文章总结： 朝鲜IT团伙利用女性作为门面迷惑西方企业，通过社工手段渗透内部Slack，揭露其批量伪造人设、使用反指纹浏览器及加密货币支付等作案手法，建议企业加强背景调查与多因素认证管理。
综合评分： 82
文章分类： 社会工程学,数据安全,威胁情报,漏洞预警,安全运营

朝鲜IT工人团伙开始利用女性进行活动

原创

黑鸟
黑鸟

黑鸟

2026年9月28日 23:33
中国香港

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一个参与远程 IT 工作者项目的朝鲜组织开始利用女性员工来迷惑可能正在调查其男性工作者的西方公司。这些女性通常作为会议和面试的门面，而男性开发人员则在幕后进行工作。

这是一篇由独立安全研究员于 2026 年 9 月 23 日发布的调查报告，研究人员通过社工手段渗透进一个朝鲜 IT 工人小组的内部 Slack 工作区，完整记录了一名代号为 “Jasmine” 的女性新招募人员在入职前三周内的训练、人设搭建、账号批量生产、以及她首次直面客户 CEO 的面试全过程，并借此揭露了整个小组的运作架构、掩护公司与美国籍 facilitator（协调人 / 中间人）。

黑鸟按照往常一样，仅展示该调查涉及的相关手法，涉及部分情况不过多讨论。

2026年9月，一个自称Jasmine Bell的女人走进了一场视频面试。对面客户是美国一家做身份认证的咨询公司，要招一个懂Okta、Azure和VLAN配置的系统管理员。

Jasmine入职这家“美国公司”MageHire才三周。按她简历上的说法，她在新加坡国立大学读完计算机，先后在四家公司做过基础设施和系统工程师，最近才搬到佛罗里达。

可她其实一行代码都没写过。

她在小组里的正式头衔叫caller，翻成大白话就是“接电话的人”。在这个朝鲜秘密IT工人小组里，caller负责出面参加视频会议和面试，靠一口流利的英语口语撑场面。真正在键盘后面敲命令的，是躲在她背后的开发者。

Jasmine在内部频道自我介绍“一个新来的女dev”

她很快改口：自己是caller，不是developer

这不是临时起意的兼职。McKenzie通过social engineering混进了对方的两个Slack工作区，把Jasmine从入职第一天起的聊天记录全程跟了下来。他看到的是一条已经跑顺的流水线：批量生产假人设、批量注册邮箱和LinkedIn账号、用ChatGPT写好简历和五分钟开场白、再丢给一个叫MockWise的AI面试平台彩排一遍，最后把一个毫无技术背景的女孩推到镜头前。

这个小组用两个Slack工作区把里子和面子分得很开。一个叫mphteam，2023年6月建，里面全是朝鲜人，不放外国合作方。小组自己的任务目标、发薪deadline、培训资料、身份证号都丢在这里。另一个叫MageHire，2022年7月建，是对外的门面，美国facilitator（牵线人）也在里面。小组成员自己把这个工作区叫“我客户的slack”。

| | | |
| — | — | — |
| line-height:normal”> | mphteam | MageHire |
| 用途 | 内部，只有小组成员 | 对外，和美国牵线人共用 |
| 创建时间 | 2023年6月9日 | 2022年7月16日 |
| 历史消息数 | 27002条 | 190583条 |
| 月活跃用户 | 8到15人 | 6到10人 |

数据截至2026年9月15日。

mphteam的#general频道挂着33个成员，按月活跃算下来实际干活的也就8到15个，剩下是休眠或退役账号。频道列表很说明问题：#english（11人）、#resume（6人）、#used-real-infos（7人），还有一个私有频道team4（4人），暗示这个小组历史上至少跑过四个项目组。

成员头像全是卡通图或者AI生成图，头衔自己瞎起，什么Senior Recruiter、SWE、Odd Eye。同一个人还开重复账号，叫Victor的有三个，叫Rakal的有两个。

工作区成员目录

小组组长MP转发过一份成员名单，说是给MageHire老板看过的版本。上面写得很直白：

某国某地：Joy/Joey、Eddie、Timon、Zack

某国某地：Leo、Kei、Lucas、Shiny、Shine

俄罗斯，已不活跃：Victor、Alex

对外履历里，他们的国籍写某国，其中一个叫Kei的写日本，还有两个写俄罗斯。

新人进来由老队员带。Scarlet自己熬了十个月才等到第一次真人面试，她告诉Jasmine“你已经很走运了”。学英语的素材是六本《老友记》剧本，2025年3月有人发到#english频道里。

英语学习材料，《老友记》剧本

入职第一课：你什么都不用会

Jasmine的onboarding全在mphteam的team4频道里完成，带她的人是Dark。这个频道只聊朝鲜内部行动，不碰MageHire那边的事。她接手的培训材料包括：

怎么bid（批量投简历）和养LinkedIn要用的邮箱

人设搭建指南，要求一个人设在所有账号里保持一致

ChatGPT聊天记录，既用来写人设小传，也用来写面试台词

ixBrowser的安装和正确用法，这是个带代理的浏览器，账号都养在里面

SlyNumber怎么注册和配置，用来过手机验证

面试前的准备材料和面试后的复盘

怎么开加密货币钱包

Dark没指望她懂技术，聊天记录里写得很明白：照着指南做，不会就问，批量产账号就行。

Jasmine连自己的身份都不能随便挑，必须从MP给的名单里选。她选中“Jasmine Bell”这个名字之后，被要求把现有Gmail的显示名也改掉，因为那个邮箱前缀正好是jb开头，能顺着接上人设。

从组长给的名单里挑一个假名

人设是怎么批量生产的

Dark给她派的第一个活是做邮箱和LinkedIn资料，给以后投简历用。他承认这活无聊，但讲清了道理：一旦有队员拿到offer，手里得有一堆现成资料背调用，过验证才不慌。直接做美国LinkedIn账号太容易死，所以让她先集中做欧洲身份，养十五到二十天就能看到回报。

第一份任务：做邮箱和LinkedIn

建号规则本身就是写给AI看的prompt

挑一个大城市，找一个真实住宅地址，拿来当人设住址

围绕这个都市圈做四段履历：大公司实习生、创业公司远程软件工程师、中型公司onsite高级工程师、小公司远程高级顾问

不准用美国公司

头衔统一写“Senior Full Stack AI Engineer”

加一所开了IT专业的大学

简历上写的每一项技术，必须在那个职位的时间点之前就已经存在

每条规则都对应一次以前踩过的坑。四段履历拼出一条可信的职业上升线，同一个都市圈保证地址不打架，真实住宅地址显得像真的。最扎眼的是“不准用美国公司”这一条，它直接制造了一段北美雇主在本国根本没法核实的工作经历。

Dark贴出的建号规则

一个邮箱只养一个LinkedIn

人设的主邮箱特别金贵，因为2FA（两步验证）靠它，所有账号的找回也靠它。这种邮箱不会出现在求职申请里，一个邮箱只对应一个LinkedIn，LinkedIn一被封，这个邮箱也跟着报废。

Jasmine在一个Gmail后面挂了二十多个Outlook，直到微软开始强制要手机号为止。SlyNumber就是用来买和养手机号的服务。

一个Gmail后面挂了一串Outlook

所有账号都养在ixBrowser里。这是一个anti-detect browser（反指纹浏览器），每个人设关在独立的浏览器profile里，后面还挂着各自按量计费的代理，这样一个平台封号不会连累其他账号。Dark叮嘱她每天看一眼流量余额，套餐一空，所有profile一起陪葬。同一条消息里他还说，SMS验证服务要充值的话走她邮箱。

这些服务主要用加密货币付款，但也有队员直接用偷来的信用卡和银行信息。工作区里贴过一整套卡信息，账单地址在路易斯安那州。

Dark让她每天检查代理流量

两周下来，Jasmine做出来的东西摊在一张共享表格里：

| | | | |
| — | — | — | — |
| | 备好人设数 | Outlook账号 | LinkedIn账号 |
| 芬兰 | 642 | 5 | 3 |
| 波兰 | 103 | 13 | 11 |
| 荷兰 | 100 | 10 | 0 |
| 英国 | 99 | 10 | 1 |
| 澳大利亚 | 88 | 1 | 0 |
| 爱沙尼亚 | 83 | 14 | 0 |
| 美国 | 61 | 2 | 0 |
| 日本 | 50 | 2 | 0 |
| 八个国家合计 | 1226 | 57 | 15 |
| US_REAL | 3个真实身份 | 无 | 无 |

修改时间集中在9月7日，也就是她第一批profile被验收、然后发现全死的那天。

表格里有三个规律特别扎眼。

所有生日都卡在1995到1998年，算下来28到31岁，正好落在他们身份生命周期文档里写的28到35岁区间。八页国家里没有一个男性身份，每一行都是女人。日本那一页更讲究，给每个名字标了罗马音读音，配一个美式化的姓，比如佐藤结衣变成“Yui, Taylor”，还加了一列“Feeling”，写这个人给人的感觉应该是“优雅、聪慧”“专业、可靠”“经典日式感觉”。

US_REAL那一页

第九页叫US_REAL，里面存着三个真实美国女人的全套资料：出生日期、身份证号、家庭住址、电话、个人邮箱、雇主、职位、银行名、账号和routing number（银行路由号），还有信用分。两个住在佛罗里达，其中一个在杰克逊维尔，名字叫Jasmine，个人邮箱里带个“bell”。

这就是Jasmine Bell这个名字的来历。

9月7日Jasmine交了四个做完的LinkedIn等验收，Dark回来说全被封了。他处理这事的语气跟处理日常差不多：平台封号比他们建号快，唯一的解法就是接着建。这种没完没了重建账号的劲头，小组内部有个专门的词叫“injogogi spirit”。Injogogi（豆皮）是朝鲜饥荒年代用豆渣压出来的菜。

小组内部把这种死磕叫“injogogi spirit”

怎么找一个“sil-In”

同一段对话里Jasmine问，怎么才能弄到一个“sil-In”，大致意思是一个真正的外国牵线人。Dark的回答是，找一个她感兴趣的男人，主动搭话，然后“把他迷得神魂颠倒”。McKenzie之前的报道里把这种心甘情愿帮忙的美国人叫“real guy”。

Dark教她怎么“发展”一个真外国人

MageHire：那间美国“猎头公司”

MageHire工作区2022年7月建，累计19万条消息，月活6到10人。这里存着职位profile、面试排期和人员安置，也是小组成员和美国牵线人唯一的交集点。

它对外的样子和普通staffing agency（人力资源公司）没区别：一个团队负责人、几个高级和staff软件工程师，还有一个头衔写着“CEO-SALES-MARKETING”的CEO。

MageHire工作区成员目录

CEO叫Schmid Payen，住在纽约的美国公民。他在几十个网站上都有职业痕迹，每个网站上的工作经历版本还不一样。工作区里不止一个Payen，还有个叫Rodrigue的，频道里叫@Rio。

2025年7月Payen当了爸爸，他在MageHire工作区里把这事告诉了所有队员，还发了条语音让大家都请假庆祝。

Payen在Slack上的个人资料

每天早上的standup

每天早上开场是check-in。队员把自己当天要陪的客户会议发出来，其他人就知道谁在哪场会上，CEO据此安排。CEO在频道里抱怨说，早上八九点之前收不到这些日程，他就没法接新客户，他想把客户电话全排在周一到周五，其他事包括沟通都甩给团队。团队负责人同意，提议每天8:40站会。

早上的check-in日程

check-in还能看出他们怎么互相补位。有个队员把第二天三个客户的会议全列出来，标注自己上午可能不在，然后把每场会分别交给指定的同事，其中一个还说“如果我开会迟到，我会在xxx频道里发消息”。

把会议分头交给同事代打

这些日程并排看才能感觉出这条线跑得有多深。早上帖子里出现的客户名是好几个并行项目，一个人没空，会议就在几个人之间倒手。

按客户记工时

队员按月做表，记录每个客户的计费工时。下面是一个开发者某几个月的情况：

| | | | | | |
| — | — | — | — | — | — |
| 月份 | 客户A | 客户B | 客户C | 客户D | 合计 |
| 2026年6月 | 5.5 | 4 | 0.5 | 无 | 10 |
| 2026年7月 | 13 | 4 | 3 | 无 | 20 |
| 2026年8月 | 11 | 38 | 4 | 3 | 56 |

Company A：已经嵌进去的那两个

应客户要求，这家公司在报告里化名Company A。它是一家做identity and access management（身份与访问管理，IAM）的咨询公司，向自己的企业客户卖Okta实施、IAM健康检查、托管服务、访问评审，还有Auth0和CIAM（客户身份访问管理）相关的活。

小组里已经有两个人直接嵌进了这个项目。他们的客户邮箱（joy.huang@、kei.haruto@）出现在日历邀请里，和客户员工并列。客户自己的Slack频道里通知：“你们所有人的职位头衔都叫IAM Engineer”，还列了七步教他们装配套的邮件签名。

客户内部通知统一头衔为IAM Engineer

客户从微软体系迁到Okta加Google的时候，这两个队员跟着一起迁。迁移带来的登录问题被他们随手解决了：在工作频道里，MageHire的CEO轮流给每个开发者发一次性验证码，“967506”“先发给joy”“766791”，因为second factor（二次验证）直接落到他自己的手机上。

CEO在Slack里代发一次性验证码

客户还收device attestation（设备认证）表。这份上传到MageHire工作区的表格填的是CEO本人的名字，登记了一台MacBook Pro 16寸，日期是2026年8月6日。

设备认证表上填的是CEO本人

远程桌面偶尔出问题，频道里的对话很能说明状况：“AnyDesk不好使了。”“现在试试。”“刚才网断了。”“麻烦再帮我看一眼电脑。”“拜托了。”“现在试试，WiFi刚才被关了。”

三周就要上真人面试

Company A已经有两个队员在里面干活，它回头又给MageHire派了个新活：招一个system administrator（系统管理员），两个月合同，要覆盖Okta、用NinjaOne做补丁管理、Azure，还有Meraki设备上的VLAN配置。MageHire的CEO回了一句“这块我们覆盖得很强”。需求截图随后被丢进小组工作区，附带一句给Jasmine的指令：“请按上面的要求做一份新简历。”

8月31日客户又问，MageHire有没有做Microsoft的专家，要做tenant-to-tenant迁移（租户到租户迁移）。CEO说新来的管理员在Entra ID、Exchange Online、SharePoint、OneDrive和域名切换上都有实战经验。三天后Jasmine把同时套了两个岗位的简历发给MP审核。

客户提的技术要求清单

简历是这么造的

简历9月3日在FlowCV上做出来。它几乎逐条踩着Dark那六条规则走，每一行要么对应客户提的需求，要么对应team4里那份profile指南：

报告里特别注明，这些被点名的公司本身没有任何问题，客户后来也没法证伪这个人真在任何一家上过班。

做完后发给MP审核的简历

一个AI写好的人生

简历不是那天早上唯一写出来的东西。9月3日team4里分享了一段ChatGPT对话，整个人设的生平都在里面。Prompt用第一人称，只给了一句背景：

在新加坡住过，后来搬去佛罗里达。然后让AI挑一所有计算机专业的名牌大学，编一个家庭住址，再写一段五分钟的面试开场白。AI照做了三回：先出了一版围绕中佛罗里达大学的佛罗里达版本，又按要求改出围绕新加坡国立大学的版本，配了“计算机学士”学位和掐时间的发言要点。

客户拿到的简历上那个NUS学位、“从新加坡搬到佛罗里达”那段用来解释为什么一个人所有工作都在新加坡却住在杰克逊维尔的叙事、还有她面试开场那段自我介绍，全来自这一次聊天。后来Company A想核实的那个学位，就是AI随口挑的。

面试前Jasmine拿MockWise彩排。这是个AI面试平台，扮演面试官并给回答打分。也就是说，她为这场真人客户会议做的全部准备，就是用一个AI编出的生平，对着另一个AI练了几遍。

ChatGPT生成的面试开场白脚本

镜头后面坐了三个人

MageHire的CEO让Jasmine把面试约给“Company A的CEO”，时间定中午或下午一点，还特意说不会让她一个人上，“会有三个人在幕后帮你、盯着你，保证一切顺利”。

CEO安排三个人在幕后盯场

面试时间定了之后，团队还检查了她的设备。MP让Dark测她的视频，回来报能不能打。Jasmine确认摄像头和音频都试过，没问题。

面试前检查摄像头

当天就被拒了

客户当天就给MageHire回了话，通篇是抱怨和疑虑。简历和需求贴合得太精确，看起来不像合格，倒像按方抓药。候选人答不上简历上写的那些东西，客户正确地把这归因于她用过AI面试工具。这下供应商本身的审查也被打上问号，已经派驻的那两个开发者被点名提出来，其中一个之前差点让客户丢了一段合作关系。

客户当天发来的拒绝意见

Company A随后开始查这个人到底存不存在。他们核了工作经历、大学学位和LinkedIn，三条线什么都没查到。

客户私下找CEO：三条线都查无此人

余波

拒绝消息没停在Jasmine一个人头上。它点了已经派驻的两个开发者的名，质疑他们的Auth0经验，还告诉供应商不一定还需要更多人手。

小组内部没人反驳这条Auth0指控。被追问一场缺席会议时，其中一个在频道里说“我压根没有Auth0经验，说出来有点好笑”，而同一个频道里大家正在让MageHire的CEO给团队资质一个说法。

他自己承认完全没有Auth0经验

善后

一小时之内，MageHire的CEO给客户发了解释：Jasmine是一个已经off-board（离职）的前外包人员，4月份给MageHire做过一个项目，因为那点旧关系又被联系上，她向CEO保证过自己有Microsoft和系统管理员背景。CEO承认自己跳过了新背景调查，说她已经被永久移出网络，以后任何候选人在见客户之前，都要他本人做一次实时、录像的技术面试。

他同时还替已经派驻的两个开发者打包票，说“百分之百有信心”能吃下新增的工作量，还把其中一个人的LinkedIn当证据发给客户。而就在一小时前，这个人在小组工作区里写：“这个角色要的经验太多，我不确定我能不能百分之百扛下来。”

CEO给客户的解释信

Company A没有终止合作，接受了这套解释，把Auth0的窟窿归为“我们之间沟通出了问题”，然后开始谈下一段工作范围，条件是那两个已经派驻的队员从头跟到尾。

客户接受解释，继续谈新工作

为什么小组拼了命也要保住这段刚刚被自己砸坏的关系，工作区里写得很明白。他们和Company A的合作还在扩大，队员和CEO都认可这里面的成长空间：“我们跟Company A现在和未来都有一大堆钱可以吃，别丢了。”

“一大堆钱可以吃”

事后mphteam里Jasmine主动认错，感谢组长给机会，她自己也知道这种机会难得。MP没接这个道歉，说的是“我们本来就该准备得更充分”。是Scarlet过来问她“你还好吗”，安慰她比自己当年运气好，因为Scarlet自己熬了十个月，到8月才第一次跟真人面试。

Jasmine主动背锅

组长把这件事总结成一句话：“我们一直都是在经验不够的情况下开干。”把没准备好的人直接送进面试，对这个小组来说不是失误，这就是他们的商业模式。

“我们总是在经验不够时就开始”

作者亲自出马面试Jasmine

风波刚过，McKenzie用一家虚构公司的名义找上Jasmine，说要给她一个面试机会，还故意点了几个她以前接触过的人名拉近距离。这招管用，面试很快约成。

他问的问题故意偏私人，不碰技术，想看Jasmine怎么应对那些她没背过的题。翻她聊天记录时他注意到，Jasmine正在开发和分享她那个假名的详细背景，而那些背景是当天早上用ChatGPT做出来的。

视频里她念着那段开场白。被问到愿不愿意做混合办公而不是纯远程时，她反复说自己性格内向，只想接远程岗位。被问到职业生涯里最难适应的事，她的答案还是那段从新加坡搬到佛罗里达的故事，再绕回内向、只想远程。被问到业余时间做什么，她提到读英文小说，举了《暮光之城》和《哈利波特》。

整场面试听下来，Jasmine的回答大多不成句，几乎每个问题都要磕巴一下，思考停顿长得远超正常对话。麦克风里偶尔漏出背景声，那种人声和走动的动静，和“好几个人挤在同一个房间里”的描述对得上。

面试结束没多久，Dark把“通话录音数据”丢进team4，四段录音，时长分别是5分钟、7秒、5分钟和56秒。视频旁边贴着文字面板，明显是实时转写和笔记。MP问她刚才跟谁聊，Jasmine说一个男的，她猜是那家公司的CEO。

面试录音被归档进team4，旁边是实时转写

她那一侧的录制视角把这场面试的运作方式露得很清楚：视频旁边挂着实时转写，手边放着写好人设背景和工作经历的备忘本，旁边还有同事帮忙递话。

整个调查里最值得说的一点，是这个小组系统性地用女性成员。关于朝鲜IT worker的公开报告里很少出现女性，而这个小组一点不避讳：女人被安插成caller，送上镜头去面试和见客户，屏幕后面坐着做技术的开发者。

从Jasmine入职到走上镜头，三周时间里她拿到的不是培训，是一整套工具：写成AI prompt的profile规则、配了按量代理的anti-detect browser、用来收验证码的VoIP服务、以及批量产邮箱和LinkedIn账号的配额。接到第一个任务没几天，简历已经对着真实客户需求在FlowCV里生成出来，生平和五分钟开场白在ChatGPT里写完，开场白拿MockWise彩排，然后她就坐到镜头前，对面是真实客户的CEO，屏幕背后三个同事听着。Scarlet等这样一通电话等了十个月。Jasmine只等了三周。

而这一切能递到客户面前，靠的是站在最前面的那个美国牵线人。MageHire不是普通猎头公司，它就是这个小组的门面。CEO握着客户关系，替客户签设备认证表，在假候选人被拆穿之后写解释，把账户保住，还顺势多卖了一段活。McKenzie的判断是高置信度：MageHire是替这个小组服务的美国幌子公司，它的CEO是知情的facilitator，不是被蒙在鼓里的供应商。

附录：几个行话

用到的工具和服务

下面这些都是合法商用服务，出现在这里只说明被这个小组用过，不代表厂商有问题。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑鸟黑鸟
黑鸟《朝鲜IT工人团伙开始利用女性进行活动》

Tags: 威胁情报安全运营数据安全漏洞预警社会工程学

你可能错过

别再把告警处理时长当MTDR！

1.2 万星标的 AI 红队神器，门没锁

产业协同集聚新发现：供应链与技能关联的“超加性”，重新理解企业扎堆

对一款 Linux 木马开源提示词的测评