摄像头前，一名男子穿着军绿色制服，身后站着另一名男子，墙上还挂着相似颜色的外衣。这幅由反诈频道Deeveeaar公开、随后被BBC韩国语部报道引用的画面，让朝鲜远程IT用工网络的一角进入公众视野。

不过，网上“荷兰博主亲手黑进朝鲜军队”的概括，省略了发布者自己的说明。Deeveeaar今年1月发布相关视频时明确写道，部分证据和材料来自匿名来源，他本人没有参与入侵，只负责调查报道。公开视频中的服装，也不足以单独确认人物的军人身份或所属单位。

BBC韩国语部6月26日报道称，记者取得了相关组织的内部聊天记录和电脑活动资料，并请网络安全专家及曾从事朝鲜海外IT工作的脱北者审阅。这些资料中的身份管理、工作分配和内部规章，与已知的朝鲜IT人员冒名求职模式相符。

这类活动通常以一份看似普通的远程工作申请开始。7月31日，美国、日本、韩国、荷兰等11国发布联合警告，称朝鲜人员冒充其他国家公民，通过线上招聘和承包平台取得技术工作，再将收入汇给所属朝鲜机构。相关工作包括网站、手机应用、软件和区块链开发。

联合警告列出的手段包括盗用或伪造身份、借助第三方代理参加面试，以及利用人工智能改善个人资料和沟通。VPN、远程桌面软件和设在第三国的电脑，则被用于掩盖实际工作地点。文件同时提醒，这些活动可能伴随数据外传、加密货币盗窃等内部安全威胁。

工资本身就是这套网络的重要收入来源。美国财政部3月12日宣布制裁相关协助者时表示，朝鲜政府组织的IT用工计划在2024年创造了近8亿美元收入，资金用于支持其大规模杀伤性武器项目。这是对用工计划收入的估计，不能全部等同于黑客盗取的加密货币，也不能直接归到某一段视频中的团队名下。

FBI在10月13日更新的警告中指出，这套模式仍在演变。朝鲜IT团队正付钱租用他人的职业社交账号，找代理人参加面试、保管雇主寄出的电脑，有时还把已经取得的工作转包给其他国家的自由职业者。雇主看到的申请人、参加面试的人和实际完成任务的人，可能各不相同。

至于“他们怎么还玩CS”，确实有可追溯的报道。《连线》2025年8月7日援引安全研究员SttyK称，在与疑似朝鲜IT团队有关的泄露屏幕录像中，可以看到有人玩《反恐精英》。不过，现有公开资料不足以确认，这批游戏画面与Deeveeaar的视频是否属于同一团队。

引人注目的摄像头画面之外，更难识别的是被组织起来的日常求职活动。FBI在最新警告中强调，不能靠单一迹象可靠地判断某人是否属于这类网络，需要结合多项身份与行为证据，在整个雇佣过程中持续核验。