5月中旬，一位网络研究人员在X上分享了一系列印有美国各地工程师姓名的专业印章，声称这些印章正被朝鲜远程工作者使用。其中包括加拿大建筑师斯蒂芬·毛罗（Stephen Mauro）的印章。

The Fifth Estate的一项调查显示，一名据信来自朝鲜的冒名顶替者伪造了毛罗的官方印章。根据美国政府发布的一份国际咨询报告，朝鲜民主主义人民共和国（DPRK）近年来雇佣了数千名远程工作者，目的是为其政权创造收入。美国司法部的起诉书和全球报告中概述了他们的活动，包括高价值加密货币黑客攻击以及使用虚假身份在合法公司获取真正的工作。美国联邦调查局（FBI）1月份的一份公告指出，这些工作者最终往往会窃取专有信息或劫持数据以勒索赎金。

美国检察官利亚·B·福利（Leah B. Foley）于6月30日表示：“朝鲜特工构成的威胁既真实又紧迫。该政权已训练并部署了数千名朝鲜网络特工，使其融入全球数字劳动力队伍。” 这些人还在自由职业网站上冒充持照专业人士，使用伪造印章提供审查和批准工程或建筑图纸等服务。

安大略省建筑师协会（Ontario Association of Architects）将建筑师印章或印章定义为公开声明，表明该专业人员对文件负责，且该文件必须在其监督下准备。在安大略省，印章由根据特定立法设立的自律机构颁发；例如，安大略省专业工程师协会（Professional Engineers Ontario）根据《专业工程师法》运作。

一位名为“Cookie Connoisseur”的匿名研究员于5月中旬在X上披露了一系列专业印章，声称这些印章被朝鲜远程工作者使用。其中包括建筑师斯蒂芬·毛罗（Stephen Mauro）的印章，这枚印章出现在由全球创意顾问工程师公司（GCCE）设计的“精品工作室”蓝图上。毛罗居住在大多伦多地区，他告诉《第五地产》（The Fifth Estate），他从未听说过GCCE，之前从未见过这份图纸，也没有在上面盖章。他注意到签名与他的官方印章存在差异，并且存在一些细微的差异。

“最重要的是查明这些图纸是在安大略省的哪些地方提交的，”毛罗说道，并强调需要提醒各市政府，这些图纸并非出自真正的建筑师之手。

经过进一步调查，The Fifth Estate 找到了GCCE的一个Facebook页面，上面列出了一位名叫费萨尔·侯赛因（Faisal Hussain）的男子的邮箱和电话号码。联系到侯赛因后，他确认自己居住在巴基斯坦，并声称拥有这些图纸的所有权。

他的领英个人资料显示他是一名“美国城市许可专家”，但并未提及全球创意顾问工程师公司。当被问及毛罗时，侯赛因最初称他为“队友”。然而，在后来的视频通话中，他表示自己是通过一个在线自由职业平台雇佣毛罗的，从未与他直接互动过。“他和我一起工作了两年，我没有遇到任何来自城市的任何问题，”他说道，但没有具体说明具体指的是哪个城市。

根据美国政府2022年发布的一份关于朝鲜IT工作者的咨询报告，他们“最常通过各种在线平台获得自由职业工作”。DTEX Systems的网络安全专家迈克尔·巴恩哈特也表达了同样的看法，他指出，有人观察到朝鲜远程工作者在加拿大和日本等国家寻找热门自由职业网站的列表。

为了强调朝鲜远程工作者的活动，“Cookie Connoisseur”和其他账户持续分享据称来自朝鲜演员的文件，包括视频、照片和聊天记录。当被要求采访时，“Cookie Connoisseur”将“第五阶层”引向了巴恩哈特，他代表着一个松散的在线研究人员团体。曾领导谷歌旗下 Mandiant 公司朝鲜威胁追踪行动的 Barnhart 表示，这些研究人员在业余时间进行研究的同时，也从事着固定工作。

Barnhart 拒绝透露该团队如何获得带有 Mauro 印章的蓝图，但他确认，这些信息已得到几位追踪特定朝鲜“行动者”的业内研究人员的证实。他还指出，朝鲜特工会监控其活动的新闻，因此限制共享信息以保护研究方法至关重要。除了自由职业网站外，朝鲜的远程工作者还会进行“四处散播”的求职申请，每天提交数百份申请，希望获得回复。

“如果你是一家财富 500 强公司，那么我可以肯定地说，你至少已经成为了目标，”Barnhart 指出。“至于你是否雇佣了他们，那就是另一回事了。”