Dall'aprile 2024, Amazon ha bloccato più di 1.800 presunti operatori nordcoreani dall'esecuzione di lavori remoti nel campo della tecnologia informatica. Stephen Schmidt, il secondo vicepresidente senior e responsabile della sicurezza dell'azienda, ha dettagliato lo sforzo in un Messaggio su LinkedIn alla fine di dicembre 2025. I cittadini nordcoreani cercano queste posizioni presso aziende statunitensi per incanalare i salari verso i programmi di armi del regime. Amazon utilizza lo screening basato sull'intelligenza artificiale combinato con la verifica umana per il rilevamento. Schmidt ha dichiarato nel suo post: “abbiamo impedito a più di 1.800 presunti agenti operativi della RPDC di aderire dall'aprile 2024 e abbiamo rilevato il 27% in più di richieste di affiliazione alla RPDC trimestre su trimestre quest'anno”. Questo aumento riflette gli sforzi in corso da parte di operatori affiliati alla Repubblica popolare democratica di Corea, o RPDC, per infiltrarsi in ruoli IT remoti presso Amazon e altre aziende. I sistemi dell'azienda elaborano volumi elevati di richieste, dato il suo status di uno dei maggiori datori di lavoro al mondo. Il processo di rilevamento integra modelli di intelligenza artificiale con revisioni manuali. Schmidt ha spiegato: “I nostri rilevamenti combinano lo screening basato sull'intelligenza artificiale con la verifica umana. Il nostro modello di intelligenza artificiale analizza le connessioni a quasi 200 istituzioni ad alto rischio, anomalie tra le applicazioni e incoerenze geografiche. Verifichiamo le identità attraverso controlli dei precedenti, verifica delle credenziali e interviste strutturate”. Questi passaggi esaminano le reti dei candidati, i modelli insoliti nei dati inviati e le discrepanze di ubicazione che emergono durante i processi di assunzione da remoto. Schmidt ha sottolineato la portata dell’esposizione di Amazon a queste minacce. Ha scritto: “In qualità di CSO di uno dei più grandi datori di lavoro del mondo, il mio team vede queste minacce su una scala che poche organizzazioni vedono. Ciò ci offre una visibilità unica su come si evolvono queste operazioni e la responsabilità di condividere ciò che stiamo imparando”. Questa prospettiva deriva dalla gestione di un vasto numero di domande di lavoro, consentendo l’identificazione di modelli non visibili alle entità più piccole. Gli operatori hanno affinato i loro approcci nel tempo. Si impegnano nel furto di identità prendendo di mira veri ingegneri del software, i cui profili professionali consolidati conferiscono credibilità, piuttosto che individui con una presenza online limitata. Questo cambiamento fornisce curriculum e storie più convincenti che resistono all’esame accurato iniziale. Le tattiche di LinkedIn sono diventate complesse. Gli agenti prendono il controllo degli account dormienti utilizzando credenziali compromesse, preservando i badge di verifica di attività precedenti. Esistono reti in cui i proprietari degli account scambiano l'accesso per il pagamento, consentendo ulteriormente la rappresentazione. Questi metodi sfruttano le funzionalità della piattaforma progettate per il networking professionale. Le applicazioni si concentrano sempre più sulle posizioni di intelligenza artificiale e machine learning. Tali ruoli sono molto richiesti nel contesto dell’adozione da parte delle aziende delle tecnologie di intelligenza artificiale, offrendo potenzialmente retribuzioni più elevate e una supervisione meno immediata nelle configurazioni remote. I facilitatori gestiscono “laptop farm” nelle località degli Stati Uniti. Questi siti ricevono spedizioni di apparecchiature e simulano la presenza domestica, mentre gli operatori controllano i dispositivi in remoto dall’estero. Questa disposizione mantiene l'aspetto del lavoro basato negli Stati Uniti durante l'assunzione e l'onboarding. Le rivendicazioni educative si evolvono strategicamente. I modelli mostrano spostamenti dalle università dell’Asia orientale agli istituti negli stati senza imposta sul reddito e, recentemente, alle scuole in California e New York. Le recensioni di Amazon esaminano attentamente i titoli di studio non offerti dalle istituzioni elencate o le tempistiche non allineate ai calendari accademici standard. Gli indicatori sottili aiutano il rilevamento. I candidati formattano i numeri di telefono statunitensi con “+1” anziché semplicemente “1”. Questo dettaglio da solo ha poco peso ma si combina con altri segnali per formare un profilo di attività sospetta. Questi programmi si estendono oltre Amazon. Nel giugno 2025, il Dipartimento di Giustizia degli Stati Uniti ha emesso un avvertimento. Un Dipartimento di Giustizia comunicato stampa ha dichiarato: “Il Dipartimento di Giustizia ha annunciato oggi azioni coordinate contro i piani del governo della Repubblica Popolare Democratica della Corea del Nord (DPRK) di finanziare il suo regime attraverso il lavoro remoto della tecnologia dell'informazione (IT) per le aziende statunitensi.” Le azioni comprendevano due accuse, informazioni e relativo patteggiamento, un arresto, perquisizioni di 29 aziende di laptop note o sospette in 16 stati, sequestro di 29 conti finanziari utilizzati per riciclare fondi illeciti e 21 siti Web fraudolenti.
