Vlaamse ondernemer ontmaskert Noord-Koreaanse spionageoperatie: "Ze gebruiken deepfakes om bij techbedrijven binnen te dringen"

De Vlaamse ondernemer Simon Wijckmans zoekt volop mensen voor zijn bedrijf C/side, dat hij op dit moment aan het uitbouwen is in het Amerikaanse San Francisco. Een tijdje geleden al zet hij vacatures online en meteen stromen de sollicitaties binnen. Omdat werken in die sector perfect van thuis uit kan, gebeuren de sollicitatiegesprekken ook online.

Simon heeft een eerste gesprek met een op papier geschikte kandidaat. Zijn cv oogt perfect en zijn naam lijkt rechtstreeks uit een Amerikaanse serie te komen: 'Tommy Smith'. Tommy kan ook indrukwekkende testresultaten voorleggen. 

Maar als Simon de videocall met Tommy start, voelt er iets fundamenteel fout aan. “Zijn Engels was gebroken, zijn antwoorden klonken alsof hij een script voorlas,” zegt Wijckmans. “En toen ik vroeg naar het Border Gateway Protocol, begon hij over fysieke grenscontroles. Toen wist ik het zeker: dit is nep.”

Die vraag is een testvraag die Simon wel vaker stelt aan sollicitanten. “Het Border Gateway Protocol is een fundamenteel internetprotocol dat bepaalt hoe data van punt A naar punt B geraken”, legt Simon uit. “Het zoekt automatisch de snelste en meest efficiënte route over het internet. Als iemand dan begint, zoals Tommy, over douaniers aan een landsgrens, weet je: dit klopt niet.” Kort daarna viel de hoofdtelefoon van de kandidaat zogezegd uit — een duidelijk teken van paniek.

Wat Simon dan nog niet weet, is dat hij aan de vooravond staat van het blootleggen van een geavanceerde cyberoperatie met wortels in Noord-Korea. Want hij zal nog verschillende kandidaten voor de job krijgen, die op dezelfde bijzondere manier spreken.

De werkwijze van de Noord-Koreaanse agenten is even eenvoudig als efficiënt. Ze gebruiken AI om geloofwaardige LinkedIn-profielen en cv’s te maken, gericht op vacatures bij Westerse technologiebedrijven. 

De testen die Simon hen op voorhand ook al stuurt, zijn uitzonderlijk goed uitgevoerd — "altijd boven de 90 procent score", vertelt Wijckmans. Maar daarna volgt dus een videogesprek waarin alles fout loopt. “Soms zat iemand in een callcenter, met een slechte verbinding en een greenscreen op de achtergrond. Dat groene scherm wordt gebruikt om achtergronden op te projecteren. Dat viel op, maar de grootste shock kwam toen ze zelfs onze identiteitsverificatie konden omzeilen.”

Die achtergrondcheck, waarvoor Simon een ander gespecialiseerd bedrijf inschakelt, wordt omzeild. De agenten laten een spoor na bij andere bedrijven waardoor ze echt lijken. Er wordt dus op voorhand al ingespeeld op mogelijke achtergrondonderzoeken.

Op een gegeven moment worden tijdens één van de videocalls valse identiteitskaarten geprojecteerd op een groen vlak op een plastic zo groot als aan bankkaart. “Ze hielden letterlijk een groene kaart voor de camera, en met software werd daar een Amerikaanse identiteitskaart op geprojecteerd. Deepfakes, nepbeelden gemaakt met AI. Slim genoeg om onze tools te foppen,” vertelt Wijckmans. Als de agenten meerdere calls na elkaar doen, kunnen ze dus elke keer weer een nieuwe identiteit projecteren.

In sommige gevallen gingen de spionnen nog verder. “Ik heb zelf deepfakes gezien waarin gezichten en stemmen aangepast werden”, zegt hij. “Soms sturen ze zelfs lookalikes naar fysieke ID-verificaties. Die mensen weten waarschijnlijk niet eens waarvoor ze worden ingezet.”

Al snel blijkt het een grootschalige operatie. “Ik begon te tellen: 5 mensen die ik sprak, allemaal met dezelfde aanpak, allemaal met overtuigende papieren. Dan begin je je af te vragen: zijn het er 100? 1.000?”

Samen met een journalist van het Amerikaanse technologiemagazineWired  duikt hij dieper in de zaak. Ze ontdekken sporen naar Dandong, een stad aan de Chinese grens met Noord-Korea. “We konden specifieke individuen linken aan die locatie. De operatie is professioneel opgezet, met ontwikkelaars die tests schrijven en infrastructuur beheren.”

De motivatie lijkt in eerste instantie financieel. “Best case scenario is dat iemand gewoon zo lang mogelijk een Amerikaans salaris probeert te trekken”, legt Wijckmans uit. Maar het gaat verder. Toegang tot gevoelige data, sleutels van betaalplatformen, of zelfs bedrijfsbankrekeningen — het staat allemaal op het spel. “Sommige gevallen gaan om miljoenen dollars. Crypto-bedrijven zijn er al door leeggehaald.”

Dit gebeurt niet alleen in de VS. Ook bedrijven in Polen, Frankrijk en het VK zijn doelwit geweest. En in Europa zwijgen veel kmo’s over incidenten uit angst voor reputatieschade. “De meeste willen dat niet publiek maken”, zegt Wijckmans. “Maar zodra er data gelekt zijn, ben je wettelijk verplicht om het te melden. Alleen: wie gaat zoiets zeggen als je pakweg een kleine bakkerij of een kleine kmo runt?”

De lessen zijn helder. “Als je op afstand aanwerft, ontmoet die persoon dan toch ook in het echt. Bel vorige werkgevers, check referenties, doe backgroundchecks. En gebruik je gezond verstand: als het niet koosjer aanvoelt, is het dat meestal ook niet,” zegt Wijckmans nog.

Daarnaast raadt hij aan om druk op managers om snel aan te werven, af te bouwen. “Dat creëert druk. Dan glipt een frauduleuze kandidaat makkelijker binnen. Niemand wint daarbij.”

En, stel onverwachte vragen, pols naar een mening over in dit geval de Noord-Koreaanse leider Kim Jong-un. Het gesprek wordt dan vaak afgebroken.

Wijckmans, pas 27, richtte C/Side op met een duidelijke missie: internetbrowsers veiliger maken. “Ik wil dat mijn grootvader veilig op het internet kan. Zonder zorgen om gestolen bankgegevens." Met 17 mensen bouwt hij aan een veiliger internet, stap voor stap. “Ik wil impact hebben. Als we één procent van het internet veiliger kunnen maken, ben ik al tevreden.”