ФБР разби 40 „лаптоп ферми“ на Северна Корея в Тексас

Министерството на правосъдието на САЩ обяви на 13 октомври серия от координирани действия срещу схемата, с която Северна Корея праща свои IT специалисти на дистанционна работа в американски компании. В рамките на операция Lonestar Roundup ФБР е претърсило над 40 жилища в Тексас и е иззело около 187 лаптопа и KVM устройства, а прокуратурата е повдигнала обвинения на 14 души. Според съобщението на Министерството на правосъдието схемата е засегнала над 70 американски работодатели и е донесла на Пхенян поне 3 млн. долара.

Какво е „лаптоп ферма“

Моделът е прост и затова работи. Компанията наема дистанционен разработчик, който на книга живее в САЩ, и му изпраща служебен лаптоп. Машината обаче отива на адрес на американски посредник, който я включва в домашната си мрежа и ѝ слага софтуер за отдалечен достъп или хардуерен KVM превключвател. Истинският „служител“ седи в Азия, логва се през машината и за системите на работодателя изглежда като човек, който работи от Тексас.

Точно тези адреси ФБР е обходило между 21 и 25 септември. Обвинителният акт от четири точки включва двама арестувани американци — Майкъл Джеймс Бостел от Пенсилвания и Хуан Сесилио Пеня Карильо от Тексас — по обвинения за измама по електронен път, пране на пари и кражба на самоличност. Още десет обвиняеми са базирани в Китай, а самоличността на двама остава запечатана. Срокът на схемата според прокуратурата е от 2019 г. до юли 2025 г.

The Record описва и трети посредник, Трей Майкъл Нолте, който не е обвинен: той е поддържал около две дузини служебни лаптопа онлайн и е прекарал над 320 000 долара през сметки, открити с чужди имена. Пеня Карильо е получил около 190 000 долара от пет различни работодателя.

70 компании в 17 щата

Жертвите не са от един сектор. TechCrunch изброява здравеопазване, киберсигурност, търговия на дребно, комуникации и производство, с пострадали компании в Охайо и още 16 щата плюс Вашингтон. По данни от разследването са компрометирани самоличностите на 25 американци, а до федерални агенции е подавана невярна информация от тяхно име.

Федералният прокурор за Северен Тексас Райън Рейболд обобщи защо посредниците трудно ще се оправдаят с незнание: „Ако сте частно лице и имате 50 лаптопа в гостната, значи вършите нещо нередно.“ Специалният агент от ФБР Далас Р. Джоузеф Ротрок добави друг тревожен ъгъл — всеки иззет лаптоп на практика означава по една компания, наела северокорейски IT работник.

Снимка: Philip FONG / AFP

FAMOUS CHOLLIMA и техническият арсенал

CrowdStrike, която е помагала на ФБР, проследява групата под името FAMOUS CHOLLIMA и публикува наблюденията си от април 2025 до юни 2026 г. Инструментите са познати и напълно легални: Astrill VPN, AnyDesk, OBS Studio и PiKVM. От май 2026 г. операторите са започнали да подменят хардуерните идентификатори на машините, а карти за видеозапис са маскирани така, че да се представят като обикновени уеб камери.

Част от триковете са по-скоро социални, отколкото технически. За да получат втори лаптоп на удобен адрес, „служителите“ подават фалшиви сигнали за кражба; в други случаи обявяват внезапно преместване, за да пренасочат пратката, или минават през посреднически IT агенции. ФБР отчита и смяна на тактиката при наемането на съучастници: все по-често се търсят американци в затруднено финансово положение и дори действащи военнослужещи, а част от работата се преотдава на фрийлансъри от Пакистан, Индия и Нигерия, за да се замъгли произходът.

Защо Пхенян държи на тази схема

Според прокуратурата IT работниците превеждат между 85% и 90% от заплатите си директно към режима, а оценката на американското финансово министерство е за над 800 млн. долара, стигнали до Северна Корея през финансовата 2024 г. Отделно TechCrunch припомня, че само през 2025 г. северокорейски групи са откраднали криптовалута за поне 2 млрд. долара. Държавният департамент предлага награда до 5 млн. долара за информация по схемата.

Паралелно със схемите за пари продължава и класическият шпионаж. Южнокорейската фирма Genians отчита, че групата Kimsuky е атакувала през август украински експерти по дипломация и сигурност, като е разпространявала зловредни файлове през GitHub, GitLab и Codeberg под маската на инсталатор на Zoom. Вероятната цел е информация за войната и за съдбата на двамата северокорейски войници, предадени на Южна Корея през септември.

Какво следва

Разследването продължава и прокуратурата заяви, че ще има нови обвинения. Съветът на ФБР към работодателите е приземен: проверка през E-Verify и реална проверка на хората, които наемате дистанционно — особено когато минават през посредник. Анализаторите обаче предупреждават, че ефектът ще е временен, защото инфраструктурата от лаптопи и подставени адреси се вдига отново бързо.

Моделът не е уникален за Северна Корея — вече видяхме как евтини Android телефони се превръщат в резидентни прокси, за да скриват истинския произход на трафика, и как група с руски произход изнесе 628 000 украински записа с помощта на AI агенти. Общото е, че слабото място рядко е технологията — то е процедурата по наемане и доверието, което тя дава по подразбиране.