美国司法部：朝鲜IT人员渗透数十家美企

一场规模远超预期的渗透行动

美国司法部披露，朝鲜背景的IT人员已成功渗透进入数十家美国公司。这些人员并非传统意义上远程作案的独立黑客，而是利用伪造身份直接受雇于美国企业，从内部获取敏感资源。与以往零星案例不同，这次披露的规模表明，朝鲜已将渗透美国企业作为一项系统性、成建制的国家行为。

这一消息之所以引发广泛关注，在于它揭示了一条远比预想更隐蔽的攻击路径：不需要突破防火墙，不需要利用零日漏洞，只需一份看起来正常的简历和一次远程面试。

渗透如何运作：从远程雇员到境外资金链

根据美方披露的信息，这些朝鲜IT人员的操作模式已相当成熟。他们以虚假身份应聘美国公司的技术岗位，尤其是对远程办公友好的软件开发和IT运维职位。入职后，他们不仅领取薪资，还利用内部权限访问代码库、系统架构和业务数据。

更为关键的是，美国当局指出，这些人员并不只是单纯地“打工赚钱”。他们正在越来越多地充当中间人角色——一头连接被入侵的美国企业，另一头连接平壤的资金网络。薪资收入和潜在的勒索收益通过复杂渠道汇出，最终流入被制裁的朝鲜实体。

这种模式的隐蔽性在于：企业在招聘时看到的是一份合规的远程工作申请，背景调查往往难以触及境外伪造身份的深层验证。只有当资金流向或数据外泄触发安全警报时，问题才可能浮出水面。

关于朝鲜IT人员渗透的已知背景

朝鲜向海外派遣IT人员以获取外汇并非新现象。此前多项安全研究已披露，朝鲜IT从业者常以中国、俄罗斯或东南亚国家的身份信息为掩护，通过自由职业平台或直接应聘承接海外外包项目。这种方式被外界视为规避国际制裁、为国家创收的重要渠道之一。与传统的黑客攻击不同，这类人员以合法雇佣关系为外壳，具备真实的技术能力，能够通过面试和实际工作表现长期维持身份。美国司法部此次披露的规模意味着该模式已从个别案例演变为成建制的系统性行动，且目标从外包接单升级为直接进入企业内部。

朝鲜资金网络的常见运作方式

被制裁的朝鲜实体由于无法直接使用主流国际银行系统，通常依赖多层中介、加密货币混币服务、场外交易经纪人和跨境贸易幌子公司来转移资金。渗透人员领取的美元薪资往往先汇入第三国账户，再通过加密货币兑换或地下汇款渠道回流。这种链条使得资金来源和最终去向难以被传统金融监控捕捉，也增加了执法机构追踪的难度。理解这一背景有助于认识为何美方强调渗透者不仅是打工者，而是连接被入侵企业与平壤资金网络的关键节点。

为什么美国企业成了目标

朝鲜选择美国企业作为渗透目标，背后有清晰的经济逻辑。远程办公的普及大幅降低了跨境雇佣的操作门槛，许多美国科技公司对远程技术人才的需求持续旺盛，而身份核验流程却未能同步升级。

同时，美国企业对知识产权的集中持有，使得一次成功的内部渗透可能带来远超普通网络攻击的收益。被盗的源代码、产品路线图或客户数据，既可以用于直接勒索，也可以作为技术资产转移。

美国司法部此次表态的措辞值得注意：被制裁的黑客正在“越来越多地瞄准美国人”，让他们充当被入侵企业与平壤之间的促成者。这意味着，朝鲜的渗透策略正在从“派人进去”向“在当地发展协助者”演变，追查难度进一步上升。

远程办公与身份核验的结构性错配

美国企业在疫情后普遍采用远程或混合办公模式，技术岗位的招聘范围从本地扩展到全球。然而，大多数公司的雇佣前背景调查仍以美国境内的身份体系为基础，例如社会安全号验证、本地信用记录和学历认证。当应聘者使用伪造的境外身份时，这些工具往往无法有效核验。视频面试虽然普及，但深度伪造技术和有准备的冒充者可以绕过有限的视觉判断。这种招聘效率与安全审查之间的结构性错配，正是朝鲜IT人员能够长期潜伏的条件之一。

朝鲜黑客组织的战术演变

被美国制裁的朝鲜黑客组织，如Lazarus Group和Andariel，长期以来以攻击全球金融机构、加密货币交易所和银行间结算系统著称，其目的是直接窃取资金。这些组织通常从外部发起网络入侵，利用漏洞或供应链攻击进入目标网络。而雇佣渗透代表了一种战术延伸：从外部突破转向内部潜伏，利用合法身份和权限绕过边界防御。这种转变意味着防御方不仅需要关注网络层的异常流量，还需要审视人员层面的身份真实性和行为模式。

企业面临的现实挑战

对于美国企业而言，这一披露暴露了现有背景审查体系的短板。传统的雇佣前筛查主要依赖身份文件、学历认证和前雇主核实，但面对精心伪造的境外身份，这些手段的有效性大打折扣。

远程办公环境进一步削弱了同事间的日常观察。一个从不参加线下会议、摄像头长期关闭、沟通风格略显异常的“远程员工”，在分布式团队中并不容易被识别。企业需要在身份验证、行为分析和权限管理上投入更多资源，而这对于中小型公司尤其困难。

法律与合规层面同样复杂。一旦确认员工为朝鲜渗透人员，企业不仅要处理数据泄露的善后，还可能面临监管问询和声誉损失。如何在招聘效率与安全审查之间取得平衡，成为摆在众多美国公司面前的紧迫问题。

这不是孤立事件

美方将此次披露与更广泛的制裁执法行动关联。被制裁的朝鲜黑客组织长期以来针对全球金融机构和加密货币交易所，而渗透美国企业则代表了一种战术延伸：从外部攻击转向内部潜伏。

这种转变对网络安全防御体系提出了新要求。企业不能再仅依赖边界防护和终端检测，而需要将雇佣链条本身视为攻击面的一部分。身份验证的强度、远程访问权限的最小化原则、以及异常资金流动的监控，都需要被纳入整体安全策略。

美国司法部的公开警告也传递了一个信号：执法机构已经意识到这一威胁的规模，并将加大追查力度。但对于已经发生渗透的企业来说，发现和清除潜伏者的过程可能远比想象中漫长。

关键要点

• 朝鲜IT人员以虚假身份受雇于数十家美国公司，渗透规模超出此前认知
• 渗透者不仅获取薪资，还充当被入侵企业与平壤之间的资金和数据中间人
• 远程办公普及和背景审查漏洞是此类渗透得以成功的关键条件
• 美国司法部警告称，朝鲜黑客正越来越多地瞄准美国人作为协助者
• 企业需将雇佣链条纳入安全防御范围，强化身份验证与权限管理