Gefälschte Bewerbungsgespräche für IT-Stellen entwickeln sich zu einem weiteren Weg, Kryptowährungen zu stehlen. Angreifer treten dabei als Recruiter oder Bewerber auf und nutzen Gespräche sowie Einstellungsverfahren, um ihre Opfer ins Visier zu nehmen. Die Aktivitäten werden mit dem Diebstahl digitaler Vermögenswerte im Wert von mehreren Millionen US-Dollar in Verbindung gebracht. Nordkorea soll davon profitiert haben. Für Kryptounternehmen reicht das Risiko damit über Börsen und Wallets hinaus: Auch Personalgewinnung, Remote-Interviews und Software-Downloads können zum Einfallstor werden.
Gefälschte Einstellungsverfahren als Einfallstor
Die Kampagnen tarnen sich meist als gewöhnliche IT-Rekrutierung. Im Verlauf von Gesprächen, technischen Tests oder Videointerviews werden Betroffene möglicherweise aufgefordert, eine Datei zu öffnen, ein Programm auszuführen oder ein für die Stelle angeblich erforderliches Entwicklungstool zu installieren. Solche Anfragen können zunächst alltäglich wirken. Erlangen die Angreifer jedoch Zugriff auf ein Gerät oder Konto, können sie unter Umständen auf Unternehmenssysteme, Abläufe zur Verwaltung digitaler Vermögenswerte oder von Mitarbeitern kontrollierte Kryptowallets zugreifen.
Gesichert ist bislang der Zusammenhang zwischen gefälschten IT-Interviews und Kryptodiebstählen im Umfang von mehreren Millionen US-Dollar. Nordkorea wird dabei als möglicher Profiteur oder Beteiligter genannt. Welche Unternehmen betroffen sind und um welche Personen es sich handelt, ist nicht bekannt. Ebenso fehlen Angaben dazu, wie lange die Angriffe andauerten, welche Vermögenswerte gestohlen wurden und wie hoch einzelne Verluste ausfielen. Die Summe von mehreren Millionen US-Dollar lässt sich daher weder einem einzelnen Unternehmen noch einer einzelnen Transaktion direkt zuordnen.
Mitarbeiterzugänge erweitern das Risiko
Für Unternehmen besteht das finanzielle Risiko darin, dass Angreifer nicht unbedingt die Kernsysteme einer Kryptobörse kompromittieren müssen. Der Zugang über ein Mitarbeitergerät, ein Unternehmenskonto oder einen Dienstleister kann einen Weg in die Abläufe zur Verwaltung digitaler Vermögenswerte eröffnen. Kryptounternehmen gewähren Personalabteilungen, Auftragnehmern und technischen Mitarbeitern häufig Zugriff auf Code-Repositorien, Cloud-Dienste, Werkzeuge zur Schlüsselverwaltung oder die interne Kommunikation. Wird ein einzelnes Konto übernommen, kann sich der mögliche Schaden durch weitere Zugriffe oder eine Ausweitung von Berechtigungen vergrößern.
Im Vergleich zu einer herkömmlichen Phishing-E-Mail bietet ein gefälschtes Bewerbungsgespräch den Angreifern mehr Zeit und mehr Möglichkeiten, eine glaubwürdige Identität aufzubauen. Nach dem Aufbau einer professionellen Beziehung können sie eine technische Aufgabe stellen oder die Installation einer Software verlangen. Dadurch wird es für Betroffene schwieriger, die Gefahr anhand eines einzelnen verdächtigen Links zu erkennen. Remote-Einstellungen und grenzüberschreitende Beschäftigungsverhältnisse können zudem persönliche Identitätsprüfungen erschweren.
Umfang der Verluste bleibt offen
Derzeit liegen keine Informationen dazu vor, ob die gestohlenen Kryptowährungen verfolgt, eingefroren oder zurückgewonnen werden konnten. Auch zu konkreten Maßnahmen von Strafverfolgungs- oder Aufsichtsbehörden wurden keine Einzelheiten bekannt. Nordkorea wird seit Langem vorgeworfen, durch Cyberaktivitäten Devisen und digitale Vermögenswerte zu beschaffen. Wer hinter dieser speziellen Operation mit gefälschten Bewerbungsgesprächen steht, wie viele Unternehmen betroffen sind und wie die Gelder bewegt wurden, ist öffentlich jedoch noch nicht geklärt.
Für Marktteilnehmer verlagert sich der Sicherheitsfokus damit teilweise von On-Chain-Transaktionen auf die Personalgewinnung und die täglichen Abläufe in Unternehmen. Anleger und Nutzer von Kryptobörsen achten nicht nur auf Kurse und Wallet-Guthaben, sondern auch darauf, wie Plattformen Mitarbeiter und Auftragnehmer überprüfen, interne Berechtigungen begrenzen und Konten nach ungewöhnlichen Anmeldungen oder Überweisungen isolieren. Fest steht bislang nur, dass gefälschte Bewerbungsgespräche mit Kryptoverlusten in Millionenhöhe in Verbindung gebracht werden. Die Identität der Betroffenen und die endgültige Schadenssumme sind weiterhin nicht bekannt.