משרד המשפטים האמריקני הודיע על הגשת כתבי אישום נגד 14 בני אדם, מעצר 2 ותפיסת כ-187 מכשירים הקשורים לשיטת פעולה של עובדי IT מרחוק של צפון קוריאה
https://x.com/FBIDallas/status/2110112211779654086
ב-13 באוקטובר הודיע משרד המשפטים של ארה"ב על פעולות מתואמות נגד שיטת הפעולה של עובדי טכנולוגיית המידע (IT) מרחוק של ממשלת צפון קוריאה. פרקליטות המחוז הצפוני של אוהיו הגישה כתבי אישום נגד 14 בני אדם בקשר לקשירת קשר (conspiracy) שהשפיעה על יותר מ-70 חברות אמריקאיות, כאשר 2 מתוכם, אזרחי ארה"ב, נעצרו. לשכת החקירות הפדרלית (FBI) ערכה חיפושים ביותר מ-40 מוקדים המכונים "חוות מחשבים ניידים" בטקסס ותפסה כ-187 מחשבים ניידים וציוד גישה מרחוק, כך לפי הודעה לעיתונות של משרד המשפטים.
הצעדים שעליהם הודיע משרד המשפטים
החשבון הרשמי של האגף לביטחון לאומי במשרד המשפטים ב-X הודיע אף הוא באותו יום על הפעולה המתואמת, וציין את כתבי האישום והמעצרים באוהיו ובטקסס ואת תפיסתם של כ-187 מכשירי מחשב. משרד השטח של ה-FBI בקליבלנד ציין גם הוא כי במסגרת חקירתו הגישה פרקליטות המחוז הצפוני של אוהיו כתבי אישום נגד 14 בני אדם וכי 70 חברות נפגעו. מספר הנאשמים והחברות שנפגעו נובע מהודעות של שתי הסוכנויות לגבי אותה פרשה, ואינו שילוב של נתונים ממקרים נפרדים.
https://x.com/DOJNatSec/status/2110089489452253489
https://x.com/FBICleveland/status/2110144855032709629
לפי משרד המשפטים, כתב האישום כולל ארבעה אישומים, דהיינו conspiracy (קשירת קשר) להונאה באמצעות תקשורת (wire fraud), הלבנת הון וגניבת זהות. שמות העבירות משקפים את הניסוח בכתב האישום, ומשרד המשפטים הדגיש גם הוא בסוף ההודעה לעיתונות כי הטענות בכתב האישום הן האשמות בלבד וכי הנאשמים נחשבים חפים מפשע אלא אם יוכח אשמתם מעבר לכל ספק סביר בבית המשפט. "הוגש כתב אישום" אין פירושו "הורשע". מתוך 14 הנאשמים, זהותם של 2 נותרה חסויה ושמותיהם לא פורסמו בהודעה לעיתונות של משרד המשפטים.
העצורים הם מייקל ג'יימס בוסטל מפנסילבניה וחואן ססיליו פניה קרילו מטקסס, ושניהם אזרחי ארה"ב, כך לפי פרקליטות המחוז הצפוני של אוהיו. יתר הנאשמים כוללים אזרחים סינים שצוינו כמתגוררים בסין. רשימה זו משקפת את הרכב הנאשמים כפי שצוין על ידי התביעה בכתב האישום.
אופן פעולת השיטה
האופן שבו פעלה השיטה, כפי שטוענת התביעה בכתב האישום, הוא כדלקמן: עובדי IT צפון קוריאנים השתמשו במסמכי זהות גנובים או מזויפים ובתשתיות של רשת וירטואלית פרטית (VPN) ופרוקסי כדי להיראות כאזרחים אמריקאים הנמצאים בתוך ארה"ב, ולאחר מכן הגישו מועמדות והתקבלו למשרות IT מרחוק בחברות אמריקאיות. סייענים בתוך ארה"ב קיבלו, אחסנו והגדירו בבתיהם מחשבים ניידים מרובים שהונפקו על ידי החברות שנפגעו, התקינו תוכנות גישה מרחוק והיו אחראים להעברת הכספים שהורווחו לחשבונות הנשלטים על ידי צפון קוריאה, כך טוענת התביעה.
מוקדים אלה שבהם נערמו מספר מחשבים ניידים בבתים כונו על ידי רשויות החקירה "חוות מחשבים ניידים" (laptop farm). משרד המשפטים ציין כי שיטה זו פעלה משנת 2019 ועד לסביבות יולי 2025, הניבה הכנסות של כ-3 מיליון דולר מהחברות שנפגעו, ונראה כי הכספים הועברו לגופים הנתונים לסנקציות הנשלטים על ידי צפון קוריאה. הנתון של 3 מיליון דולר ונתיבי ההעברה הם טענות שהעלתה התביעה בכתב האישום ובהודעה לעיתונות, ואינם סכום שאושר בקביעה שיפוטית. ענפי התעשייה שנפגעו כוללים בריאות, תקשורת, תמיכת סייבר, קמעונאות וייצור, כאשר התביעה ציינה כי הם כללו חברות באוהיו וב-16 מדינות נוספות ובוושינגטון די.סי.
בטקסס נערך מבצע נפרד. ה-FBI ערך בין 21 ל-25 בספטמבר חיפושים ביותר מ-40 מוקדים שהיו ידועים או חשודים כחוות מחשבים ניידים בטקסס, ובמסגרת המבצע הכולל, "Lone Star Roundup", תפס כ-187 מחשבים ניידים וציוד מקלדת-וידאו-עכבר (KVM). בחשבון הרשמי של ראש ה-FBI נכתב בסיכום השבועי כי בקשר לשיטה הצפון קוריאנית הוגשו כתבי אישום נגד 14 בני אדם, נעצרו 2 ונתפסו יותר מ-180 מכשירים. הודעת משרד המשפטים מנתה "כ-187 מכשירים", ואילו הפוסט של ראש ה-FBI מנה "יותר מ-180 מכשירים".
https://x.com/FBIDirectorKash/status/2111192508780642687
אזהרה שהופנתה לחברות
משרד המשפטים מסר כי באותו יום פרסם ה-FBI הודעת אזהרה פומבית (PSA) לחברות. האזהרה מסבירה כי ככל שהיכולות של חברות פרטיות לזהות פעילות כזו השתפרו, עובדי ה-IT של צפון קוריאה מגייסים סייענים אמריקאים באופן פעיל יותר, מרחיבים את המשימות המוטלות על הסייענים, ובמקרים מסוימים משנים את פעילותם ומעבירים את העבודה כולה לקבלני משנה במדינות שלישיות. ההודעה לעיתונות של משרד המשפטים הזכירה במקביל אזהרות קודמות שקראו לחברות להדק את אימות הזהות במהלך הליכי הגיוס.
"Famous Chollima" הוא כינוי זיהוי שניתן על ידי CrowdStrike, ואינו כינוי שהוכר על ידי בית המשפט. ממשלת צפון קוריאה לא פרסמה תגובה רשמית לכתבי האישום הנוכחיים.
מכיוון שחוות מחשבים ניידים משתמשות בכתובות מגורים בארה"ב ובסייענים אמריקאים, התביעה מתארת מקרה זה כפרשה המשלבת לא רק פריצה מחו"ל, אלא גם גניבת זהות והליכי גיוס עובדים בתוך ארה"ב. משרד המשפטים ציין כי צעד זה הוא חלק מיוזמה (initiative) לחסימת הכנסות בלתי חוקיות של צפון קוריאה, וכי צעדים דומים ננקטו גם ביוני ובנובמבר 2025 ובאפריל ובמאי 2026.
האזהרה המשותפת ממאי 2022 שהוזכרה על ידי משרד המשפטים הסבירה כי עובד IT צפון קוריאני עשוי להרוויח ברמה האישית עד 300,000 דולר בשנה. מדובר בהסבר כללי באזהרה ואין מדובר בנתון מאומת לגבי הכנסותיהם האישיות של הנאשמים הנוכחיים, ולכן אין לערבב בין השניים. ההודעה לעיתונות ציינה גם פרס של עד 5 מיליון דולר ממחלקת המדינה עבור מידע רלוונטי.
סחיטה והוצאת נתונים שפורטו מחדש באזהרת 2025
עוד לפני כתבי אישום אלה, עדכן ה-FBI בהדרגה את ניסוחי האזהרות שלו בנוגע לפעולות נוספות שמבצעים עובדי IT צפון קוריאנים בתוך ארגונים לאחר גיוסם. אזהרה פומבית שפרסם ה-FBI ב-23 בינואר 2025 (PSA I-012325-PSA) ציינה כי היו מקרים שבהם עובדים שזהותם נחשפה החזיקו בנתונים קנייניים ובקוד כבני ערובה ודרשו כופר, ומשדרישתם לא נענתה, פרסמו את קוד החברה שנפגעה. אותה אזהרה הסבירה כי גורמים אלה עשויים להעתיק מאגרי קוד ארגוניים כמו GitHub לפרופילים אישיים או לחשבונות ענן אישיים, ולנסות לאסוף אישורי גישה (credentials) וקובצי עוגיות הפעלה (session cookies) כדי לפתוח הפעלות עבודה ממכשירים שאינם מכשירי החברה (אזהרת FBI IC3, 2025-01-23). מעבר לטענות על העברת כספים המופיעות בכתב האישום הנוכחי, עצם הגישה לרשתות הארגוניות יכולה לשמש כערוץ להדלפת נתונים, וזוהי נקודת המפתח באזהרה הפדרלית.