัส
• รายละเอียดของแคมเปญ Contagious Interview ซึ่งเป็นช่องทางการเข้าถึงเบื้องต้นหลัก

ผลกระทบ

การค้นพบของ Stykas ตอกย้ำช่องโหว่ที่สำคัญในความปลอดภัยขององค์กรสมัยใหม่: การพึ่งพาผู้รับเหมาระยะไกลและกระบวนการจ้างงานเองเป็นพื้นผิวการโจมตี นอกจากนี้ยังเน้นให้เห็นว่ากลุ่มแฮกที่ได้รับการสนับสนุนจากรัฐสามารถซ่อนการบุกรุกจำนวนมาก — มากกว่าที่เคยรู้มาก่อน — ได้นานหลายปี

ข้อเท็จจริงที่ว่านักวิจัยแต่ละคนสามารถแทรกซึมและเฝ้าติดตามกลไกการแฮกของรัฐชาติได้เกือบสองปียังบ่งชี้ถึงช่องว่างด้านความปลอดภัยในการปฏิบัติการที่สำคัญภายในหน่วยไซเบอร์ของเกาหลีเหนือ