Werken op afstand biedt organi­sa­ties flexi­bi­li­teit, maar vormt inmid­dels ook een toegangs­poort voor georga­ni­seerde cyber­fraude door met name Noord-Koreaanse netwerken. Met een geraf­fi­neerde combi­natie van synthe­ti­sche identi­teiten, deepfake-inter­views en gestolen documenten dringen ze door tot de kern van bedrijfs­sys­temen. Risico’s hiervan zijn onder andere datadief­stal, sabotage, spionage, finan­ciële schade en langdu­rige compro­mit­te­ring van interne netwerken. Dit blijkt uit de Security Navigator 2026 van Orange Cyber­de­fense.

Remote-worker­fraude begon als een manier voor Noord-Korea om inter­na­ti­o­nale sancties te omzeilen en via IT-salarissen buiten­landse valuta voor de staat te genereren. Inmid­dels is dit uitge­groeid tot een uiterst winst­ge­vende industrie die naar schat­ting jaarlijks tussen de 300 en 600 miljoen dollar opbrengt.

De groei werd versneld doordat werken op afstand de norm werd, fysieke verifi­catie verdween en recruit­ment vaker wordt uitbe­steed. Tegelijk leidt de druk om snel te werven tot minder grondige checks. Boven­dien maakt genera­tieve AI synthe­ti­sche identi­teiten en inter­views geloof­waar­diger dan ooit. Eenmaal binnen hebben de nieuwe ‘medewer­kers’ toegang tot intel­lec­tueel eigendom, broncode en interne systemen, met grote risico’s op datadief­stal of ‘achter­deur­tjes’ voor toekom­stige spionage en aanvallen.

Netwerken opereren via geraffineerde schaduwinfrastructuur

De Noord-Koreaanse netwerken opereren veelal vanuit China, Rusland en Zuidoost-Azië. Daar worden zij onder­steund door een schadu­w­in­fra­struc­tuur die gestolen of vervalste documenten levert, synthe­ti­sche persona’s opbouwt en techni­sche middelen aanbiedt om de gecre­ëerde identi­teit overeind te houden. Deepfake-inter­views, onder­steund door AI-gestuurde stem- en video­ma­ni­pu­latie, maken het voor hr-teams lastig om de fraude te herkennen.

‘Laptop farms’ spelen bij deze vorm van fraude een belang­rijke rol. Fraudeurs versturen bedrijf­s­lap­tops fysiek naar lokale medeplich­tigen in het land waar de solli­ci­tant zegt te wonen. Deze ‘facili­ta­tors’ beheren vanuit hun eigen woning of kleine kantoor­om­ge­ving tientallen laptops die continu verbonden zijn met lokale inter­net­ver­bin­dingen en stroom. Hierdoor lijkt het voor de werkgever alsof de werknemer vanuit de juiste regio inlogt, terwijl de feite­lijke gebruiker zich duizenden kilome­ters verderop bevindt. Betalingen verlopen vervol­gens via crypto­wal­lets en schijn­be­drijven, waardoor de geldstromen naar Noord-Korea onzicht­baar blijven.

De impact van een enkele farm is enorm; zo hielp één facili­tator Noord-Koreaanse werkne­mers aan banen bij 309 verschil­lende bedrijven. En dan te bedenken dat een enkele infil­trant in staat is om gemid­deld 300.000 dollar per jaar te genereren voor de staat. De FBI benadrukt dan ook de ernst van deze infil­tra­ties. De Ameri­kaanse opspo­rings- en inlich­tin­gen­dienst loofde een beloning van 5 miljoen dollar uit voor infor­matie die leidt tot de versto­ring van deze netwerken.

Remote-workerfraude aanpakken: 5 maatregelen

Orange Cyber­de­fense adviseert vijf maatre­gelen om de risico’s van remote-worker­fraude struc­tu­reel te verkleinen:

1. Versterk identi­teits­ve­ri­fi­catie vóór, tijdens en na onboar­ding – Remote kandi­daten kunnen zich met deepfakes en AI-persona’s overtui­gend voordoen als iemand anders. Eén contro­le­punt is daarom niet genoeg. Combi­neer document­check, video­be­wijs, locatie­va­li­datie en gedrags­ve­ri­fi­catie in meerdere fases van de onboar­ding. Door identi­teiten later opnieuw te beves­tigen, komen incon­sis­ten­ties in beeld die bij de eerste scree­ning nog niet zicht­baar waren.

2. Imple­men­teer least privi­lege en zero trust in alle toegang­slagen – Fraudeurs rekenen op ruime of blijvende toegangs­rechten. Beperk daarom rechten vanaf dag één en laat elke toegang opnieuw contro­leren. Zero trust versterkt dit principe: toegang wordt niet één keer toege­kend, maar continu verdiend. Zo voorkom je dat een kwaad­wil­lende zich door het netwerk verplaatst.

3. Monitor afwij­kend gedrag via identity‑, endpoint- en netwerk­g­over­nance – Infil­tranten proberen meestal niet op te vallen. Ze zijn te herkennen aan subtiele patronen zoals vreemde login­routes, interesse in data buiten de functie­om­schrij­ving of onlogi­sche werktijden. Gedrags­pro­fielen en geauto­ma­ti­seerde detectie helpen om die kleine afwij­kingen sneller naar boven te krijgen. Dit verkleint de tijd waarin een fraudu­leuze medewerker onder de radar blijft.

4. Screen finan­ciële stromen richting risicoregio’s en onbekende accounts – Deze netwerken verbergen hun inkom­sten via crypto­wal­lets en schijn­be­drijven. Contro­leer daarom betalingen en facturen actief op herkomst en route. Zo vallen afwij­kingen sneller op en wordt zicht­baar welke partijen mogelijk onder­deel zijn van een facili­te­rend netwerk.

5. Neem actief deel aan infor­matie-uitwis­se­ling met sector­part­ners en autori­teiten – Remote-worker­fraude verspreidt zich in golven. Patronen vallen pas op wanneer meerdere organi­sa­ties hun signalen combi­neren. Als organi­sa­ties hun signalen en bevin­dingen delen, wordt sneller duide­lijk wie er achter de fraude zit en welke methoden zij gebruiken. Die gezamen­lijke zicht­baar­heid verkleint de reactie­tijd en helpt herha­ling voorkomen.

Digitale arbeidsmarkt vraagt om ander denkraam

“Voor een sterk gedigi­ta­li­seerde economie als de Neder­landse, waar remote werk diep gewor­teld is, vormt remote-worker­fraude een direct en groeiend risico”, zegt Dennis de Geus, CEO bij Orange Cyber­de­fense Neder­land. “We zien hoe fraudeurs complete identi­teiten opbouwen die maanden­lang geloof­waardig blijven.”

“Dat vraagt om een nieuw denkraam”, vervolgt De Geus. “We moeten niet alleen beter contro­leren, maar ook struc­tu­reel heront­werpen hoe we identi­teit, toegang en integri­teit waarborgen in een digitale arbeids­markt. Organi­sa­ties die dat nu doen, bouwen een voorsprong op in een wereld waar mens en machine zich steeds overtui­gender kunnen voordoen als iemand anders.”

De Security Navigator 2026 is het jaarlijkse inter­na­ti­o­nale onder­zoeks­rap­port van Orange Cyber­de­fense. Het combi­neert incident­data, threat intel­li­gence en OSINT met onder­zoek naar crimi­no­logie, geopo­li­tiek, AI en opera­ti­o­nele techno­logie. Voor deze editie analy­seerden onder­zoe­kers meer dan 139.000 incidenten tussen oktober 2024 en september 2025.

Het volle­dige rapport download je hier.