Минюст США объявил о предъявлении обвинений 14 лицам, аресте 2 человек и изъятии около 187 устройств по делу о схеме с удаленными северокорейскими IT-специалистами

https://x.com/FBIDallas/status/2110112211779654086

Министерство юстиции США 13 октября объявило о скоординированных мерах против схемы северокорейских властей по удаленному трудоустройству ИТ-специалистов. Федеральная прокуратура Северного округа Огайо предъявила обвинения 14 лицам в связи со сговором, затронувшим более 70 американских компаний; двое из них, граждане США, были арестованы. Федеральное бюро расследований (ФБР) провело обыски более чем на 40 объектах в Техасе, именуемых «фермами ноутбуков», и изъяло около 187 ноутбуков и устройств удаленного доступа, говорится в пресс-релизе Министерства юстиции.

Меры, объявленные Министерством юстиции

Официальный аккаунт Управления национальной безопасности Министерства юстиции в сети X в тот же день также сообщил о совместных действиях, упомянув предъявление обвинений и аресты в Огайо и Техасе, а также изъятие около 187 компьютерных устройств. Отделение ФБР в Кливленде также заявило, что по результатам его собственного расследования прокуратура Северного округа Огайо предъявила обвинения 14 лицам, а ущерб был нанесен 70 компаниям. Число обвиняемых и пострадавших компаний взято из заявлений двух ведомств по одному и тому же делу и не является суммой показателей из разных разбирательств.

https://x.com/DOJNatSec/status/2110089489452253489

https://x.com/FBICleveland/status/2110144855032709629

По данным Министерства юстиции, обвинительное заключение включает четыре пункта, касающиеся сговора с целью электронного мошенничества, отмывания денег и хищения персональных данных. Наименования составов преступлений передают формулировки обвинительного заключения, и Минюст в конце пресс-релиза также подчеркнул, что его содержание представляет собой лишь обвинения, а подсудимые считаются невиновными до тех пор, пока их вина не будет доказана в суде вне всяких разумных сомнений. «Предъявление обвинения» не означает «вынесение обвинительного приговора». Личности двух из 14 обвиняемых засекречены, и их имена в пресс-релизе Министерства юстиции не раскрываются.

Арестованными являются Майкл Джеймс Бостел из Пенсильвании и Хуан Сесилио Пенья Каррильо из Техаса; как сообщила прокуратура Северного округа Огайо, оба являются гражданами США. В число остальных обвиняемых вошли граждане Китая, которые, как указано, проживают в КНР. Данный перечень отражает состав обвиняемых, указанный прокуратурой в обвинительном заключении.

Как функционировала схема

Схема, о которой заявляет прокуратура в обвинительном заключении, выглядит следующим образом. Северокорейские ИТ-специалисты использовали украденные или поддельные документы, удостоверяющие личность, а также инфраструктуру виртуальных частных сетей (VPN) и прокси-серверов, чтобы выдавать себя за находящихся в США американцев, после чего подавали заявления и нанимались на удаленные ИТ-должности в американские компании. Находившиеся на территории США пособники получали и хранили у себя дома выданные пострадавшими компаниями ноутбуки, настраивали их, устанавливали программное обеспечение для удаленного доступа и занимались переводом заработанных средств на счета, контролируемые Северной Кореей, утверждает обвинение.

Эти базы, где дома накапливалось множество ноутбуков, следственные органы назвали «фермами ноутбуков (laptop farm)». Министерство юстиции заявило, что эта схема действовала с 2019 года примерно до июля 2025 года, доход от пострадавших компаний составил около 3 миллионов долларов, и эти деньги, судя по всему, переводились находящимся под санкциями структурам, подконтрольным КНДР. Сумма в 3 миллиона долларов и маршрут переводов — это утверждения, выдвинутые прокуратурой в обвинительном заключении и пресс-релизе, а не суммы, установленные судебным решением. Пострадавшие предприятия относятся к сферам здравоохранения, телекоммуникаций, киберподдержки, розничной торговли и производства; среди них оказались компании из Огайо, еще 16 штатов и округа Колумбия, отметило обвинение.

В Техасе проводилась отдельная операция. С 21 по 25 сентября ФБР провело обыски более чем на 40 объектах в Техасе, известных или подозреваемых как фермы ноутбуков, и в ходе всей операции под названием «Lone Star Roundup» изъяло около 187 ноутбуков и комплектов оборудования KVM (клавиатура, видео, мышь). Официальный аккаунт директора ФБР в еженедельной сводке указал: 14 обвиняемых, двое арестованных и более 180 изъятых устройств в связи с северокорейской схемой. В пресс-релизе Министерства юстиции указано «около 187 устройств», а в сообщении директора ФБР — «более 180 устройств».

https://x.com/FBIDirectorKash/status/2111192508780642687

Предупреждение для бизнеса

Министерство юстиции сообщило, что в тот же день ФБР выпустило официальное уведомление для бизнеса (PSA). В предупреждении поясняется, что по мере улучшения возможностей частных компаний по выявлению подобных схем северокорейские ИТ-кадры меняют тактику: активнее вербуют американских пособников, расширяют круг поручаемых им задач, а в отдельных случаях полностью перепоручают работу специалистам из третьих стран. В пресс-релизе Министерства юстиции также упомянуты прежние предупреждения, призывающие компании ужесточить проверку личности при приеме на работу.

Название «Famous Chollima» — это идентификационное обозначение, присвоенное компанией CrowdStrike, а не признанное судом наименование. Власти Северной Кореи не выступили с официальной реакцией на данное обвинение.

Поскольку фермы ноутбуков используют домашние адреса в США и американских пособников, прокуратура описывает это дело не просто как зарубежный хакинг, а как преступление, переплетенное с кражей персональных данных внутри США и процедурами найма персонала. Минюст отметил, что эта мера является частью инициативы по перекрытию незаконных доходов Северной Кореи, и аналогичные действия предпринимались в июне и ноябре 2025 года, а также в апреле и мае 2026 года.

В упомянутом Министерством юстиции совместном предупреждении от мая 2022 года пояснялось, что северокорейский ИТ-специалист в индивидуальном порядке может зарабатывать до 300 000 долларов в год. Это общее разъяснение из предупреждения, а не подтвержденный индивидуальный доход обвиняемых по данному делу, поэтому смешивать эти сведения не следует. В пресс-релизе также сообщается о вознаграждении Госдепартамента США в размере до 5 миллионов долларов за информацию по этой теме.

Вымогательство и хищение данных, конкретизированные в предупреждении 2025 года

Еще до предъявления нынешних обвинений Федеральное бюро расследований поэтапно обновляло текст предупреждений о том, к каким дополнительным действиям прибегают северокорейские ИТ-специалисты внутри компаний после трудоустройства. В официальном предупреждении ФБР от 23 января 2025 года (PSA I-012325-PSA) отмечалось, что фиксировались случаи, когда разоблаченные сотрудники использовали похищенные проприетарные данные и исходный код в качестве заложников для требования выкупа, а при отказе опубликовали код пострадавшей компании. В том же предупреждении пояснялось, что злоумышленники могут копировать корпоративные репозитории кода, такие как GitHub, в личные профили или персональные облачные хранилища, а также пытаться собирать учетные данные и файлы cookie сессий для запуска рабочих сеансов с устройств, не принадлежащих компании (предупреждение IC3 ФБР от 23.01.2025). Помимо утверждений нынешнего обвинения о выводе доходов, суть федерального предупреждения заключается в том, что сам доступ к корпоративной сети может стать каналом утечки данных.