La scena si ripete quotidianamente nelle aziende tecnologiche di tutto il mondo: un candidato brilla durante il colloquio tecnico a distanza, risolve le sfide di programmazione all’istante e presenta un curriculum impeccabile su GitHub.

L’ufficio risorse umane formalizza l’assunzione in poche ore, spedisce il laptop aziendale all’indirizzo indicato e fornisce le credenziali di accesso ai repository del codice sorgente aziendale.

Mesi dopo, un’indagine federale o un controllo di rete svela i fatti: lo sviluppatore fenomenale non era chi diceva di essere. Era una risorsa dislocata all’estero, legata ad apparati statali ostili come la Corea del Nord, che agiva attraverso un’identità rubata e una cosiddetta “laptop farm“, un’infrastruttura di computer fisici situati in abitazioni private in Occidente, gestita da complici locali per simulare una presenza domestica che si connette da remoto.

I rischi dell’onboarding remoto

Il fenomeno, ampiamente documentato dalle incriminazioni dei dipartimenti di giustizia internazionali e dalle allerte dei servizi di intelligence, ha messo in luce un volume di ingaggi da remoto eseguiti da lavoratori IT nordcoreani all’interno di aziende private globali.

L’obiettivo delle attività non è solo finanziario, con l’incasso di stipendi cospicui dirottati per aggirare le sanzioni internazionali, ma include anche l’esfiltrazione sistematica di proprietà intellettuale e la creazione di accessi nascosti per future intrusioni nella rete aziendale.

Dal punto di vista della valutazione del rischio, la domanda fondamentale è come sia possibile che organizzazioni dotate di sofisticati sistemi di sicurezza informatica cadano in inganni ideati in questo modo. La risposta risiede nei limiti del modello di selezione e di onboarding digitale.

L’evoluzione del lavoro da remoto ha smantellato il contatto fisico, sostituendolo con una sequenza di artefatti digitali: un documento d’identità scansionato, una breve chiamata in videoconferenza, un profilo social e un codice di verifica.

La psicologia cognitiva analizza questo fenomeno attraverso il bias della fluidità percepita e l’euristica della rappresentatività.

Se un candidato parla un linguaggio tecnico appropriato, risolve un problema di codice complesso e presenta un documento apparentemente valido, il cervello umano della risorsa HR o del tecnico selezionatore attiva un’associazione automatica: «ragiona come uno sviluppatore qualificato, quindi è un lavoratore legittimo». Il Sistema 1 (il pensiero rapido di Daniel Kahneman) archivia la pratica come sicura e disattiva la vigilanza analitica del Sistema 2, necessario per dubitare della genuinità della presenza fisica dall’altro capo dello schermo.

L’attenzione si concentra sulla competenza esecutiva, lasciando scoperto il controllo sull’identità autentica del soggetto.

Come funziona la meccanica della manipolazione

Per osservare la meccanica della manipolazione, basta descrivere un caso realmente accaduto.

Una startup software ad alta crescita deve assumere rapidamente dieci sviluppatori senior per un progetto cloud urgente. E gli sviluppatori senior con determinati skill non si trovano sugli alberi.

Un candidato invia un profilo con referenze verificate tramite piattaforme di lavoro freelance. Svolge il colloquio con la telecamera impostata a bassa risoluzione, giustificando la scarsa qualità visiva con problemi di connettività locale. Superata la prova tecnica, la società spedisce il computer aziendale a un indirizzo postale in una periferia metropolitana.

In verità, quell’indirizzo ospita una laptop farm casalinga, dove un complice riceve il laptop, lo collega alla rete locale e abilita un software di controllo da remoto.

Il vero sviluppatore risiede a Pyongyang o presso centri di intermediazione esteri. Collega la propria sessione al computer aziendale e inizia a lavorare, prelevando regolarmente lo stipendio e scaricando i sorgenti dell’applicazione verso server non tracciati.

Il sistema di monitoraggio dell’azienda registra la connessione come proveniente dall’IP locale del computer aziendale, considerandola del tutto legittima.

La transizione allo smart working ha creato un punto cieco strutturale

Questo cortocircuito dimostra come la transizione allo smart working abbia creato un punto cieco strutturale. La sicurezza è stata progettata per proteggere le comunicazioni tra il dispositivo e il server, ma ha completamente ignorato la verifica dell’essere umano seduto davanti alla tastiera.

Esigere che il personale delle risorse umane riconosca un’identità sintetica o smascheri un intermediario durante un colloquio online significa attribuire compiti di polizia scientifica a figure prive delle competenze necessarie.

Per il CISO, affrontare il rischio legato all’infiltrazione nelle assunzioni da remoto richiede un cambio di passo nella governance delle risorse umane e nell’architettura dei controlli tecnici:

• Validazione dell’identità biometrica e fisica: imporre la verifica dell’identità tramite fornitori certificati che utilizzino controlli biometrici in tempo reale (liveness detection) e richiedere la presentazione di persona presso sedi o hub convenzionati per il ritiro dei dispositivi aziendali.
• Analisi della telemetria hardware e di rete: configurare i sistemi Endpoint Detection and Response (EDR) per identificare la presenza di software di controllo da remoto non autorizzati (come KVM over IP hardware, AnyDesk, TeamViewer) e tracciare le discrepanze tra la posizione dichiarata dal dipendente e la latenza dei pacchetti di rete.
• Segmentazione dei repository e principi di minimo privilegio: limitare l’accesso al codice sorgente al solo perimetro strettamente necessario alla mansione, introducendo la revisione obbligatoria del codice (code review) per evitare l’inserimento di backdoor nelle componenti software di produzione.

L’inganno informale nell’onboarding remoto

La certezza di aver protetto l’infrastruttura dagli accessi esterni si rivela inutile se si consegnano le chiavi di casa a uno sconosciuto durante la fase di selezione del personale.

Per un’organizzazione distribuita, questo si traduce in un audit concreto: verificare quali fornitori di background check e liveness detection sono già in uso nel processo di onboarding, stabilire un punto di ritiro fisico o un hub convenzionato per i dispositivi aziendali destinati ai nuovi assunti da remoto, e includere la telemetria hardware degli endpoint tra gli indicatori monitorati fin dal primo giorno di accesso alla rete.

La lente qui è l’inganno informale nell’onboarding remoto: il cybercognitivismo spiega perché un profilo credibile e cordiale disattiva la verifica proprio nel punto in cui un’identità andrebbe dimostrata, non presunta[1].

La riflessione finale è che tu assumi personale remoto, ma – a quanto pare – Pyongyang no.

[1] Il Manuale CISO Security Manager (per la preparazione all’esame CISSP e la pratica quotidiana) definisce procedure di verifica dell’identità per il reclutamento e l’onboarding a distanza, in cui il rischio entra dalla porta principale tramite un contratto regolare.