Durante anos, quando falávamos sobre invasões corporativas, o roteiro parecia relativamente conhecido. Um atacante explorava uma vulnerabilidade, roubava uma senha, enviava phishing ou encontrava alguma configuração esquecida pela equipe de TI.
Agora imagine uma situação consideravelmente mais desconfortável: o invasor não precisa quebrar a porta porque o RH entrega a chave, cria a conta corporativa, envia o notebook e ainda coloca o sujeito na folha de pagamento.
Esse é o problema apresentado em investigações divulgadas pela Huntress sobre supostos trabalhadores ligados à Coreia do Norte.
Em vez de comprometer inicialmente as organizações por métodos tradicionais, esses indivíduos se apresentam como candidatos legítimos, passam por processos seletivos para vagas remotas e conseguem acesso como funcionários regulares.
A ameaça é particularmente complicada porque essas pessoas podem efetivamente realizar o trabalho para o qual foram contratadas.
Segundo o material analisado, parte do objetivo dessas operações é gerar receita para o regime norte coreano enquanto contorna sanções internacionais. Relatórios públicos também associam trabalhadores desse tipo a roubo de informações, implantação de malware e extorsão após serem descobertos.
É engenharia social com carteira assinada. E isso muda bastante a conversa sobre segurança corporativa.
Continua depois da publicidade
A ameaça saiu da área de TI
Um dos detalhes mais importantes das investigações é que não estamos falando exclusivamente de programadores tentando conseguir empregos como desenvolvedores.
Historicamente, trabalhadores norte coreanos procuravam principalmente posições relacionadas à tecnologia. Segundo a Huntress, porém, esse comportamento se expandiu para outras categorias de trabalho remoto. Em 2026, a empresa participou de investigações envolvendo cinco pessoas consideradas prováveis trabalhadores ligados à Coreia do Norte. Elas estavam distribuídas por funções de TI, vendas, marketing e até pela área médica.
Em três desses casos, documentos de identificação considerados suspeitos foram analisados. Em outro, investigadores encontraram uma fotografia retirada de um perfil legítimo do GitHub e posteriormente modificada.
Esse ponto merece atenção porque transforma o problema em algo muito maior do que uma preocupação exclusiva do SOC. Recrutamento, recursos humanos, gestores, equipes de identidade e segurança precisam enxergar partes diferentes da mesma fraude.
O candidato pode ter currículo, documentação e habilidades aparentemente compatíveis. O problema está justamente no “aparentemente”.
Três funcionários e coincidências demais nos documentos
Em fevereiro de 2026, uma organização parceira australiana procurou a Huntress após levantar suspeitas sobre três funcionários que se apresentavam como cidadãos chineses.
Entre os primeiros sinais estava a infraestrutura utilizada nas autenticações. As contas acessavam repetidamente os sistemas por meio do Astrill VPN, serviço que já havia sido citado publicamente em análises sobre campanhas envolvendo trabalhadores remotos ligados à Coreia do Norte.
A investigação examinou aproximadamente seis meses de registros, incluindo eventos do Microsoft 365, Exchange, SharePoint e autenticações. Foram encontrados acessos relacionados não apenas ao Astrill, mas também ao IPRoyal Proxy e à infraestrutura da WorkTitans B.V.
Nada disso, isoladamente, prova que alguém trabalha para Pyongyang. VPN é ferramenta legítima e utilizada diariamente por milhões de pessoas. Tratar qualquer usuário de VPN como invasor seria uma excelente maneira de transformar o SOC em uma fábrica industrial de falsos positivos.
O problema aparece quando os sinais começam a se acumular.
Menos da metade das atividades observadas nas três contas acontecia dentro do horário comercial esperado. O pico de atividade ocorreu exatamente à meia noite no horário UTC, equivalente às 9 horas da manhã na Coreia do Norte.
Os pesquisadores ressaltam que esse horário também coincide com períodos comerciais na Austrália e na China, portanto o dado serviu como elemento de correlação, não como prova definitiva. Então apareceram os documentos.
Passaportes diferentes, fotografados quase como se fossem irmãos gêmeos
Nos arquivos do OneDrive de dois funcionários foram encontrados documentos utilizados aparentemente durante o onboarding. Havia imagens de passaportes chineses, cartões de identidade e contas de eletricidade.
Individualmente, os documentos poderiam passar despercebidos. Comparados lado a lado, porém, surgiram coincidências difíceis de ignorar.
Os passaportes haviam sido emitidos em Shenzhen com apenas um dia de diferença. Os cartões de identidade possuíam exatamente o mesmo período de validade e a mesma autoridade emissora, a Songgang Police Station. Os dois indivíduos declaravam endereços na mesma rua e os documentos haviam sido emitidos recentemente, próximos ao período da investigação.
Até o enquadramento das fotografias era semelhante.
A análise dos metadados trouxe outra camada. As imagens indicavam o mesmo deslocamento de horário, UTC +03:00, e registravam um iPhone 15 Pro Max como equipamento utilizado.
Os horários originais de criação também estavam muito próximos. As fotos dos passaportes dos dois indivíduos, por exemplo, foram produzidas com apenas oito minutos de diferença.
Mais curioso ainda, as imagens do verso dos cartões apresentavam danos visualmente semelhantes, levantando a possibilidade de que a mesma parte traseira de um documento tivesse sido utilizada para representar duas identidades diferentes.
É justamente esse tipo de detalhe que mostra por que validar apenas se um documento “parece verdadeiro” já não é suficiente.
Uma conta de luz pode denunciar uma identidade falsa
As contas de eletricidade entregaram mais pistas.
Segundo a investigação, os documentos pareciam derivados de modelos falsos disponíveis na internet. Alguns erros eram especialmente curiosos: palavras em inglês estavam escritas incorretamente e os documentos continham referências a páginas da Arizona Public Service, empresa sem relação com a State Grid Corporation of China.
O caso também demonstra uma dificuldade importante para qualquer processo de verificação de identidade. Um documento adulterado não significa necessariamente que todos os dados apresentados nele sejam fictícios.
Os pesquisadores levantaram a possibilidade de informações e fotografias legítimas terem sido roubadas ou reutilizadas. Em um dos casos, o nome apresentado coincidia com o de outra pessoa da área de saúde que possuía fotografias disponíveis publicamente, embora as imagens nos documentos analisados não correspondessem a ela.
Ou seja, pesquisar apenas se aquele nome existe na internet pode produzir uma falsa sensação de segurança.
Quando o notebook corporativo vira um equipamento controlado remotamente
Outro caso investigado em agosto de 2026 ocorreu no setor financeiro e trouxe um componente físico interessante para a história.
Depois da instalação do agente de segurança no computador do funcionário suspeito, foram encontrados dispositivos pouco comuns conectados à máquina. Entre eles estava um PiKVM V4 Mini.
PiKVM é uma solução baseada em Raspberry Pi que permite controlar remotamente um computador no nível de hardware. Isso significa que alguém pode interagir com a máquina inclusive antes de o sistema operacional terminar sua inicialização, sem depender de um software tradicional de acesso remoto instalado no Windows.
O equipamento é perfeitamente legítimo e possui diversas aplicações. O problema, novamente, é o contexto. Relatórios anteriores já haviam relacionado o PiKVM a operações envolvendo trabalhadores remotos norte coreanos.
Os registros do Windows mostravam que a máquina havia conectado um PiKVM V4 Mini. A análise do Registro também apontou evidências de instalação do dispositivo a partir de 31 de julho.
A cronologia posterior tornou o cenário ainda mais interessante.
O notebook chegou a uma residência e poucas horas depois ganhou controle remoto
Segundo a reconstrução apresentada pelos investigadores, o computador havia sido preparado pelo provedor de serviços em 24 de julho. No dia 27 ocorreram autenticações em serviços corporativos.
Em 31 de julho, a máquina passou por um roteador de viagem GL.iNet e depois se conectou a uma rede residencial. Horas mais tarde apareceu um adaptador serial USB e, às 21h12 UTC, o PiKVM V4 Mini foi conectado. Pouco depois, o computador migrou para Ethernet e não voltou a utilizar WiFi.
Para os investigadores, esse comportamento levantou a possibilidade de o notebook ter se transformado em um equipamento fixo dentro de uma chamada laptop farm.
Essas estruturas permitem que computadores corporativos permaneçam fisicamente em uma determinada região enquanto são operados remotamente por alguém em outro lugar. Para os sistemas da empresa, o laptop continua existindo onde deveria. Para quem olha apenas superficialmente para endereço IP e dispositivo, tudo pode parecer normal.
É uma espécie de terceirização geográfica da presença física. Conveniente para o criminoso, bem menos divertido para quem precisa investigar depois.
Microfone, câmera e endereço IP também deixaram rastros
Após a instalação do PiKVM, os registros mostraram pesquisas por ferramentas online de teste de áudio e microfone.
Poucos dias depois, o usuário acessou diretamente um serviço para verificar seu endereço IP público minutos antes de participar de uma reunião pelo Zoom.
Outra descoberta chamou ainda mais atenção. Uma imagem havia sido enviada por um terceiro para o serviço SendGB e, minutos depois, baixada pelo funcionário. O arquivo acabou sendo movido para uma pasta criada diretamente na raiz da unidade.
Uma busca reversa revelou que a fotografia havia sido reutilizada e alterada a partir da imagem de outra pessoa encontrada em um perfil legítimo do GitHub.
Os investigadores ainda encontraram evidências de uma placa de captura USB Guermok. O equipamento podia funcionar como webcam e enviar vídeo para aplicativos de videoconferência. Novamente, possuir uma placa dessas não transforma ninguém em agente norte coreano. O valor investigativo estava na presença dela junto ao PiKVM e aos demais comportamentos observados.
Depois da investigação, a organização informou que o funcionário também apresentava resistência em aparecer diante da câmera e se recusava a mostrar o ambiente onde estava.
A caçada encontrou outro funcionário suspeito
A investigação motivou uma busca proativa por padrões semelhantes em outros computadores.
A Huntress procurou hosts nos quais PiKVM e dispositivos Guermok haviam sido conectados. O processo levou a outro caso, em uma organização diferente, envolvendo uma pessoa contratada havia apenas 13 dias para uma função relacionada a vendas e marketing.
Entre os elementos encontrados estavam Toffeeshare, extensões do Chrome voltadas para tradução, gravação de áudio e vídeo, exportação de conversas do Zoom e auxílio de pronúncia em inglês. Também foram identificados serviços online para testes de webcam e microfone.
Outro comportamento incomum envolvia o Codeshare. Convites recorrentes para reuniões no Zoom foram disponibilizados por meio do serviço, incluindo valores de senha incorporados. A investigação também encontrou uso do VDO.Ninja, ferramenta capaz de transmitir áudio e vídeo e que, naquele contexto, foi avaliada como utilizada para captura da tela do computador.
Separadamente, todas essas ferramentas têm aplicações legítimas. Juntas, dentro daquele contexto, ajudaram a construir uma história bastante diferente.
Identidades reais também podem alimentar documentos falsos
Talvez uma das partes mais preocupantes do segundo caso seja que alguns dados aparentemente pertenciam a uma pessoa real.
Os documentos analisados compartilhavam nome completo, data de nascimento e localização com uma pessoa cuja fotografia policial havia sido publicada anteriormente após uma prisão. Entretanto, a fotografia dessa pessoa não correspondia àquela apresentada nos documentos utilizados pelo funcionário.
Os investigadores também observaram sinais de que assinaturas poderiam ter sido inseridas digitalmente.
A hipótese apresentada é que documentos contendo informações legítimas teriam sido modificados para substituir a fotografia original pela aparência do indivíduo que buscava emprego.
Esse detalhe torna o problema particularmente traiçoeiro. Uma verificação automática pode confirmar que determinado nome, número ou endereço existe e ainda assim estar diante da pessoa errada.
A pergunta deixou de ser apenas “este documento é verdadeiro?”. Agora também precisamos perguntar “essa pessoa é realmente a dona dele?”.
Não existe um indicador mágico para detectar esse tipo de operação
As investigações deixam uma lição importante para profissionais de segurança: nenhum dos comportamentos apresentados deveria ser utilizado sozinho como prova de envolvimento com a Coreia do Norte.
VPNs são legítimas. PiKVM é legítimo. Placas de captura são legítimas. Ferramentas de tradução são legítimas. Testar um microfone antes daquela reunião em que ninguém consegue ouvir ninguém é quase uma demonstração de responsabilidade profissional.
A diferença está na correlação.
PiKVM combinado com hardware de captura incomum, infraestrutura de VPN e proxy, atividade incompatível com o fuso esperado, documentos recém emitidos com metadados suspeitos, fotografias adulteradas, serviços de compartilhamento de arquivos e comportamentos estranhos durante videoconferências formam um cenário muito mais significativo do que qualquer elemento isolado.
É exatamente por isso que telemetria de endpoint, identidade, navegador, nuvem e autenticação precisa ser analisada conjuntamente.
Segurança precisa começar antes do primeiro login
Talvez a principal conclusão dessas investigações seja desconfortável para quem ainda considera segurança digital uma responsabilidade que começa depois que o funcionário recebe suas credenciais.
Nesse modelo de ataque, quando a conta corporativa é criada, uma parte importante da invasão já aconteceu.
A própria Huntress destaca a importância de verificações rigorosas de antecedentes antes do onboarding, validação do histórico profissional e pesquisa sobre os candidatos. Também recomenda atenção especial aos metadados de documentos de identidade e considera a possibilidade de exigir documentação autenticada para novos funcionários.
Isso não significa transformar cada entrevista remota em um interrogatório policial. Significa aceitar que identidade se tornou parte da superfície de ataque.
Durante muito tempo, empresas investiram fortunas para responder à pergunta “quem está tentando entrar na nossa rede?”. O cenário descrito nessas investigações acrescenta uma pergunta bem mais incômoda:
E se nós mesmos contratarmos essa pessoa e entregarmos o acesso?
Esse é o tipo de ataque em que o firewall pode funcionar perfeitamente, o antivírus pode estar atualizado e nenhuma senha precisa ser roubada. Porque, tecnicamente, o usuário foi autorizado a entrar.
