Kim Jong-uns lønliste: Din kollega eksisterer ikke

Han klarede alle samtalerne. Teknisk stærk, velformuleret, tilsyneladende en dygtig udvikler med syv års erfaring og et LinkedIn-profil, der så ud til at holde vand. Firmaet sendte en laptop. Han begyndte at arbejde. Leverede til tiden. Oversteg faktisk forventningerne – men det skyldtes, at der sad flere mennesker bag skærmen. Efter tre måneder fik firmaet mistanke. Sikkerhedsteamet begyndte at grave. Det, de fandt, var ikke et sikkerhedshul. Det var noget langt mere grundlæggende: de havde aldrig ansat den person, de troede de ansat.

Personen på den anden side af skærmen var nordkoreaner. Manden han udgav sig for at være, eksisterede ikke. Lønnen – oversat til dollar og hvidvasket via kryptobørser og mellemled – endte hos et regime, der bruger den til at finansiere ballistiske missiler og atomvåben. HR-afdelingen havde fulgt procedurerne. Ingen havde fejlet. Systemet havde bare ikke forestillet sig, at truslen ville komme i form af et jobopslag.

Det er ikke en enkeltstående hændelse. Det er en industriel model.

Hvad er Lazarus-gruppen – og hvad angreb de senest?

Den 1. marts 2026 blev krypto-e-handelsplatformen Bitrefill ramt af et cyberangreb, der kompromitterede dele af dens infrastruktur, drænet fra visse hot wallets og eksponerede op mod 18.500 købsregistreringer.

Det var – ifølge Bitrefill selv – det alvorligste angreb i virksomhedens ti år lange eksistens. Og indikatorer fra efterforskningen peger direkte på Lazarus Group: malwaren, de genanvendte IP-adresser, e-mail-konti og transaktionsmønstrene på kæden matchede tidligere dokumenterede Lazarus-angreb.

Bitrefill er ikke en obscur platform. Det er et system, der lader folk betale med kryptovaluta i over 600 mobilnetværk og tusindvis af brands i 150 lande. De handlede med Nordkoreas hackerapparat – og vidste det ikke, før det var for sent.

I februar 2026 dokumenterede Symantec og Carbon Black, at Lazarus Group nu anvender Medusa ransomware – et kommercielt tilgængeligt ransomware-as-a-service-produkt – i angreb mod sundhedsorganisationer i USA og Mellemøsten, heriblandt en nonprofitorganisation inden for mental sundhed og en uddannelsesinstitution for autistiske børn.

Skyggebudgettet, der finansierer Kim Jong-uns militær

Aggregerer man tyverierne, tegner der sig ikke et billede af tilfældig kriminalitet, men af en skyggenational statskasse. Nordkorea-tilknyttede enheder er estimeret til at have stjålet 1,7 milliarder dollars i 2022, cirka 1 milliard dollars i 2023, og mere end 1,3 milliarder dollars i 2024.

I 2025 satte de en ny rekord: over 2 milliarder dollars i kryptotyveri – svarende til 76 procent af samtlige globale kryptorelaterede kompromitteringer det år. Det inkluderer Bybit-angrebet i februar 2025 – den største finansielle cybertyveri i historien nogensinde på 1,5 milliarder dollars i én enkelt transaktion.

US- og FN-embedsmænd siger det nu åbent: kryptotyveri er en nøglefinansieringskilde for Nordkoreas masseødelæggelsesvåben. Det er ikke et pengeproblem, der kan løses med lidt bedre it-sikkerhed. Det er geopolitik, pakket ind i Java-kode.

Den danske Styrelse for Samfundssikkerhed konkluderer i sin seneste trusselsvurdering, at det er »meget sandsynligt, at den nordkoreanske stat mobiliserer store dele af sine cyberkapaciteter til systematisk at udføre datatyveri for at generere penge til regimet.« Det er en vurdering fra den myndighed, der sidder med det danske trusselsbillede. I januar 2025 besluttede Danmark at styrke indsatsen og udvikle en ny national strategi for cybersikkerhed fra 2026. Strategien er iværksat. Rekrutteringsafdelingerne er ikke orienteret.

100.000 nordkoreanere. Én er din kollega.

Det er her, det skifter karakter fra sikkerhedssag til noget langt mere ubehageligt.

En ny fællesrapport fra IBM X-Force og Flare Research – offentliggjort 18. marts 2026 – kortlægger omfanget præcist: et FN-estimat anslår over 100.000 nordkoreanere spredt i 40 lande, og den samlede omsætning fra operationen løber op i cirka 500 millioner dollars om året. Individuelle operativer kan tjene over 300.000 dollars årligt. De er ikke marginaliserede kriminelle. De er statens elite – belønnet, privilegeret og med personlige KPI’er.

Systemet er opbygget i lag: rekrutterere screener kandidater, facilitatorer modtager bærbare computere på vegne af de falske medarbejdere og opretter bankkonti til dem, og selve IT-arbejderne udfører jobbet – ofte med hjælp fra kolleger bag skærmen, der deler arbejdsbyrden for at sikre konsistent output.

En enkelt operativ er dokumenteret at have håndteret mindst 12 simultane falske identiteter på tværs af USA og Europa. Ikke 12 jobansøgninger. 12 fuldtidsjobs. Parallelt. Og i mindst ét tilfælde beskrives operativen af sin arbejdsgiver som en af firmaets bedste medarbejdere – frem til den dag, efterforskerne banker på.

Deepfake-brugen i detekterede infiltrationsforsøg er steget 700 procent siden 2024, ifølge data fra Okta. Det er ikke en tendens, det er et accelerationsforløb.

Europa er det bløde mål – og Danmark er ikke undtaget

Det øgede antal retssager, indikteringer og myndighedsindsatser i USA har gjort det markant sværere at opretholde ansættelser der. Nordkoreanske IT-arbejdere er fortsat aktive i USA, men retter nu søgelyset mod europæiske virksomheder – hvor den institutionelle bevidsthed er svagere, og de due diligence-rammer, der er opstået under regulatorisk pres i USA, endnu ikke eksisterer.

Operativerne bruger ansættelsesplatforme som Upwork og Freelancer samt Telegram til rekruttering. De udgiver sig for at komme fra Italien, Japan, Malaysia, Singapore, Ukraine, USA og Vietnam – med falske identiteter og i nogle tilfælde stjålne dokumenter fra virkelige personer.

En fælles advisory fra FBI, CISA og det amerikanske finansministerium fra januar 2026 identificerer Munitions Industry Department som den enhed, der driver operationen. Det er det samme DPRK-organ, der overvåger ballistiske missiler og våbenprogrammer. Det er ikke en freelance-kriminalsag, men et forsvarsministerium, der genererer omsætning.

For Danmark udgør det en specifik risiko, der endnu ikke er behandlet offentligt på det niveau, det fortjener. Styrelsen for Samfundssikkerhed slår fast, at Danmark er »et attraktivt mål for hackere, der er ude på at stjæle værdifuld viden, sensitiv information eller slet og ret penge.« Det er netop den profil, Lazarus Group leder efter: velhavende, digitaliseret, åben økonomi med udbredt fjernarbejde og tillidsbaserede ansættelsesprocesser.

Hvad det faktisk koster – og hvem der betaler

Lad os tale om det, ingen siger direkte: tabet er ikke primært finansielt. Det er tillid.

Når en nordkoreansk operativ sidder med adgang til din virksomheds kodebase i tre måneder, har han ikke kun hevet en løn hjem. Han har kortlagt jeres systemer, identificeret sårbarheder, og i stigende grad – siden oktober 2024 – brugt adgangen som løftestang til efterfølgende afpresning: »Betal, ellers lækker vi kildekoden til konkurrenterne.« Det er sket mod »større organisationer,« ifølge Googles trusselsgruppe.

Amazon oplyste i januar 2026, at selskabet siden april 2024 har blokeret over 1.800 mistænkte nordkoreanske operativer i at opnå ansættelse. Det er et Fortune 500-selskab med et dedikeret sikkerhedsteam på hundredvis af folk. Den danske tech-startup i Aarhus med otte ansatte og global rekruttering har ikke den kapacitet. Den har ikke engang vidst, at den skulle have det.

Tre mand bag skærmen besvarer din tekniske prøve

Vi vender tilbage til det CV. Det firma, der ansatte ham, havde gjort alt rigtigt. Zoom-samtale. Referencetjek. Teknisk prøve – bestået med glans, fordi der sad tre mand bag skærmen og hjalp. Ingen havde forestillet sig, at rekrutteringsprocessen var blevet et nationalt sikkerhedsproblem.

I 2026 er det globale program klar til yderligere eskalering. Nordkorea har investeret tungt i både video- og audio-deepfake-teknologier, og operationen er ved at blive en håndbog, som andre stater studerer.

Den danske trusselsvurdering noterer eksplicit, at Nordkorea er »et særligt tilfælde« – men vurderer samtidig, at det er »mindre sandsynligt«, at disse stater aktuelt prioriterer cyberspionage rettet direkte mod Danmark. Det er muligvis korrekt. Men det er den forkerte analyse at hvile sig på. Nordkorea leder ikke efter Danmark. Det leder efter vestlige virksomheder med fjernansatte IT-medarbejdere og svag identitetsverifikation. Det er en kategori, Danmark tilhører fuldt og helt.

Spørgsmålet, ingen stiller, er dette: Hvornår begynder vi at behandle jobopslag som sikkerhedskritisk infrastruktur?

Sanktionerne er der. Advarslerne er der. FBI udsendte bulletiner. Google dokumenterede den europæiske ekspansion. Rapporten fra IBM X-Force og Flare landede på bordet. Hvert stykke bevis peger i samme retning – og alligevel fortsætter de fleste europæiske virksomheder – og danske HR-afdelinger – med at rekruttere globalt uden identitetsverifikation, der kan modstå en velforberedt statssponsoreret aktør.

Kim Jong-un behøver ikke sende en raket. Han sender et CV. Og mens du læser dette, sidder hans næste operativ og forbereder sin ansøgning til et job hos nogen, du kender.

ExtraFokus.com: Dybere blik på magten og de oversete historier.