Lazarus Group to jedna z najbardziej znanych północnokoreańskich grup cyberprzestępczych i jednocześnie przykład, jak cienka bywa granica między szpiegostwem, sabotażem i kradzieżą pieniędzy. W tym tekście wyjaśniam, kim są sprawcy, jak działają, jakie techniki wykorzystują i dlaczego ich kampanie są groźne także dla firm w Polsce. Pokazuję też, na jakie sygnały zwracać uwagę i które zabezpieczenia naprawdę robią różnicę.
Najważniejsze fakty o tej grupie
- To nie jest jeden stały zespół, ale parasolowa nazwa dla kilku północnokoreańskich operatorów powiązanych z państwowym aparatem cyber.
- Ich działania obejmują szpiegostwo, sabotaż, kradzież kryptowalut i kampanie nastawione na zdobycie dostępu przez socjotechnikę.
- Najczęstsze wejście to spearphishing, fałszywe oferty pracy, złośliwe instalatory i ataki na łańcuch dostaw.
- W 2025 roku FBI przypisało Korei Północnej kradzież ok. 1,5 mld USD z Bybit, a Chainalysis oszacowało, że północnokoreańscy aktorzy ukradli co najmniej 2,02 mld USD w kryptowalutach.
- Najlepsza obrona to MFA, ograniczenie uprawnień, twarda kontrola poczty i dostawców oraz sensowny plan reakcji na incydent.
Kim są ci operatorzy i dlaczego nazwa bywa myląca
W praktyce mówimy o aktorze państwowym, a nie o zwykłej grupie hakerskiej działającej dla szybkiego zysku. Publiczne raporty przypisują tę aktywność Koreańskiej Republice Ludowo-Demokratycznej i powiązaniom z Reconnaissance General Bureau, czyli państwowym wywiadem wojskowym. MITRE opisuje tę rodzinę aktywności jako działającą co najmniej od 2009 roku, a jednocześnie podkreśla, że to często parasolowa etykieta dla kilku zespołów, które współdzielą infrastrukturę, malware i techniki.
To ważne rozróżnienie, bo gdy czytam raporty o tej rodzinie, nie zakładam automatycznie, że za każdym razem chodzi o identyczny skład osobowy. W obiegu pojawiają się też aliasy takie jak APT38, ZINC czy HIDDEN COBRA, a publiczne nazwy zależą od dostawcy analiz. Dla czytelnika oznacza to jedno: atrybucja jest tu często probabilistyczna, a nie absolutna, ale sam wzorzec działania pozostaje zaskakująco spójny.
Jeśli miałbym sprowadzić ich reputację do jednego zdania, powiedziałbym tak: to przeciwnik długodystansowy, cierpliwy i elastyczny, który potrafi przejść od szpiegostwa do finansowej grabieży bez zmiany podstawowej filozofii działania. To prowadzi do pytania, po co właściwie wybiera tak różne cele.
Jakie cele wybierają najczęściej
Najczęściej chodzi o trzy rzeczy: dostęp do informacji, dostęp do pieniędzy i możliwość wywarcia presji na ofiarę. CISA wskazuje, że podobne kampanie koncentrują się na sektorach obronnym, lotniczym, nuklearnym i inżynieryjnym, czyli tam, gdzie wiedza i infrastruktura mają strategiczną wartość. W praktyce te cele nie wykluczają się nawzajem. Jeden atak może zacząć się od szpiegostwa, a skończyć kradzieżą środków lub sabotażem systemów.
| Cel ataku | Dlaczego jest atrakcyjny | Co z tego zwykle wynika |
|---|---|---|
| Szpiegostwo państwowe i przemysłowe | Dostęp do planów, badań, kodu źródłowego i danych strategicznych | Ryzyko długiej obecności w sieci i cichego wycieku informacji |
| Kryptowaluty i infrastruktura finansowa | Szybka monetyzacja i trudniejsze odzyskanie środków | Ataki na giełdy, mosty blockchain i portfele operacyjne |
| Sabotaż i presja operacyjna | Paraliż zamiast kradzieży, często w połączeniu z propagandą lub wymuszeniem | Wiper, przestoje, utrata zaufania do usług |
| Dostęp przez ludzi | Socjotechnika bywa tańsza i skuteczniejsza niż exploit na zero-day | Fałszywe rekrutacje, wiadomości na LinkedIn, podmienione instalatory |
Warto zwrócić uwagę na model zdalnego zatrudnienia i „fałszywych pracowników IT”. Amerykański Departament Sprawiedliwości opisywał sieć, która zdobyła zatrudnienie w ponad 100 firmach w USA, co dobrze pokazuje skalę problemu. Ja czytam to tak: atak zaczyna się już na etapie HR i weryfikacji tożsamości, a nie dopiero w momencie wejścia do sieci.
Według Chainalysis północnokoreańscy aktorzy ukradli w 2025 roku co najmniej 2,02 mld USD w kryptowalutach, a FBI przypisało Korei Północnej kradzież około 1,5 mld USD z Bybit. To nie są liczby z marginesu branży, tylko dowód, że ta klasa przeciwnika ma realny wpływ na globalny rynek. Taki profil celów wyjaśnia, dlaczego ich kampanie są zwykle wieloetapowe, a nie jednorazowe.
Jak wygląda typowy łańcuch ataku tej ekipy
Gdy analizuję takie kampanie, widzę powtarzalny schemat: najpierw wejście, potem utrzymanie dostępu, a na końcu monetyzacja albo destrukcja. To nie jest atak oparty na jednym genialnym exploicie, tylko na cierpliwości, wiarygodnej przynęcie i dobrej organizacji. Właśnie dlatego tak łatwo zlekceważyć pierwszy sygnał ostrzegawczy.
Przynęta i wejście
Najczęściej zaczyna się od spearphishingu, czyli precyzyjnie ukierunkowanego phishingu. Ofiara dostaje wiadomość z załącznikiem, linkiem, ofertą pracy albo pozornie legalnym instalatorem. MITRE opisuje też kampanie prowadzone przez LinkedIn, Twittera, fałszywe oferty zatrudnienia i złośliwe dokumenty Microsoft Word. W tle pojawiają się również kampanie supply chain, czyli podmiana lub modyfikacja legalnego oprogramowania tak, aby użytkownik pobrał je z zaufanego źródła, ale już z ukrytym ładunkiem.
Utrzymanie dostępu
Po wejściu na hosta przeciwnik zwykle nie rzuca się od razu na największy cel. Najpierw sprawdza, jakie ma uprawnienia, jakie procesy działają i gdzie może się ukryć. W praktyce pojawiają się użycie valid accounts, czyli prawdziwych przejętych kont, wewnętrzny spearphishing z już zainfekowanego środowiska, a także techniki unikania sandboxów i użycie podpisów cyfrowych, żeby złośliwy plik wyglądał wiarygodnie. Gdy trzeba sterować maszynami zdalnie, używany jest serwer C2, czyli dowodzenia i kontroli.
Przeczytaj również: Atak brut force - jak się bronić? Skuteczna ochrona kont!
Monetyzacja albo sabotaż
Na końcu kampanii cel bywa podwójny: wyciek danych albo szybka zamiana dostępu na pieniądze. W przypadku kryptowalut ślad prowadzi do tysięcy adresów na wielu łańcuchach i do prób zacierania pochodzenia środków. W przypadku ataków destrukcyjnych pojawia się wiper, czyli malware kasujący dane zamiast je szyfrować. Dla ofiary efekt jest podobny: przestój, koszt odzyskiwania i utrata zaufania.
Jeśli ktoś oczekuje, że taki aktor zdradzi się jednym topornym mailem, zwykle się myli. To zespół, który potrafi łączyć socjotechnikę, technikę i operacyjną dyscyplinę, więc pojedyncza kontrola rzadko wystarcza. To prowadzi do pytania najważniejszego z praktycznego punktu widzenia: co to oznacza dla polskich firm i użytkowników.
Co to oznacza dla firm i użytkowników w Polsce
Polska nie jest od tej klasy zagrożeń odcięta. Najbardziej narażone są organizacje, które mają dostęp do pieniędzy, kodu, danych wrażliwych albo rozproszonych łańcuchów dostaw: software house'y, fintechy, firmy krypto, integratorzy IT, podmioty przemysłowe i instytucje pracujące z zewnętrznymi dostawcami. Z perspektywy napastnika liczy się nie kraj na mapie, tylko wartość wejścia.
| Sytuacja | Gdzie leży ryzyko | Na co patrzeć od razu |
|---|---|---|
| Rekrutacja zdalna | Fałszywe profile, nieprawdziwe portfolio, linki do „zadań testowych” | Weryfikacja tożsamości, osobny proces dla kandydatów, brak pracy na produkcji bez kontroli |
| Software house lub dostawca IT | Dostęp do repozytoriów, CI/CD i kont uprzywilejowanych | MFA, segmentacja, kontrola sekretów, przegląd uprawnień |
| Fintech lub firma krypto | Presja na szybkie decyzje i operacje na aktywach | Wieloosobowa akceptacja, allowlisty adresów, separacja portfeli |
| Przemysł i badania | Wartość dokumentacji, własności intelektualnej i ciągłości działania | Monitoring anomalii, backup offline, kontrola dostępu do plików i nośników |
Najczęstszy błąd, jaki widzę, to przekonanie, że skoro organizacja nie jest gigantyczną korporacją albo bankiem, to przeciwnik nie będzie nią zainteresowany. To fałszywe poczucie bezpieczeństwa. Dla takiej grupy równie cenne bywa konto administratora, dostęp do repozytorium, podpisany instalator, jak i pojedynczy portfel operacyjny. Nawet użytkownik domowy może stać się punktem wejścia, jeśli korzysta z firmowych zasobów na prywatnym sprzęcie.
Wniosek jest prosty: trzeba myśleć o ryzyku warstwowo, a nie tylko przez pryzmat jednego programu ochronnego. To dobrze prowadzi do pytania, jakie zabezpieczenia faktycznie podnoszą koszt ataku.
Jak się przed tym bronić w praktyce
Gdybym miał zacząć od minimum, nie inwestowałbym w kolejne modne hasło, tylko w podstawy, które realnie psują plan napastnika. W takich kampaniach największą różnicę robią identyfikacja, higiena poczty, kontrola dostawców i sensowna reakcja na incydent. Sam antywirus to za mało, bo zbyt często spóźnia się o cały łańcuch zdarzeń.
| Priorytet | Co wdrożyć | Dlaczego to działa |
|---|---|---|
| Tożsamość | MFA, najlepiej z kluczami FIDO2; osobne konta administracyjne; minimum uprawnień | Ogranicza przejęcie kont i ruch boczny w sieci |
| Poczta i przeglądarka | Filtrowanie, sandbox, blokada makr, SPF/DKIM/DMARC | Uderza w najczęstszy punkt wejścia: wiadomość i załącznik |
| Stacje robocze | Aktualizacje, allowlisting aplikacji, EDR, ograniczenie skryptów | Zmniejsza skutki złośliwego pliku lub pobrania |
| Dostawcy i instalatory | Weryfikacja podpisów, hashy i źródła pobrania | Utrudnia atak na łańcuch dostaw |
| Finanse i kryptowaluty | Wieloosobowa akceptacja, allowlisty adresów, cold storage | Zmniejsza szanse na błyskawiczną kradzież środków |
| Reakcja | Segmentacja, kopie offline, playbook incydentu, ćwiczenia | Skraca czas wykrycia i ogranicza skalę szkód |
W praktyce najbardziej opłaca się zacząć od trzech rzeczy: odblokować tylko to, co konieczne, mocno chronić konta uprzywilejowane i przestać ufać każdemu „pilnemu” plikowi od rzekomego partnera lub rekrutera. Jeśli ktoś prosi o obejście procesu, dodatkowe uprawnienia albo jednorazowe zatwierdzenie poza standardem, traktuję to jako sygnał ostrzegawczy, nie drobiazg. To właśnie na takich pozornie małych lukach opierają się kampanie tej klasy.
Jeśli prowadzisz firmę, zacznij od przeglądu rekrutacji zewnętrznej, praw administratorów i procedury autoryzacji wypłat. To trzy miejsca, w których przeciwnik najczęściej znajduje najsłabszy punkt, a ich uszczelnienie zwykle daje szybszy efekt niż kolejny zakup narzędzia.
Co warto zapamiętać, gdy oceniasz ryzyko w 2026 roku
Najuczciwszy skrót jest taki: to aktor państwowy, ale bardzo pragmatyczny. Nie działa wyłącznie po to, by szpiegować, i nie działa wyłącznie po to, by kraść kryptowaluty. W zależności od celu łączy te motywacje, a później dobiera do nich odpowiedni zestaw technik.
Największy błąd po stronie obrony to zakładanie, że „u nas to się nie wydarzy”, bo nie jesteśmy celem strategicznym. W rzeczywistości wystarczy jedna zła decyzja przy mailu, jeden słabo chroniony dostawca albo jedno konto zbyt szeroko otwarte, żeby otworzyć drogę do większego incydentu.
Jeśli miałbym zostawić jedną praktyczną rekomendację, powiedziałbym tak: zacznij od ludzi, tożsamości i procesu zatwierdzania, dopiero potem dokładaj kolejne narzędzia. W atakach tej klasy technologia pomaga, ale to porządek operacyjny zwykle decyduje o tym, czy incydent stanie się kosztowną wpadką, czy pełnoskalowym kryzysem.
