Departament Sprawiedliwości USA ogłasza postawienie w stan oskarżenia 14 osób, aresztowanie 2 osób i zajęcie około 187 urządzeń w związku ze schematem północnokoreańskich zdalnych pracowników IT
https://x.com/FBIDallas/status/2110112211779654086
Departament Sprawiedliwości Stanów Zjednoczonych ogłosił 13 października skoordynowane działania wymierzone w prowadzony przez rząd Korei Północnej proceder zdalnych pracowników branży technologii informacyjnych (IT). Prokuratura Federalna dla Północnego Okręgu Ohio postawiła w stan oskarżenia 14 osób w związku ze spiskiem, który dotknął ponad 70 amerykańskich przedsiębiorstw, z czego aresztowano 2 obywateli USA. Według komunikatu prasowego Departamentu Sprawiedliwości, Federalne Biuro Śledcze (FBI) przeszukało w Teksasie ponad 40 lokalizacji określanych jako „farmy laptopów” i zajęło około 187 laptopów oraz urządzeń do zdalnego dostępu.
Działania ogłoszone przez Departament Sprawiedliwości
Oficjalne konto Wydziału Bezpieczeństwa Narodowego Departamentu Sprawiedliwości w serwisie X poinformowało tego samego dnia o skoordynowanych działaniach, odnotowując oskarżenia i aresztowania w Ohio i Teksasie oraz zajęcie około 187 urządzeń komputerowych. Biuro Terenowe FBI w Cleveland również podało, że w wyniku własnego śledztwa Prokuratura Północnego Okręgu Ohio oskarżyła 14 osób, a poszkodowanych zostało 70 przedsiębiorstw. Liczba oskarżonych i poszkodowanych firm to dane podane przez obie instytucje w odniesieniu do tej samej sprawy, a nie suma z różnych postępowań.
https://x.com/DOJNatSec/status/2110089489452253489
https://x.com/FBICleveland/status/2110144855032709629
Według Departamentu Sprawiedliwości akt oskarżenia zawiera cztery zarzuty dotyczące spisku (conspiracy) mającego na celu oszustwa elektroniczne (wire fraud), pranie pieniędzy oraz kradzież tożsamości. Kwalifikacje czynów odzwierciedlają treść aktu oskarżenia, a Departament Sprawiedliwości zaznaczył na końcu komunikatu prasowego, że zarzuty w akcie oskarżenia są jedynie oskarżeniami, a oskarżonych uznaje się za niewinnych do czasu udowodnienia im winy ponad wszelką wątpliwość przed sądem. „Został oskarżony” nie oznacza „został uznany za winnego”. Tożsamość 2 spośród 14 oskarżonych została utajniona i ich nazwiska nie zostały ujawnione w komunikacie Departamentu Sprawiedliwości.
Aresztowani to Michael James Bostell z Pensylwanii oraz Juan Cecilio Peña Carrillo z Teksasu – obaj są obywatelami USA, jak podała Prokuratura Północnego Okręgu Ohio. Wśród pozostałych oskarżonych znaleźli się obywatele Chin, którzy według dokumentów mieszkają w Chinach. Lista ta odzwierciedla skład oskarżonych przedstawiony przez prokuraturę w akcie oskarżenia.
Mechanizm działania procederu
Zgodnie z twierdzeniami prokuratury zawartymi w akcie oskarżenia mechanizm wyglądał następująco: północnokoreańscy pracownicy IT posługiwali się skradzionymi lub sfałszowanymi dokumentami tożsamości oraz infrastrukturą wirtualnych sieci prywatnych (VPN) i serwerów proxy, aby sprawiać wrażenie Amerykanów przebywających na terytorium USA, po czym aplikowali o zdalną pracę w IT w amerykańskich firmach i zostawali zatrudnieni. Pomocnicy przebywający na terytorium USA odbierali, przechowywali i konfigurowali w swoich domach wiele laptopów wydanych przez poszkodowane firmy, instalowali oprogramowanie do zdalnego dostępu i przekazywali zarobione pieniądze na konta kontrolowane przez Koreę Północną.
Organy śledcze określiły te lokalizacje, w których gromadzono liczne laptopy w domach prywatnych, mianem „farm laptopów” (laptop farm). Departament Sprawiedliwości podał, że proceder ten trwał od 2019 roku do około lipca 2025 roku, generując z poszkodowanych firm około 3 milionów dolarów przychodów, które najprawdopodobniej zostały przesłane do objętych sankcjami podmiotów kontrolowanych przez Koreę Północną. Kwota 3 milionów dolarów oraz trasa przelewów to twierdzenia prokuratury zawarte w akcie oskarżenia i komunikacie prasowym, a nie kwota ustalona wyrokiem sądu. Poszkodowane branże to opieka zdrowotna, telekomunikacja, wsparcie cybernetyczne, handel detaliczny oraz produkcja, a firmy zlokalizowane były w Ohio, 16 innych stanach oraz w Dystrykcie Kolumbii (Waszyngtonie), jak podała prokuratura.
W Teksasie przeprowadzono odrębną operację. W dniach od 21 do 25 września FBI przeszukało ponad 40 lokalizacji w Teksasie, które były znane lub podejrzewane o prowadzenie farm laptopów, a w ramach całej operacji pod nazwą „Lone Star Roundup” zabezpieczono około 187 laptopów oraz urządzeń przełączających klawiatura-wideo-mysz (KVM). Oficjalne konto Dyrektora FBI podało w cotygodniowym podsumowaniu: 14 oskarżonych, 2 aresztowanych i ponad 180 zajętych urządzeń w powiązaniu z północnokoreańskim procederem. W komunikacie prasowym Departamentu Sprawiedliwości mowa jest o „około 187 urządzeniach”, natomiast we wpisie Dyrektora FBI o „ponad 180”.
https://x.com/FBIDirectorKash/status/2111192508780642687
Ostrzeżenia skierowane do przedsiębiorstw
Departament Sprawiedliwości poinformował, że tego samego dnia FBI wydało publiczne ostrzeżenie (Public Service Announcement – PSA) skierowane do przedsiębiorstw. W ostrzeżeniu wyjaśniono, że w miarę jak sektor prywatny skuteczniej wykrywa ich działania, północnokoreańscy pracownicy IT coraz aktywniej rekrutują amerykańskich pomocników, poszerzają zakres powierzanych im zadań, a w niektórych przypadkach zlecają całą pracę podwykonawcom w krajach trzecich. Komunikat Departamentu Sprawiedliwości przypomniał również wcześniejsze ostrzeżenia wzywające firmy do zaostrzenia weryfikacji tożsamości podczas procesów rekrutacyjnych.
Nazwa „Famous Chollima” to identyfikator nadany przez firmę CrowdStrike, a nie określenie usankcjonowane przez sąd. Rząd Korei Północnej nie przedstawił oficjalnego stanowiska wobec oskarżeń.
Ponieważ farmy laptopów korzystają z amerykańskich adresów zamieszkania i amerykańskich pomocników, prokuratura opisuje sprawę nie tylko jako zagraniczny hacking, lecz jako sprawę powiązaną z kradzieżą tożsamości wewnątrz USA oraz procedurami rekrutacyjnymi. Departament Sprawiedliwości wskazał, że obecne działania stanowią część inicjatywy mającej na celu blokowanie nielegalnych dochodów Korei Północnej, a podobne środki były podejmowane w czerwcu i listopadzie 2025 roku oraz w kwietniu i maju 2026 roku.
Wspomniane przez Departament Sprawiedliwości wspólne ostrzeżenie z maja 2022 roku wskazywało, że pojedynczy pracownik IT z Korei Północnej może zarobić do 300 000 dolarów rocznie. Jest to ogólny opis zawarty w ostrzeżeniu, a nie kwota potwierdzona jako indywidualny dochód oskarżonych w tej sprawie, dlatego nie należy ich mylić. W komunikacie prasowym poinformowano również o nagrodzie Departamentu Stanu w wysokości do 5 milionów dolarów za informacje w tej sprawie.
Wymuszenia i eksfiltracja danych uszczegółowione w ostrzeżeniu z 2025 roku
Przed obecnymi aktami oskarżenia Federalne Biuro Śledcze stopniowo aktualizowało treść ostrzeżeń dotyczących tego, jakich dodatkowych działań dopuszczają się północnokoreańscy pracownicy IT wewnątrz przedsiębiorstw po zatrudnieniu. W publicznym ostrzeżeniu wydanym przez FBI 23 stycznia 2025 roku (PSA I-012325-PSA) wskazano, że zdarzały się przypadki, w których pracownicy, których tożsamość została zdemaskowana, żądali okupu, przetrzymując jako zakładnika wykradzione zastrzeżone dane i kod źródłowy, a w przypadku niespełnienia żądań publikowali kod poszkodowanej firmy. W tym samym ostrzeżeniu wyjaśniono, że mogą oni kopiować firmowe repozytoria kodu, takie jak GitHub, na prywatne profile lub do osobistych chmur oraz próbować gromadzić dane uwierzytelniające i pliki cookie sesji, aby otwierać sesje robocze na urządzeniach nienależących do firmy (FBI IC3 ostrzeżenie, 2025-01-23). Niezależnie od zawartych w obecnym akcie oskarżenia twierdzeń o transferze dochodów, sednem federalnych ostrzeżeń jest fakt, że sam dostęp do sieci korporacyjnej może stać się kanałem wycieku danych.