Le département de la Justice des États-Unis annonce l'inculpation de 14 personnes, l'arrestation de 2 individus et la saisie d'environ 187 appareils liés au stratagème de travailleurs informatiques à distance nord-coréens
https://x.com/FBIDallas/status/2110112211779654086
Le département de la Justice des États-Unis a annoncé le 13 octobre des mesures coordonnées ciblant le stratagème de travailleurs à distance des technologies de l'information (TI) du gouvernement nord-coréen. Le bureau du procureur fédéral du district nord de l'Ohio a inculpé 14 personnes dans le cadre d'un complot (conspiracy) ayant touché plus de 70 entreprises américaines, parmi lesquelles 2 citoyens américains ont été arrêtés. Le Federal Bureau of Investigation (FBI) a perquisitionné plus de 40 sites qualifiés de « fermes d'ordinateurs portables » au Texas et a saisi environ 187 ordinateurs portables et équipements d'accès à distance, selon un communiqué de presse du département de la Justice.
Mesures annoncées par le département de la Justice
Le compte officiel X de la division de la sécurité nationale du département de la Justice a également annoncé les mesures coordonnées le même jour, mentionnant les inculpations et arrestations dans l'Ohio et au Texas, ainsi que la saisie d'environ 187 appareils informatiques. Le bureau du FBI à Cleveland a également indiqué que le bureau du procureur du district nord de l'Ohio a inculpé 14 personnes à l'issue de sa propre enquête et que 70 entreprises ont été affectées. Le nombre de personnes inculpées et d'entreprises victimes provient d'annonces faites par les deux agences concernant la même affaire et ne représente pas l'addition de chiffres issus d'affaires différentes.
https://x.com/DOJNatSec/status/2110089489452253489
https://x.com/FBICleveland/status/2110144855032709629
Selon le département de la Justice, l'acte d'accusation comprend quatre chefs, à savoir des complots (conspiracies) liés à la fraude électronique, au blanchiment d'argent et à l'usurpation d'identité. Les qualifications pénales reprennent les termes de l'acte d'accusation, et le département de la Justice a également précisé à la fin de son communiqué que les allégations d'un acte d'accusation ne sont que des accusations et que les accusés sont présumés innocents jusqu'à ce que leur culpabilité soit établie au-delà de tout doute raisonnable devant un tribunal. « Être inculpé » ne signifie pas « être déclaré coupable ». Parmi les 14 personnes inculpées, l'identité de 2 personnes est placée sous scellés et leurs noms n'ont pas été divulgués dans le communiqué de presse du département de la Justice.
Les personnes arrêtées sont Michael James Bostel de Pennsylvanie et Juan Cecilio Peña Carrillo du Texas, tous deux étant des citoyens américains, selon le bureau du procureur du district nord de l'Ohio. Les autres personnes inculpées comprennent des ressortissants chinois déclarés comme résidant en Chine. Cette liste reflète la composition des accusés telle que précisée par l'accusation dans l'acte d'inculpation.
Comment fonctionnait le stratagème
Selon les allégations de l'accusation dans l'acte d'inculpation, le mode opératoire était le suivant : des travailleurs informatiques nord-coréens ont utilisé des documents d'identité volés ou falsifiés ainsi que des infrastructures de réseaux privés virtuels (VPN) et de serveurs mandataires (proxy) pour se faire passer pour des citoyens américains situés aux États-Unis, avant de postuler et d'être embauchés pour des postes informatiques à distance au sein d'entreprises américaines. L'accusation affirme que des facilitateurs basés aux États-Unis recevaient et conservaient à leur domicile de multiples ordinateurs portables fournis par les entreprises victimes, les configuraient, installaient des logiciels d'accès à distance et transféraient les revenus générés vers des comptes contrôlés par la Corée du Nord.
Les forces de l'ordre ont qualifié de « fermes d'ordinateurs portables » (laptop farms) ces bases où de multiples ordinateurs portables étaient empilés à domicile. Le département de la Justice a déclaré que ce stratagème s'est poursuivi de 2019 jusqu'aux environs de juillet 2025, générant environ 3 millions de dollars de revenus auprès des entreprises victimes, des fonds qui semblent avoir été transférés à des entités sanctionnées contrôlées par la Corée du Nord. Les 3 millions de dollars et les circuits de transfert constituent des allégations formulées par l'accusation dans l'acte d'inculpation et le communiqué de presse, et non un montant établi par décision de justice. Les secteurs touchés comprennent la santé, les télécommunications, le soutien cybernétique, la vente au détail et la fabrication, et concernent des entreprises de l'Ohio, de 16 autres États et de Washington, D.C., selon les précisions de l'accusation.
Une opération distincte a été menée au Texas. Du 21 au 25 septembre, le FBI a perquisitionné plus de 40 sites connus ou suspectés d'être des fermes d'ordinateurs portables au Texas, et a saisi environ 187 ordinateurs portables et commutateurs clavier-vidéo-souris (KVM) au cours de l'ensemble de l'opération baptisée « Lone Star Roundup ». Le compte officiel du directeur du FBI a fait état dans son bilan hebdomadaire de 14 inculpations, 2 arrestations et plus de 180 appareils saisis en lien avec le stratagème nord-coréen. Le bilan du communiqué de presse du département de la Justice indique « environ 187 appareils », tandis que la publication du directeur du FBI mentionne « plus de 180 ».
https://x.com/FBIDirectorKash/status/2111192508780642687
Avertissements adressés aux entreprises
Le département de la Justice a fait savoir que le FBI a publié le même jour un avertissement public de service (PSA) destiné aux entreprises. L'alerte explique que les travailleurs informatiques nord-coréens, face à l'amélioration de la détection par les entreprises privées, recrutent plus activement des facilitateurs américains, étendent les tâches qui leur sont confiées et, dans certains cas, sous-traitent l'intégralité du travail à des personnels d'un pays tiers. Le communiqué de presse du département de la Justice a également mentionné les alertes antérieures incitant les entreprises à renforcer la vérification d'identité au cours du processus de recrutement.
« Famous Chollima » est une appellation d'identification attribuée par CrowdStrike et n'est pas un nom reconnu par un tribunal. Le gouvernement nord-coréen n'a émis aucune réaction officielle concernant ces inculpations.
Dans la mesure où les fermes d'ordinateurs portables utilisent des adresses résidentielles américaines et des facilitateurs américains, l'accusation décrit cette affaire non pas comme un simple piratage étranger, mais comme une imbrication d'usurpations d'identité aux États-Unis et de processus de recrutement. Le département de la Justice a indiqué que cette mesure s'inscrit dans le cadre d'une initiative visant à bloquer les revenus illicites de la Corée du Nord, précisant que des actions similaires ont également eu lieu en juin et novembre 2025, ainsi qu'en avril et mai 2026.
L'avertissement conjoint de mai 2022 mentionné par le département de la Justice expliquait que les travailleurs TI nord-coréens pouvaient gagner individuellement jusqu'à 300 000 dollars par an. Il s'agit d'une description générale figurant dans l'avertissement et non d'une somme confirmée pour les revenus individuels des accusés actuels, afin d'éviter toute confusion. Le communiqué de presse a également mentionné une récompense du département d'État allant jusqu'à 5 millions de dollars pour des informations pertinentes.
Extorsion et exfiltration de données nouvellement précisées dans les alertes de 2025
En amont de cette inculpation, le FBI avait mis à jour progressivement le libellé de ses avertissements sur les agissements supplémentaires commis au sein des entreprises par les travailleurs informatiques nord-coréens après leur recrutement. L'avertissement public émis par le FBI le 23 janvier 2025 (PSA I-012325-PSA) indiquait des cas où des individus démasqués ont pris en otage des données propriétaires et du code exfiltrés pour exiger des rançons, publiant le code de l'entreprise victime en cas de refus. Le même avertissement précisait qu'ils pouvaient copier des dépôts de code d'entreprise comme GitHub vers des profils personnels ou des comptes cloud personnels, et tenter de collecter des identifiants et des cookies de session pour ouvrir des sessions de travail depuis des appareils non autorisés par l'entreprise (Alerte de l'IC3 du FBI, 2025-01-23). Indépendamment des allégations de transfert de revenus figurant dans cet acte d'accusation, le point central de l'avertissement fédéral est que l'accès même au réseau d'entreprise peut constituer un canal de fuite de données.