Falsas entrevistas de recrutamento para funções de tecnologia estão a ser usadas como porta de entrada para o roubo de criptomoedas. As informações disponíveis indicam que os atacantes se fizeram passar por recrutadores ou candidatos e usaram entrevistas e processos de contratação para atingir as vítimas. A atividade foi associada ao desvio de milhões de dólares em ativos digitais e terá beneficiado a Coreia do Norte. Para as empresas de criptoativos, a exposição não se limita às exchanges e às carteiras: inclui também o recrutamento, as entrevistas remotas e a instalação de software.
Processos de contratação falsos abrem acesso a sistemas
As campanhas recorrem normalmente a processos comuns de recrutamento na área de TI como cobertura. Durante conversas sobre uma vaga, testes técnicos ou entrevistas por vídeo, as vítimas podem ser instruídas a abrir um ficheiro, executar um programa ou utilizar uma ferramenta de desenvolvimento apresentada como relevante para a função. Estes pedidos podem parecer rotineiros.
Depois de obter acesso ao dispositivo ou à conta da vítima, o atacante pode tentar alcançar sistemas corporativos, processos de gestão de ativos digitais ou carteiras de criptomoedas controladas por funcionários. O ponto central já estabelecido é a ligação entre falsas entrevistas de TI e roubos de criptomoedas no valor de milhões de dólares, numa atividade que terá tido a Coreia do Norte como beneficiária ou participante.
As informações disponíveis não identificam as empresas afetadas nem as pessoas envolvidas. Também não esclarecem durante quanto tempo os ataques ocorreram, quais os ativos roubados ou o valor de cada perda individual. Por isso, o montante de milhões de dólares não pode ser atribuído diretamente a uma única empresa ou transação.
Acesso de funcionários amplia a exposição financeira
O risco financeiro é que os atacantes talvez não precisem de invadir os sistemas centrais de uma exchange. O acesso através do dispositivo de um funcionário, de uma conta corporativa ou de um serviço de terceiros pode criar uma rota até às operações de gestão de ativos.
As empresas de criptoativos dão frequentemente a equipas de recrutamento, prestadores de serviços e técnicos acesso a repositórios de código, serviços na nuvem, ferramentas de gestão de chaves ou canais internos de comunicação. O controlo de uma única conta pode aumentar as perdas potenciais caso permita novos acessos ou a elevação de privilégios.
Em comparação com um e-mail de phishing convencional, uma entrevista falsa dá aos atacantes mais tempo e mais oportunidades para construir uma identidade credível. Depois de estabelecerem uma relação profissional, podem apresentar uma tarefa técnica ou pedir a instalação de software, dificultando a identificação da ameaça a partir de um único link suspeito. O recrutamento remoto e a contratação transfronteiriça também podem tornar mais difíceis as verificações presenciais de identidade.
Dimensão das perdas continua por esclarecer
Não há informações disponíveis que indiquem se as criptomoedas roubadas foram rastreadas, congeladas ou recuperadas. Também não foram divulgados detalhes sobre ações específicas das autoridades. A Coreia do Norte é há muito acusada de recorrer a operações cibernéticas para obter moeda estrangeira e ativos digitais, mas ainda não foram estabelecidos publicamente os grupos responsáveis por esta operação de falsas entrevistas, o número de empresas afetadas ou o percurso dos fundos.
Para os participantes no mercado, o caso desloca parte da atenção de segurança das transações registadas na blockchain para o recrutamento e as operações corporativas do dia a dia. Investidores e utilizadores de exchanges preocupam-se não apenas com os preços dos ativos e os saldos das carteiras, mas também com a forma como as plataformas verificam funcionários e prestadores, limitam permissões internas e isolam contas após logins ou transferências fora do padrão.
O que pode ser confirmado nesta fase é que falsas entrevistas de recrutamento foram associadas a perdas de criptomoedas no valor de milhões de dólares. As identidades das vítimas e o montante final das perdas continuam por divulgar.