Wenn Krypto-Entwickler im Bewerbungsgespräch überzeugen und zur Sicherheitsbedrohung werden

Ein Entwickler kann ein Vorstellungsgespräch absolvieren, nützlichen Code liefern und das Vertrauen eines Teams gewinnen, bevor er den Zugang, der mit der Stelle einhergeht, gegen den Arbeitgeber nutzt. US-Strafverfolgungen und Sicherheitsuntersuchungen zeigen, dass nordkoreanische Operative diesen Weg in Krypto-Unternehmen ausnutzen. Die neueste Warnung des FBI beschreibt ein größeres Unterstützungsnetzwerk, das Identitäten, Stellvertreter für Vorstellungsgespräche und ein lokales Gerät bereitstellen kann, während die Person, die die Arbeit ausführt, sich anderswo befindet.

Die im Juni 2025 von US-Staatsanwälten angekündigte Anklage beschreibt Entwickler, die von einem Blockchain-Forschungsunternehmen in Atlanta und einem serbischen Token-Unternehmen eingestellt wurden. Den Vorwürfen zufolge kannten die Arbeitgeber die wahre Identität der Arbeiter nicht.

Die Arbeiter erhielten später Projekte, die ihnen Zugang zu Krypto-Vermögenswerten verschafften. Die Staatsanwaltschaft behauptet, dass ein Diebstahl Änderungen an zwei Smart Contracts umfasste und ein anderer den vom Arbeitgeber anvertrauten Zugang nutzte. Die mutmaßlichen Verluste beliefen sich damals auf insgesamt mehr als 900.000 US-Dollar.

Diese Ereignisse stehen im Zentrum einer Bedrohung, die wie eine erfolgreiche Rekrutierung aussehen kann. Der Arbeiter befindet sich im normalen Projektablauf, erhält Aufgaben und baut Beziehungen auf. Der Gefahrenpunkt kann dann eintreten, wenn die Organisation eine Geschichte abgeschlossener Arbeit als Grund dafür ansieht, Befugnisse über Code, Infrastruktur oder Geld zu erteilen.

Der Bewerber und der Operator können verschiedene Personen sein

Die Warnung des FBI vom 13. Oktober beschreibt ein Netzwerk von Personen, die nordkoreanischen IT-Arbeitern helfen, für Stellen geeignet zu erscheinen. Einige Vermittler stellen Identitäten bereit, hosten Geräte oder nehmen an Vorstellungsgesprächen und Meetings teil.

Dadurch kann sich ein normales Beschäftigungsverhältnis auf mehrere Personen aufteilen. Der Name auf der Bewerbung kann zu einer Person gehören. Ein Teilnehmer vor der Kamera kann eine andere sein. Die Person, die die Arbeit ausführt und den Laptop des Arbeitgebers bedient, kann sich anderswo befinden.

Ein Recruiter kann jedes Teil separat sehen. Die Identifikation kann plausibel erscheinen, ein Vorstellungsgespräch kann technische Antworten liefern und eine Lieferadresse kann lokal sein. Die Frage ist, ob die Teile während der gesamten Beziehung dieselbe Person beschreiben.

Das FBI beschreibt außerdem Fernzugriff über Software und externe Hardware. Ein vom Arbeitgeber ausgegebenes Gerät kann an einem lokalen Wohnsitz verbleiben, während jemand es remote bedient. Seine Anwesenheit im erwarteten Land klärt daher nicht, wer es benutzt.

Die Technik nutzt eine praktische Eigenschaft der Remote-Arbeit aus. Unternehmen benötigen, dass Mitarbeiter sich von zu Hause und von verteilten Büros aus verbinden. Eine Kontrolle, die nur den Standort des Geräts prüft, kann eine zweite Verbindung dahinter übersehen.

Der Arbeiter muss bei der zugewiesenen Aufgabe nicht versagen, damit das Schema funktioniert. Nützliche Arbeit kann Löhne erzeugen und Vertrauen aufbauen. Der Arbeitgeber kann gerade deshalb eher bereit werden, Zugang zu gewähren, weil der Entwickler geliefert hat, was das Team brauchte.

Der angebliche Diebstahl folgte der Gewährung von Vertrauen

Die Staatsanwaltschaft gibt an, dass die beiden Entwickler im Fall Georgia in den Jahren 2020 und 2021 eingestellt wurden. Die angeblichen Diebstähle folgten im Jahr 2022. Dieser Zeitabstand ist wichtig, weil der Zugang durch Anstellung und Projekte erlangt wurde und nicht durch einen kurzen externen Eindringversuch.

Die Anklageschrift beschreibt falsche und gestohlene Identitätsinformationen. Sie behauptet außerdem, dass die Empfehlung eines Mitarbeiters dazu führte, dass das serbische Unternehmen eine weitere Person unter einem Alias einstellte. Eine innerhalb des Unternehmens entstandene Beziehung könnte daher zu einem Weg für einen weiteren Bewerber werden.

Die Berichterstattung von Crypto.news über die Anklageschrift brachte den Fall in die Einstellungsdiskussion der Branche. Die Anschuldigungen bleiben Vorwürfe. Ihre Relevanz für Arbeitgeber liegt in der Abfolge, die die Staatsanwaltschaft zwischen Einstellung, Verantwortung und Zugang darlegt.

Ein Arbeitgeber kann einem Entwickler nach einem erfolgreichen Projekt vernünftigerweise mehr Arbeit übertragen. Die Sicherheitsfrage ist, welche zusätzlichen Befugnisse damit einhergehen. Das Lesen von Quellcode, das Zusammenführen einer Änderung, das Bereitstellen eines Vertrags und das Bewegen von Vermögenswerten sind getrennte Befugnisse.

Die angebliche Quellcode-Änderung veranschaulicht die Verbindung. Eine Person benötigt nicht unbedingt eine Wallet-Sicherung, um zu beeinflussen, wohin Gelder fließen, wenn sie die Logik ändern kann, die die Organisation bereitstellt. Die genaue Befugnis hängt vom Überprüfungs- und Bereitstellungsprozess des Projekts ab.

Der Fall reicht daher über die Identitätsüberprüfung hinaus. Der Eintritt war angeblich täuschend, während die spätere Gelegenheit von dem Zugang abhing, den der Arbeitgeber gewährte. Jede Phase kann untersucht werden, ohne anzunehmen, dass jedes Entwicklerkonto dieselben Befugnisse hat.

Kraken stoppte eine Bewerbung, bevor daraus eine Anstellung wurde

Krakens veröffentlichter Bericht über einen Rekrutierungsversuch beschreibt einen Kandidaten, den die Börse mit einer nordkoreanischen Operation in Verbindung brachte. Branchenpartner hatten das Unternehmen bereits vor verdächtigen Bewerbern gewarnt.

Die Börse meldete Unstimmigkeiten während des Prozesses und untersuchte diese, anstatt das Vorstellungsgespräch als ein in sich geschlossenes Ereignis zu behandeln. Der Bericht von Crypto.news über den versuchten Infiltrationsversuch beschrieb die Kombination aus Identitäts- und technischen Anomalien, die beobachtet wurden.

Dieser Fall bietet einen nützlichen Kontrast zu den angeblichen Diebstählen. Der Bewerber musste keine Produktionsbefugnis erhalten, damit das Unternehmen ein Problem feststellte. Über die Branche hinweg verfügbare Informationen halfen dem Arbeitgeber, die Bewerbung zu interpretieren.

Ein gemeinsamer Identifikator kann aussagekräftiger sein, wenn er mit einer früheren Untersuchung verbunden ist. Der Arbeitgeber muss die Beweise dennoch im Kontext bewerten. Ein von einem Opfer kopierter Name oder eine E-Mail-Adresse kann andernfalls eine falsche Übereinstimmung erzeugen, die einer legitimen Person schadet.

Die neueste Anleitung des FBI befasst sich ausdrücklich mit diesem Risiko. Sie warnt davor, dass ein einzelner Indikator unzuverlässig ist und dass übermäßig aggressive Filter qualifizierte Bewerber ausschließen können. Die Behörde beschreibt stattdessen eine mehrschichtige Bewertung über den gesamten Beschäftigungszyklus.

Ein technisches Interview ist nach wie vor nützlich, um zu entscheiden, ob jemand die Arbeit erledigen kann. Es beantwortet eine engere Frage als die, wer hinter der Verbindung steht oder wer den Laptop nach der Einstellung bedienen wird. Die getrennte Behandlung dieser Fragen kann verhindern, dass eine starke Programmierleistung die Identitätsprüfung abschließt.

Ein Gehalt kann das Ziel sein, bevor eine Wallet berührt wird

Das nordkoreanische IT-Arbeiterprogramm ist auch eine Einnahmeoperation. Ein Arbeiter kann unter einer falschen Identität Löhne einziehen und das Geld über andere Konten leiten. Der Arbeitgeber kann einer Sanktions- und Betrugsgefahr ausgesetzt sein, selbst wenn keine Kunden-Wallet geleert wird.

Die Einziehungsbeschwerde des Justizministeriums vom Juni 2025 betraf mehr als 7,74 Millionen US-Dollar, die angeblich über solche Arrangements gewaschen wurden. Die Regierung beschrieb Beschäftigungseinkommen, das umgewandelt und über Kryptowährung bewegt wurde.

Das ist ein anderer Geldfluss als gestohlene Vermögenswerte der Staatskasse. Beide können Teil einer staatlichen Einnahmekampagne sein, aber die Aufzeichnungen müssen erkennen lassen, ob es sich bei den Geldern um Löhne, umgeleitete Zahlungen oder Erlöse aus einem separaten Diebstahl handelte.

Die Unterscheidung ist für die Reaktion des Arbeitgebers wichtig. Eine Prüfung der Staatskasse kann keine fehlenden Coins finden, während das Lohn- und Identitätsproblem fortbesteht. Eine Codeüberprüfung kann keine böswillige Änderung finden, während das Konto weiterhin genutzt wurde, um Geld unter einer falschen Identität zu empfangen.

Ein Unternehmen muss außerdem wissen, ob der Mitarbeiter andere Kandidaten oder Lieferanten empfohlen hat. Die Empfehlung kann im normalen Geschäftsbetrieb legitim sein. In einem betrügerischen Betrieb kann sie den Zugang verbreiten oder Zahlungen an einen anderen Teil desselben Netzwerks weiterleiten.

Der Fall wird verständlicher, wenn das Geld dem Beschäftigungsverlauf folgt. Der Vertrag, Rechnungen und Zahlungsanweisungen zeigen, warum der Arbeitgeber gezahlt hat. Börsen- und Wallet-Aufzeichnungen können dann zeigen, wie sich der Erlös bewegt hat.

Der Laptop an einer lokalen Adresse kann ein Relais sein

Ein Remote-Mitarbeiter erhält oft ein verwaltetes Gerät, weil der Arbeitgeber die Kontrolle über Software und Zugriff haben möchte. Wenn ein Vermittler es für jemand anderen verbunden hält, verwaltet das Unternehmen möglicherweise die Hardware, ohne den tatsächlichen Betreiber zu kennen.

Das FBI beschreibt sowohl Remote-Software als auch externe Geräte, die Zugriff ermöglichen können. Das jeweilige Werkzeug kann auch legitime Verwendungszwecke haben. Seine Anwesenheit wird bedeutsam, wenn sie mit den Anforderungen der Stelle, dem Identitätsdatensatz und der Art und Weise, wie sich die Verbindung verhält, kombiniert wird.

Ein Entwickler kann Remote-Umgebungen, virtuelle Maschinen oder gemeinsame Testsysteme legitimerweise nutzen. Eine Regel, die jede solche Nutzung als verdächtig einstuft, würde die normale Arbeit beeinträchtigen. Die wichtige Frage ist, ob die Einrichtung zur genehmigten Rolle passt und wer Zugriff darauf hat.

Der lokale Host kann auch Opfer einer Täuschung oder ein aktiver Teilnehmer sein. Das FBI sagt, dass Vermittler durch scheinbar einfache bezahlte Aufgaben angeworben wurden, einschließlich des Empfangens von Ausrüstung oder der Teilnahme an einem Anruf. Die Person, die der Aufgabe zustimmt, sieht möglicherweise nur einen Teil des Beschäftigungsplans.

Diese Aufteilung hilft dem Betrieb, fortzubestehen. Der Austausch einer Lieferadresse oder eines Vermittlers kann die sichtbare Infrastruktur ändern, ohne die Personen zu ändern, die die Arbeit verrichten. Ein Unternehmen, das nur nach einer zuvor verwendeten Adresse sucht, kann daher eine neue Version derselben Vereinbarung übersehen.

Gewöhnlicher Entwicklerzugriff kann finanzielle Befugnisse erreichen

Ein Entwicklerkonto kann mit einem Repository beginnen und später Cloud-Zugriff, Bereitstellungsrechte oder Anmeldedaten für einen Zahlungsdienst erwerben. Jede Ergänzung kann durch ein Projekt gerechtfertigt sein. Zusammen können sie ein Konto in die Nähe des Geldes des Unternehmens bringen.

Ein Quellcode-Repository kann mehr als Code enthalten. Konfiguration, Bereitstellungsverlauf oder unsachgemäß gespeicherte Anmeldedaten können auf andere Systeme hinweisen. Eine Person mit Lesezugriff kann erfahren, wie eine Anwendung Werte bewegt, noch bevor sie sie ändern kann.

Der Bereitstellungspfad fügt eine weitere Ebene hinzu. Eine überprüfte Änderung kann Build-Systeme und Release-Tools durchlaufen, die ihre eigenen Anmeldedaten haben. Eine Person, die diesen Pfad ändern kann, kann beeinflussen, was in die Produktion gelangt, selbst wenn das Haupt-Repository eine Überprüfung erfordert.

Ein internes Ledger kann ebenso wichtig sein. Eine Börse oder ein Zahlungsunternehmen kann Kundenkontostände in einer Datenbank erfassen, bevor eine Auszahlung unterzeichnet wird. Die Befugnis, Finanzaufzeichnungen zu ändern, kann beeinflussen, welche Anfragen das Wallet-System erreichen.

Googles Cloud Threat Horizons-Bericht für die erste Hälfte des Jahres 2026 beschreibt einen separaten, mit Nordkorea verbundenen Eindringling in eine Krypto-Organisation, der Cloud-Systeme und Finanzlogik erreichte. Es war ein anderer Weg zum Zugriff, aber er zeigt, warum die Bereitstellungs- und Buchhaltungsumgebung in dieselbe Sicherheitsdiskussion wie Wallets gehören.

Die relevante Grenze ist die dem Konto gewährte Befugnis. Eine Hardware-Signaturrichtlinie kann einen Schritt schützen, während eine kompromittierte Anwendung eine irreführende Zahlungsanforderung liefert. Eine Organisation muss verstehen, wie jedes frühere System bestimmt, was der Unterzeichner genehmigen soll.

Eine Codeüberprüfung muss wissen, was die Änderung steuert

Eine bösartige Änderung kann im Verhältnis zum Rest eines Projekts klein sein. Ihre Bedeutung ergibt sich aus dem Pfad, den sie betrifft. Eine Adresse, eine Berechtigungsprüfung oder eine Auszahlungsbedingung kann bestimmen, wohin Werte fließen, selbst wenn der umgebende Code gewöhnlich ist.

Prüfer müssen die Änderung mit dieser Geschäftsfunktion in Verbindung bringen. Ein Test, der zeigt, dass die Anwendung erfolgreich startet, kann eine Änderung beim Empfänger von Geldern übersehen. Ein Test, der einen erwarteten Zahlungspfad prüft, kann dennoch eine andere Rolle oder einen Ausnahmefall übersehen.

Die Einstellungsbedrohung macht das schwieriger, weil der Autor ein Kollege ist. Der Prüfer kennt die Person möglicherweise durch Wochen nützlicher Arbeit und nimmt die Absicht hinter einer Änderung an. Der Prozess muss in der Lage bleiben, Konsequenzen zu prüfen, nachdem Vertrauen entstanden ist.

Dasselbe gilt für dringende Fehlerbehebungen. Ein Entwickler, der das System versteht, kann während eines Vorfalls zu der Person werden, auf die sich alle verlassen. Die Gewährung vorübergehenden Zugriffs kann notwendig sein, aber sie verändert die Macht des Kontos genau zu dem Zeitpunkt, an dem andere Mitarbeiter unter Druck stehen.

Ein Nachweis darüber, wer die Änderung genehmigt und bereitgestellt hat, hilft, diesen Moment später zu rekonstruieren. Er kann auch eine böswillige Veränderung von einem Fehler oder einer Handlung unterscheiden, die von einem anderen kompromittierten Konto ausgeführt wurde. Identitäts-, Prüf- und Bereitstellungsaufzeichnungen werden zu Teilen derselben Zeitlinie.

Daten können abfließen, bevor der Arbeitgeber einen Diebstahl bemerkt

Ein Mitarbeiter mit Zugriff kann Informationen kopieren, bevor er sie nutzt oder bevor der Arbeitgeber das Arbeitsverhältnis beendet. Quellcode und Geschäftsdaten können auch nach der Deaktivierung des Kontos ihren Wert behalten. Das schafft eine weitere Druckquelle für das Unternehmen.

Der Bericht der Google Threat Intelligence Group vom April 2025 beschrieb die Ausweitung nach Europa und mehr Erpressung unter Einbeziehung sensibler Daten ehemaliger Arbeitgeber. Er verband die Bedrohung mit legitim wirkender Arbeit in einer Reihe technischer Projekte.

Die Berichterstattung von Crypto.news über die europäische Ausweitung ordnete die Blockchain-Entwicklung der Zielarbeit zu. Die geografische Veränderung ist wichtig, weil ein Unternehmen außerhalb der USA mit demselben Identitäts- und Zugriffsproblem konfrontiert sein kann.

Die Warnung des FBI vom Oktober ergänzt, dass die Arbeitsaufzeichnung selbst ein Weg für Daten sein kann, das Unternehmen zu verlassen. Ein Remote-Bediener kann Aufzeichnungen auf Geräten erstellen, die mehrere Verbindungen vom Laptop des Arbeitgebers entfernt sind. Das verwaltete Gerät kann daher weniger von der Aktivität zeigen, als der Arbeitgeber erwartet.

Das macht das Offboarding zu einer Frage darüber, was das Konto lesen konnte, ebenso wie darüber, was es ändern konnte. Das Entfernen des Zugriffs stoppt die zukünftige Nutzung dieser Anmeldedaten. Es ruft keine bereits erstellte Kopie zurück und macht nicht jedes Geheimnis ungültig, das die Person gesehen hat.

Das Unternehmen muss möglicherweise offengelegte Anmeldedaten ändern und prüfen, welche Systeme sie geöffnet haben. Der Umfang hängt von den tatsächlichen Berechtigungen und Aktivitäten des Kontos ab. Eine allgemeine Aussage, dass der Mitarbeiter nicht mehr dort arbeitet, vermittelt ein weniger vollständiges Bild.

Personalabrechnung, Einstellung und Sicherheit können jeweils einen Teil der Antwort enthalten

Die Personalabteilung sieht Dokumente und Beschäftigungshistorie. Die Finanzabteilung sieht Rechnungen und Bank- oder Wallet-Details. Die IT sieht Geräte und Fernzugriff. Ein Manager sieht Aufgabenleistung und Anfragen nach mehr Befugnis.

Eine Operation, die ihre sichtbare Aktivität auf diese Teams verteilt, kann für jedes einzelne isoliert betrachtet plausibel erscheinen. Ein geändertes Zahlungskonto kann administrativ wirken. Eine andere Person in einem Anruf kann als Verbindungsproblem erklärt werden. Eine Geräteanfrage kann an ein Projekt geknüpft werden.

Die Leitlinien des FBI fordern, diese Beobachtungen gemeinsam zu bewerten. Der Zweck ist, ein Muster zu erkennen, das eine Überprüfung rechtfertigt, während eine Schlussfolgerung aus einem einzelnen Merkmal, das legitime Mitarbeiter teilen, vermieden wird.

Dieser Ansatz schützt auch Menschen, deren Identitäten gestohlen wurden. Eine betrügerische Bewerbung kann echte Unterlagen verwenden, die jemand anderem gehören. Die in den Papieren genannte Person ist möglicherweise ein Opfer und nicht der Bediener.

Dieselbe Vorsicht gilt für Nationalität und Akzent. Die Bedrohung ist die falsche Identität, der verdeckte Bediener und der Missbrauch des Zugriffs. Entscheidungen, die auf Ethnizität statt auf Verhalten basieren, können die Operation übersehen und gleichzeitig legitime Mitarbeiter schädigen.

Die praktische Untersuchungseinheit ist das Arbeitsverhältnis und die Systeme, die es berührt. Die Frage ist, ob dieselbe autorisierte Person die Arbeit, das Gerät, die Anmeldedaten und den vom Unternehmen genehmigten Zahlungsweg kontrolliert.

Eine Kündigung schließt nicht jeden Weg

Ein ausscheidender Mitarbeiter kann den Zugriff in mehr als nur dem Hauptkonto hinterlassen. Ein Code-Hosting-Token, eine Cloud-Anmeldedaten, ein Anbieterkonto oder ein bereitgestellter Dienst können weiterhin nutzbar bleiben, wenn sie während der Beschäftigung erstellt wurden. Eine Überprüfung muss den Rollen folgen, die die Person tatsächlich innehatte.

Der Arbeitgeber muss auch wissen, was geändert wurde. Das Deaktivieren eines Benutzers macht einen bereitgestellten Vertrag nicht automatisch rückgängig und entfernt auch keine Berechtigung, die einem anderen Konto erteilt wurde. Einige Onchain-Änderungen können eine separate Transaktion oder einen Governance-Prozess erfordern.

Ein Vorfall mit Erpressung bringt rechtliche und operative Entscheidungen mit sich. Die Organisation muss Beweise sichern, feststellen, welche Daten abgeflossen sind, und bestimmen, welche Pflichten gegenüber betroffenen Personen oder Kunden gelten. Die technische Reaktion und die rechtliche Reaktion stützen sich auf dieselben Fakten, dienen aber unterschiedlichen Zwecken.

Crypto.news berichtete über einen Oktober-Fall mit mutmaßlichen amerikanischen Unterstützern. Solche Strafverfolgungen zeigen die Rolle des unterstützenden Netzwerks um den Arbeitnehmer. Das Entfernen eines Mitarbeiterkontos kann andere Beteiligte und Zahlungswege zurücklassen, die untersucht werden müssen.

Die verbleibende Sorge des Arbeitgebers ist, ob die Person einen weiteren Weg in das Unternehmen eingeführt hat. Empfehlungen, gemeinsam genutzte Auftragnehmer und Dienstkonten können eine einzelne Beschäftigungsbeziehung überdauern. Die Aufzeichnung darüber, wer Zugang gewährt hat und zu welchem Zweck, hilft, diese Überprüfung zu definieren.

Dem Geld zu folgen ist eine andere Phase als die Identifizierung des Arbeitnehmers

Eine Adresse kann Löhne oder gestohlene Vermögenswerte empfangen und sie über mehrere Dienste weiterleiten. Die Nachverfolgung kann Transaktionen mit einem Fall verbinden, während die Identifizierung der Person, die jeden Schritt kontrolliert, zusätzliche Beweise erfordert.

Eine Sperrung oder Beschlagnahme kann einen Saldo sichern, ohne jeden damit verbundenen Anspruch zu klären. Eine Einziehungsbeschwerde ist ein Antrag an das Gericht. Eine Anordnung und die tatsächlich zurückgewonnenen Vermögenswerte sind spätere Ereignisse.

Der Bericht von Crypto.news über eine Einziehung von Stablecoins in Höhe von rund 212.700 US-Dollar unterschied diesen Betrag von der größeren Maßnahme mit mehr als 7,74 Millionen US-Dollar. Der Unterschied veranschaulicht, warum der geforderte Betrag und der gesicherte Betrag jeweils eigene Daten benötigen.

Für ein Unternehmen, das Vermögenswerte verloren hat, muss die Wiederherstellung auch die Gelder mit dem Opfer und dem Verfahren zu ihrer Rückgabe verbinden. Die Tatsache, dass eine Adresse identifiziert wurde, kann diese Arbeit unterstützen, während das Geld außerhalb der unmittelbaren Kontrolle des Unternehmens bleibt.

Für ein Unternehmen, das Löhne unter einer falschen Identität gezahlt hat, kann das Problem Sanktionen und vertragliche Risiken umfassen, selbst wenn es keinen Vermögensabfluss erlitten hat. Dasselbe Netzwerk kann für verschiedene Arbeitgeber unterschiedliche Verluste und Pflichten schaffen.

Das Interview ist eine Entscheidung in einer längeren Übertragung von Befugnissen

Die erfolgreiche Bewerbung öffnet die Tür. Projekte und nützliche Arbeit können dann die Stellung des Arbeitnehmers innerhalb des Unternehmens erhöhen. Jede neue Berechtigung schafft eine weitere Gelegenheit für den Arbeitgeber zu überprüfen, ob die Befugnis noch zur Person und zur Aufgabe passt.

Die Fälle zeigen, warum die Bedrohung sowohl die Rekrutierung als auch den Betrieb betrifft. Ein Team kann die falsche Bewerbung vor der Einstellung erkennen, wie Kraken beschrieb. Ein anderes kann die Person einstellen und später Zugang gewähren, der laut Anklage für Diebstahl genutzt wurde.

Die FBI-Warnung vom Oktober ordnet diese Abfolge in ein größeres Netzwerk von Identitäten und Unterstützern ein. Das Unternehmen interviewt möglicherweise eine Person und gewährt schließlich einer anderen Zugang. Seine stärkste Aufzeichnung verbindet den Mitarbeiter, den es autorisiert hat, mit der Arbeit, den Geräten, den Anmeldedaten und den Zahlungen, die folgen.

Der falsche Bewerber und der falsche Recruiter sind getrennte Wege

Ein Unternehmen kann mit einem falschen Bewerber konfrontiert werden, der eine legitime Stelle sucht. Ein Entwickler kann auch von einem falschen Recruiter angesprochen werden, der ihm eine Stelle anderswo anbietet. Der zweite Weg zielt darauf ab, einen bestehenden Mitarbeiter zu überreden, einen Test auszuführen, eine Datei zu öffnen oder einen Dienst zu nutzen, der sein Gerät kompromittiert.

Die beiden können innerhalb derselben Geschäftsumgebung aufeinandertreffen. Eine Operation erlangt Zugang, indem sie Mitarbeiter wird. Eine andere erlangt Zugang über einen Mitarbeiter, der bereits dort arbeitet. Das resultierende Konto kann autorisiert aussehen, obwohl die Person, die es kontrolliert, es nicht ist.

Der Unterschied ist wichtig, wenn ein Arbeitgeber die Aktivität eines Entwicklers untersucht. Eine verdächtige Handlung kann von einem Arbeitnehmer mit falscher Identität stammen oder von einem echten Mitarbeiter, dessen Gerät kompromittiert wurde. Die Zugriffsprotokolle identifizieren das Konto, während die Identitäts- und Endpunktuntersuchung feststellt, wer es bedient hat.

Der Cloud-Bericht von Google beschreibt einen Krypto-Eindringfall mit einem kompromittierten Endpunkt und einer Bewegung in Unternehmenssysteme. Dieser Fall sollte als eigener Angriffspfad gelesen werden. Die breitere Lehre ist, wie viel Zugang eine Entwicklerumgebung tragen kann, sobald ein Angreifer sie kontrolliert.

Ein Unternehmen benötigt daher sowohl die Beschäftigungsunterlagen als auch die technischen Aufzeichnungen. Mit dem einen lässt sich belegen, dass die Person rechtmäßig eingestellt wurde. Mit dem anderen lässt sich zeigen, dass das Konto später Aktivitäten außerhalb der genehmigten Rolle oder über einen unerwarteten Kontrollpfad ausgeführt hat.

Ein Auftragnehmer kann Zugriff über mehrere Kunden hinweg mitführen

Ein Dienstleister kann denselben Entwickler für die Arbeit bei mehr als einem Kunden einsetzen. Der Kunde kann den Dienstleister genehmigen, ohne jede Person zu treffen, die die Aufgabe später ausführen wird. Die Personal- und Identitätsprüfungen des Dienstleisters werden Teil der Risikolage des Kunden.

Der Zugriff kann auch über ein Projektkonto oder eine gemeinsame Entwicklungsumgebung geteilt werden. Das kann es erschweren, festzustellen, welche Einzelperson eine Änderung vorgenommen hat. Eine legitime Auftragnehmervereinbarung benötigt dennoch eine Aufzeichnung, die Arbeit und Befugnis mit den Personen verbindet, die sie nutzen.

Das Risiko wächst, wenn ein Auftragnehmer Anmeldedaten für mehrere Kunden auf demselben Gerät hält. Eine Kompromittierung kann über ein einzelnes Projekt hinausreichen, selbst wenn jeder Kunde nur den für seine eigene Arbeit benötigten Zugriff gewährt hat. Der Endpunkt des Dienstleisters wird zu einer gemeinsamen Abhängigkeit.

Die Betonung des Beschäftigungslebenszyklus durch das FBI passt ebenso auf diese Vereinbarung wie auf die direkte Einstellung. Der Punkt ist, zu wissen, wer die Arbeit ausführt, während sich Verantwortlichkeiten und Teams ändern. Eine erfolgreiche Überprüfung zum Zeitpunkt des ursprünglichen Vertrags identifiziert nicht jede Person, die später zum Projekt hinzugefügt wird.

Der erste Bericht kann den Weg in das Unternehmen bewahren

Wenn ein Mitarbeiter eine Unstimmigkeit bemerkt, können die nützlichsten Aufzeichnungen gewöhnliche Beweismittel sein: eine Einladung zu einem Vorstellungsgespräch, eine geänderte Zahlungsanforderung oder ein Geräte-Support-Ticket. Diese Gegenstände geben Ermittlern Daten und Beziehungen, die sie mit technischen Aktivitäten vergleichen können.

Ein Unternehmen, das versuchten Betrug vor der Einstellung entdeckt, verfügt dennoch über Informationen, die einem anderen Arbeitgeber helfen können. Krakens Konto veranschaulicht, wie Warnungen aus der Branche eine Kennung aussagekräftiger machen können. Der Austausch über einen geeigneten Sicherheitskanal kann Fälle verbinden, die innerhalb eines einzelnen Recruiting-Teams isoliert erscheinen.

Die Meldung muss auch den Unterschied zwischen einem Versuch und einem vollendeten Eindringen bewahren. Bei einem abgelehnten Bewerber ist nicht nachgewiesen, dass er denselben Zugriff hatte wie ein Mitarbeiter, der Produktionsprojekten zugewiesen wurde. Diese Unterscheidung hält die Konsequenzen an die tatsächliche Aufzeichnung gebunden.

Die Bedrohung lässt sich leichter erklären, wenn die Darstellung diesem Zugriff Schritt für Schritt folgt. Die Bewerbung schafft eine Gelegenheit, das Beschäftigungsverhältnis schafft Berechtigungen, und die spätere Aktivität zeigt, wie diese Berechtigungen genutzt wurden. Die mutmaßlichen Diebstähle in Georgia liefern ein konkretes Beispiel für diesen letzten Übergang.

Die Aufzeichnungen müssen den Weggang des Mitarbeiters überdauern

Ein Unternehmen, das nach dem Ausscheiden eines Auftragnehmers verdächtige Aktivitäten entdeckt, benötigt eine verlässliche Darstellung dessen, was das Konto erreichen konnte. Diese Aufzeichnung umfasst gewährte Berechtigungen, Code-Reviews, Releases und Änderungen an Wiederherstellungsmethoden. Wenn diese Aufzeichnungen mit dem Zugriff des Mitarbeiters verschwinden, beginnt die Untersuchung mit einer Lücke, die durch die eigenen Verfahren des Arbeitgebers entstanden ist.

Der Weggang ist auch mehr als das Schließen einer Firmen-E-Mail-Adresse. Ein Mitarbeiter hat möglicherweise separate Konten für Code-Hosting, Cloud-Dienste und Deployment verwendet. Ein aktives Token kann weiterhin funktionieren, nachdem die Person den Zugriff auf ein internes Chatsystem verloren hat. Die relevante Frage ist, ob jeder Weg in die Produktionsumgebung widerrufen oder überprüft wurde.

Dieselbe Arbeit hilft festzustellen, was nicht geschehen ist. Ein Unternehmen kann feststellen, dass die Person Zugriff auf eine Testumgebung, aber keine Befugnis hatte, Produktionsverträge zu ändern. Es kann eine versuchte Anfrage für umfassenderen Zugriff finden, die ein Prüfer abgelehnt hat. Diese Unterscheidungen beeinflussen den tatsächlichen Umfang des Vorfalls und verhindern, dass eine verdächtige Identität als Beweis für einen vollendeten Diebstahl behandelt wird.

Für Kunden erklärt eine glaubwürdige Darstellung die betroffenen Systeme, den Zeitraum des Zugriffs und die daraus resultierende Maßnahme. Die Staatsangehörigkeit allein liefert nichts davon. Die Beweise stammen aus der Beschäftigungsaufzeichnung und der mit dem Konto verbundenen Aktivität, gefolgt von allen Feststellungen, die Ermittler belegen können.

Worauf zu achten ist

• Beschäftigungsunterlagen: Änderungen bei der Identität, den Zahlungsdetails und den Personen, die in Arbeitsinteraktionen erscheinen, können aussagekräftig werden, wenn sie gemeinsam bewertet werden.
• Zuwachs an Befugnissen: Repository-, Deployment-, Cloud- und Zahlungsberechtigungen zeigen, wie die Rolle nach der Einstellung erweitert wurde.
• Gemeinsam genutzte Infrastruktur: Ein lokales Gerät kann dennoch remote betrieben werden, wodurch der genehmigte Zugangsweg wichtig wird.
• Umfang des Offboardings: Anmeldedaten, bereitgestellte Änderungen und kopierte Informationen können nach der Schließung des Hauptkontos weiterhin relevant bleiben.
• Gerichtliche Ergebnisse: Anklagen, Einziehungsanträge, Anordnungen und zurückgegebene Vermögenswerte beschreiben unterschiedliche Phasen des Vollstreckungsprotokolls.

Häufig gestellte Fragen