OFAC Sanciona Rede de Trabalhadores de TI da Coreia do Norte que Financia Programas de Armas de Destruição em Massa Através de Empregos Remotos Falsos

O esquema Coral Sleet/Jasper Sleet não é uma nova ameaça, é um modelo de operação cibernética estatal em escala industrial, ativo desde 2014 e agora com capacidade de gerar quase US$ 800 milhões por ano. O que muda em 2026 não é a existência do esquema, mas sua maturidade tática: o uso sistemático de IA não para enganar humanos em entrevistas, mas para automatizar fases críticas da fraude, desde a geração de currículos culturalmente coerentes até o 'jailbreaking' de modelos de linguagem para produzir código malicioso funcional. Esses agentes não estão apenas fingindo ser desenvolvedores; eles são integrados em pipelines de software legítimos, com acesso direto a repositórios, CI/CD e ambientes de produção, o que transforma cada contratação em um vetor de comprometimento contínuo.

A Astrill VPN não é acidental: seu nó de saída nos EUA, hospedado em infraestrutura chinesa, serve como camada de obfuscação técnica e geopolítica, permite que operadores baseados em Shenyang ou Dalian se passem por profissionais remotos de St. Louis ou Austin. Falhas nessa camada, como conexões sem VPN ou IPs expostos, já levaram a demissões reais em menos de duas semanas. Isso revela uma vulnerabilidade estrutural: o esquema depende de disciplina operacional perfeita, e qualquer desvio, um login fora do horário comercial, um dispositivo não gerenciado, um sotaque inconsistente, vira alvo imediato de detecção.

Empresas que contratam remoto sem verificação cruzada de identidade, histórico profissional e padrão comportamental de acesso estão, na prática, abrindo portas para espionagem industrial e sabotagem de código-fonte. Não se trata de um risco teórico: dados roubados por esses agentes alimentam diretamente o programa de mísseis balísticos norte-coreano, e também refinam futuras campanhas de fraude. A Microsoft está certa ao classificar isso como ameaça interna: o agente não entra pela rede, entra pelo RH. Monitorar 'acesso lento e discreto' (low-and-slow) é necessário, mas insuficiente, o foco precisa estar na anomalia de comportamento profissional: padrões de escrita, estilo de commits, frequência de perguntas em canais técnicos, até mesmo o tempo médio de resposta em PRs.