Noord-Koreaanse cybercriminelen vormen een steeds grotere bedreiging voor Europa. Ze dringen bedrijven binnen via it-vacatures. De aanvallers spelen daarbij handig in op de schaarste aan it-professionals. It’ers uit Noord-Korea doen zich voor als Europeanen die vanuit huis werken. Ze solliciteren met succes op vacatures bij Nederlandse en Belgische bedrijven zonder dat hun ware identiteit boven water komt.
Hans Horan, onderzoeker bij het Hague Centre for Strategic Studies (HCSS), wijst op het gevaar dat bedrijven door de Noord-Koreaanse regering aangestuurde cybercriminelen binnenhalen. Hij sprak dinsdag tijdens de Microsoft Security Summit in Schiphol-Rijk. Daar werd een toelichting gegeven op het Microsoft Digital Defense Report 2026.
Pas op
Daarin klinkt een waarschuwing voor de Noord-Koreaanse cyberdreiging. Nadat statelijke actoren uit dat land hun aandacht eerst op Zuidoost-Azië en de Verenigde Staten richtten, is hun werkterrein uitgebreid naar Europa. Na Covid-19 zijn veel it’ers thuis gaan werken waardoor ze geen zicht meer hebben op hun collega’s. Bovendien plegen veel bedrijven hun vacatures op te vullen met buitenlands personeel. Het op afstand werken vanuit Oost-Europa, de Balkan, India en bijvoorbeeld Thailand is gewoon geworden.
De Noord-Koreaanse cybercriminelen weten zich goed te verschuilen. Ze werken via facilitaire bedrijven, tussenpersonen die de sollicitatiegesprekken en de virtuele interviews voeren en na aanname ook het salaris innen. Na aftrek van een percentage wordt het geld doorgesluisd naar Noord-Korea. In dat land staan ‘laptop farms’ die op grote schaal opdrachten doen voor Westerse bedrijven.
Verschuilen
Europese ‘facilitators’ worden tussen de opdrachtgevers en de it’ers geplaatst. Zij zorgen voor de infrastructuur die ontdekking voorkomt. Zo worden systemen in Europa opgezet waarmee iemand op afstand kan inloggen op laptops van Europese bedrijven. Dit kan via een externe bureaubladverbinding of door software daarvoor te installeren en te gebruiken. Het lijkt dus alsof de Noord-Koreanen achter een pc in Europa zitten. Ook verschuilen ze zich achter vpn-verbindingen
Voor de Europese intermediair kan deze dienstverlening aan Noord-Korea zeer lucratief zijn. Volgens Horan zijn er tussenpersonen die wel vijftig banen hebben. Salarissen van 1,5 tot 3 ton zijn voor ontwikkelaars niet ongebruikelijk. Een facilitator kan vele miljoenen per jaar opstrijken.
In het Westen zijn voor dat doel dekmantel-bedrijven opgericht die ook accounts aanmaken op populaire vacaturesites voor gebruik door Noord-Koreaanse it-medewerkers in het buitenland. Ook helpen ze cybercriminelen aan webdiensten, zoals modellen voor kunstmatige intelligentie en achtergrond-controleprogramma’s.
Stelen en misbruiken
Volgens het Microsoft-onderzoek hebben Noord-Koreaanse staatsactoren hun werkwijze vernieuwd, hun gebruik van ai opgevoerd en hun infrastructuur opgeschaald. Ze doen dat om operaties te versnellen en meer persistente en adaptieve campagnes uit te voeren.
Hun aanvallen draaien niet meer alleen om social engineering en de verspreiding van virussen en andere malware. Het accent verschuift naar het stelen en misbruiken van inloggegevens om toegang te krijgen tot systemen.
Het gaat deze aanvallers vooral om veel geld te verdienen. Een tweede doel is inlichtingen te verzamelen. Recent is de ‘targeting’ verbreed naar het stelen van bitcoins. Behalve op grotere organisaties zijn ze zich ook op individuen gaan richten om ergens te kunnen binnendringen. De aanvallers proberen ook software- en toeleveringsketens binnen te komen.
