文章总结： 该文档深度剖析朝鲜国家级APT专项行动「IT工人行动」,揭示其通过招聘流程伪装求职者入职全球远程岗位,以合法身份窃取源代码、研发文档等核心机密并领取薪资的双重收益模式。文章详述了从虚假人设包装、AI辅助面试到入职后潜伏窃密的完整攻击链路,并指出远程办公与合法权限使其难以被传统安全工具发现。最后给出招聘端、权限端、离职端的分级防御方案,强调企业需将人员招聘风险纳入安全防护体系。 综合评分： 78 文章分类： 威胁情报,安全意识,安全建设

拿公司工资偷公司代码！朝鲜「IT工人行动」深度曝光：远程入职的新员工，可能是国家级间谍

原创

AI紫队安全研究 AI紫队安全研究

AI紫队安全研究

2026年9月23日 11:59 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

导语

不用发钓鱼邮件，不用挖系统漏洞，黑客通过招聘网站投简历、走正规面试流程，光明正大入职你的公司。

他们每个月领着公司发放的薪资，同时用正式员工权限，把源代码、研发文档、客户数据、核心机密批量传回境外。

威胁情报机构SilentPush深度拆解朝鲜国家级APT专项行动——「IT工人（NK IT Worker）」，又称Wagemole（薪资鼹鼠）：团伙打造上百套虚假技术人设，专门瞄准全球远程开发、测试、运维岗位，入职后一边赚工资一边搞情报，科技、Web3、生物医药、高端制造企业已成重灾区。

一、行动背景：国家级的“求职间谍”流水线

「IT工人行动」隶属于朝鲜侦察总局旗下APT作战体系，是一套完全工业化的“身份渗透”攻击，和传统外部入侵思路完全不同：

核心逻辑：不攻破网络边界，而是拿到合法内部员工身份，从内部开展情报窃取；

双重收益：既赚取企业发放的薪资，补充情报活动经费；又窃取核心技术、数据资产，服务国家情报目标；

重点狩猎：软件开发、区块链/Web3、生物医药、高端装备研发类企业，优先选择开放全远程、外包、合同制的岗位。

和普通求职诈骗不同，这不是个体骗薪，是国家级的系统化行动，有完整的人设包装、面试支持、运维保障、情报处理流水线。

二、完整作案链路：从投简历到内部窃密五步走

1. 工业化打造虚假人设

团伙批量生产“合格工程师”简历，每一套都经得起常规背调：

AI生成真实人像，包装LinkedIn主页，编造3-5年从业经历、知名公司项目经验；

刷GitHub提交记录，搭建完整代码仓库，伪装成熟练开发者；

配套伪造身份材料、背景联系人，应对企业基础背调。

2. 海量海投，广撒网捞鱼

在LinkedIn、Upwork、各大招聘平台、人力外包渠道，日均投递数十上百个远程岗位，覆盖不同行业、不同规模企业，靠量级提升入职成功率。

3. AI辅助面试，精准通关

技术面试环节形成标准化应对流程：

面试全程实时转写，问题同步输入大模型，输出标准答案；

操作者照稿念出回答，技术问题对答如流；

高价值岗位甚至安排专业技术人员代面，进一步降低识破概率。

4. 正式入职，拿到全量权限

通过HR流程后，拿到企业邮箱、Git仓库、内部IM、会议系统、文档平台的正式权限。

最关键的是：这些权限全部是企业正常审批发放，属于“可信内部账号”，传统防火墙、EDR、入侵检测系统几乎不会产生任何告警。

5. 潜伏窃密，双轨收益

入职后间谍同步开展两类动作：

拿薪资：正常打卡、应付基础工作，按月领取全额薪水；

偷情报：

  1. 录制全部内部研发会议，记录技术方案、战略规划；

  2. 批量克隆Git代码仓库，下载全套研发文档、设计图纸；

  3. 搜集客户名单、财务数据、招投标信息；

  4. 以“个人办公习惯”为由，申请使用个人电脑办公，规避公司终端安全管控；

  5. 加密分批外传所有窃取数据，回传朝鲜指挥端。

更夸张的是，熟练的操作者可以同时入职多家公司，分身处理多家工作，同时拿多份薪资、同时窃取多家企业机密。

三、为什么防不胜防？三大天然优势

1. 合法身份穿透所有边界防护

企业安全体系大多针对“外部黑客入侵”，而间谍是HR亲手招进来的正式员工，账号、权限全部合规，传统安全工具形同虚设。

2. 远程办公天然掩护

全程线上办公，不需要到岗、不需要线下接触，企业很难核实对方真实身份、实际工作状态，身份暴露风险极低。

3. 离职后风险依然存在

入职期间获取的凭证、埋下的后门，不会随离职立刻失效；很多企业权限回收不彻底，间谍离职后依然可以访问内部数据。

四、企业分级防御方案

🔍 招聘端：把好入口关

1. 强化背景调查：远程岗位不能只看简历，必须电话核验上家公司证明人，交叉验证项目经历、任职时间；核心岗位必须做第三方背调。

2. 优化面试模式：

   增加实操编码、现场排错环节，减少纯问答面试；

   针对简历写的项目深挖细节，AI很难回答深度实操问题；

   核心岗位必须开启视频面试，全程录制留存。

3. 关键岗位严控远程：核心代码、涉密研发岗位，尽量不设纯远程编制；必须远程的，增加多轮交叉面试。

🛡️ 权限端：最小权限原则

1. 新入职员工默认仅开放完成工作必需的最低权限，Git仓库、文档系统按项目按需授权，不开放全量访问。

2. 强制配发公司办公设备，禁止个人电脑直接接入内网、访问核心代码仓库。

3. 行为审计：针对新员工设置专项告警，监控短时间内批量下载代码、大量导出文档、频繁录制会议等异常行为。

📤 离职端：彻底回收权限

1. 离职当天立刻回收所有系统、仓库、邮箱权限，注销账号；

2. 全量轮换核心密钥、API凭证；

3. 审计离职员工近3个月访问、下载记录，排查异常行为。

五、总结

「IT工人行动」最值得警惕的地方，是它彻底打破了“黑客在外面”的安全认知。

当国家级APT把间谍伪装成求职者，通过招聘流程走进公司内部，企业的网络边界就失去了意义。

对于大量开放远程岗位的科技、研发、Web3企业来说，招聘入职的“人”的风险，和网络、系统的风险同等重要。

安全防护不能只盯着服务器和防火墙，也要守好招聘这道前门。

加入知识星球，可获取权益

一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

 1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

 晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

 技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

 实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

 架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

 大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

 想突破职业天花板的安全工程师/架构师；

 需快速落地安全项目的企业负责人；

 关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI紫队安全研究 AI紫队安全研究 AI紫队安全研究《拿公司工资偷公司代码！朝鲜「IT工人行动」深度曝光：远程入职的新员工，可能是国家级间谍》