美司法部宣布針對北韓遠端IT人員手法起訴14人、逮捕2人並查扣約187台設備
https://x.com/FBIDallas/status/2110112211779654086
美國司法部於10月13日宣布針對北韓政府遠端資訊科技（IT）人員手法的聯合執法行動。俄亥俄州北區聯邦檢察官辦公室就影響超過70家美國企業的共謀案（conspiracy）起訴了14人，其中2名美國公民已被逮捕。司法部新聞稿指出，聯邦調查局（FBI）在德州搜查了40多處被稱為「筆電農場」的據點，並查扣了約187台筆記型電腦及遠端存取設備。
司法部公布的措施
司法部國家安全處官方X帳號亦於同日公告聯合行動，並提及在俄亥俄州與德州的起訴、逮捕及查扣約187台電腦設備。FBI克里夫蘭分局亦表示，透過內部調查，俄亥俄州北區檢方已起訴14人，有70家企業受害。起訴對象與受害企業數量為兩家機構針對同一案件所作的公布，並非不同案件數字的加總。
https://x.com/DOJNatSec/status/2110089489452253489
https://x.com/FBICleveland/status/2110144855032709629
據司法部稱，起訴書包含四項罪名，即涉及電匯詐欺、洗錢及身分盜用的共謀罪（conspiracy）。罪名引用自起訴書用語，司法部亦在新聞稿末尾指出，起訴書內容僅為指控，在法院排除合理懷疑確定有罪之前，被告均被推定無罪。「被起訴」並不意味著「被定罪」。在被起訴的14人中，有2人的身分遭到封存，司法部新聞稿未公開其姓名。
俄亥俄州北區檢察官辦公室表示，被逮捕者為賓夕法尼亞州的麥可·詹姆士·博斯泰爾與德克薩斯州的胡安·塞西利奧·佩尼亞·卡里約，兩人均為美國公民。其餘被起訴對象包括註明居住於中國的中國籍人士。此份名單為檢方在起訴書中所陳述的被告構成。
手法的運作方式
檢方在起訴書中主張的運作方式如下：北韓IT人員利用盜用或偽造的身分文件，以及虛擬私人網路（VPN）和代理伺服器基礎設施，偽裝成身在美國境內的美國人，隨後應聘並獲聘美國企業的遠端IT職位。檢方主張，美國境內的協助者則在自己家中接收、保管並設定受害企業發放的多台筆記型電腦，安裝遠端存取軟體，並負責將賺取的款項轉移至北韓控制的帳戶。
調查機關將這種在家中堆放多台筆記型電腦的據點稱為「筆電農場（laptop farm）」。司法部指出，此手法自2019年持續至2025年7月左右，從受害企業牟取了約300萬美元的收益，該筆款項據信已匯往北韓控制的受制裁實體。300萬美元與匯款途徑為檢方在起訴書及新聞稿中主張的內容，並非法院判決確定的金額。檢方載明，受害行業包括醫療保健、電信、網路支援、零售及製造業，涵蓋俄亥俄州及其他16個州與華盛頓特區的企業。
德州則執行了另一項獨立行動。FBI於9月21日至25日間在德州搜查了40多處已知或疑似筆電農場的據點，並在名為「孤星圍捕」的整體行動中，查扣了約187台筆記型電腦及鍵盤／視訊／滑鼠（KVM）設備。FBI局長官方帳號在每週統計中指出，與北韓手法相關的案件共起訴14人、逮捕2人、查扣超過180台設備。司法部新聞稿的統計數據為「約187台」，而FBI局長貼文的統計數據則為「超過180台」。
https://x.com/FBIDirectorKash/status/2111192508780642687
向企業發布的警告
司法部表示，FBI於同日向企業發布了公眾警訊（PSA）。該警訊說明，隨著民間企業偵測能力的提升，北韓IT人員轉而更積極地招募美國籍協助者，擴大指派給協助者的工作範疇，在某些情況下甚至將整項工作轉包給第三國人員。司法部新聞稿同時提及以往呼籲企業在招聘過程中加強身分驗證的多項既有警告。
「Famous Chollima」為CrowdStrike所命名的識別名稱，並非法院認定的名稱。北韓政府尚未對此次起訴作出官方回應。
由於筆電農場使用美國境內的住家地址與美國籍協助者，檢方將其定性為不僅涉及境外駭客攻擊，還牽涉美國境內身分盜用及招聘程序的案件。司法部指出，此次行動是切斷北韓非法收益倡議（initiative）的一環，類似措施亦曾於2025年6月、11月以及2026年4月、5月實施過。
司法部提及的2022年 5月聯合警訊說明，北韓IT人員個人每年最多可賺取高達30萬美元。此為警訊中的一般性說明，並非本案被告個人經查證的所得金額，兩者不應混淆。新聞稿亦指出，國務院針對相關資訊提供最高達500萬美元的懸賞獎金。
2025年警訊中進一步具體說明的勒索與資料外洩
在本次起訴之前，聯邦調查局已逐步更新警訊內容，說明北韓IT人員在獲聘後於企業內部進行的額外行為。FBI於2025年1月23日發布的公眾警訊（PSA I-012325-PSA）指出，曾有案例顯示身分曝光的人員以竊取的專有資料與程式碼為要挾索取贖金，若要求未獲滿足，則將受害企業的程式碼公開。該警訊亦說明，這些人員可能會將GitHub等公司的程式碼儲存庫複製至個人設定檔或個人雲端帳號，並試圖收集憑證與工作階段Cookie，以便從非公司設備開啟作業工作階段（FBI IC3 警告, 2025-01-23）。除了本次起訴書所主張的收益轉移外，獲取企業網路存取權本身即可成為資料外洩管道，這正是聯邦警訊的核心要點。
警訊中亦逐項列出企業可在現場實施的防護措施。例如落實最小權限原則以停用本機管理員帳號並限制遠端桌面應用程式的安裝權限、檢查短時間內來自多個國家IP登入同一帳號的重複登入情況，以及確認透過共用硬碟與雲端進行資料外洩的痕跡。此外，終端設備上是否安裝了同時執行多個語音或視訊通話的軟體，也被列為檢查項目。需要釐清的是，這些項目並非已證實適用於本次被告的確定事實，而是FBI為協助企業識別類似招聘情況而提供的一般檢查清單。