ФБР провело обыски в 40 домах Техаса и изъяло около 187 ноутбуков, которые использовались в схеме фиктивного трудоустройства северокорейских IT-работников. Фермы ноутбуков позволяли удалённым исполнителям выглядеть сотрудниками из США — и это неприятное напоминание для любой компании, нанимающей разработчиков или подрядчиков за рубежом: проверять нужно не только резюме и документы, но и саму рабочую среду.
Операция получила название Lonestar Roundup и проходила с 21 по 25 сентября. Как сообщает BleepingComputer, американские правоохранители считают, что инфраструктурой пользовалась группа Famous Chollima, также известная как WageMole. Минюст США задержал двух человек, предъявил обвинения 14 фигурантам и описал схему, которая затронула десятки компаний.
Механика проста и потому опасна. Компания нанимает специалиста, который предъявляет украденную, арендованную или вымышленную личность и указывает американский адрес. Рабочий ноутбук приезжает к посреднику в США, а реальный исполнитель подключается к нему из-за рубежа через средства удалённого доступа. Для работодателя всё выглядит привычно: устройство находится в стране, часовой пояс и сетевые признаки можно подогнать под легенду, а сотрудник участвует в рабочих процессах как штатный удалёнщик.
По данным CrowdStrike, за деятельностью Famous Chollima отслеживали как минимум с апреля 2025 года. Когда компании стали внимательнее проверять адреса доставки, операторы начали обходить контроль. Они могли заявить о якобы украденном устройстве, чтобы получить замену на нужный адрес, менять жилые адреса по пути доставки, сообщать о внезапном переезде или перенаправлять технику через роли в кадровых и IT-подрядчиках.
Изъятые устройства и KVM-модули были физическим слоем этой операции. KVM позволяет передавать ввод с клавиатуры и мыши, сохраняя впечатление, что за корпоративным ноутбуком работает человек в той же стране, где стоит устройство. В таких условиях обычная проверка IP-адреса перестаёт быть надёжным фильтром: трафик действительно идёт из США, хотя сотрудник может находиться совсем в другой юрисдикции.
Американские власти отдельно раскрыли материалы дела из Огайо. Согласно обвинению, схема действовала с 2019 года по июль 2025-го, затронула 70 компаний и принесла северокорейским участникам примерно 3 млн долларов. Исполнители использовали поддельные или похищенные данные, VPN и прокси-инфраструктуру. Посредники в США принимали корпоративные ноутбуки, ставили на них ПО для удалённого доступа и переводили заработок на счета, контролируемые КНДР.
По этому эпизоду задержаны граждане США Майкл Джеймс Бостелл и Хуан Сесилио Пенья Каррильо. Им вменяют мошенничество с использованием средств связи, отмывание денег и кражу персональных данных. Отдельно Минюст сообщил об аналогичных обвинениях против 12 граждан Китая. Важно, что расследование направлено не только на людей, которые устраивались на работу под чужими именами, но и на обслуживавшую их локальную инфраструктуру.
Для бизнеса эта история не сводится к риску выплатить зарплату не тому кандидату. Северокорейские операторы, по оценке американских властей и исследователей, могут использовать доступ к работодателю для кражи данных, внедрения вредоносного ПО, хищения криптоактивов или дальнейшего проникновения в сеть. Даже если конкретный нанятый разработчик ничего не ломает, он получает легитимный доступ к исходному коду, внутренней документации, облачным консолям, ключам и переписке команды.
Особенно уязвимы компании с быстрым наймом, распределёнными командами и слабой связью между HR, службой безопасности и IT. Проверка личности часто заканчивается на паспорте и видеозвонке, а доставка корпоративного ноутбука воспринимается как логистическая рутина. В этой схеме именно рутина превращается в канал обхода контроля: устройство отправляют по корректному на вид адресу, а затем оно оказывается в доме-посреднике.
Практический вывод для IT-команд — связать процессы найма, выдачи техники и управления доступами. Стоит отдельно проверять смену адреса сразу после оффера, заявления об утрате нового устройства, настойчивые просьбы перенаправить доставку и несоответствие между заявленной локацией, рабочим графиком и поведением учётной записи. Полезны доставка с подтверждением личности, инвентаризация оборудования, ограничения на установку ПО удалённого управления и доступ по принципу минимальных привилегий до окончания испытательного периода.
Сами фермы ноутбуков после рейда не исчезнут: CrowdStrike прямо указывает, что одиночная операция вряд ли радикально изменит масштаб проблемы. Более того, публичное давление уже подталкивает операторов к подмене или повторному использованию идентификаторов устройств между разными компаниями. Значит, следующий уровень защиты — не поиск одного «подозрительного IP», а сопоставление сигналов из найма, логистики, управления устройствами и контроля доступа. Для рынка удалённой разработки доверие всё заметнее становится инженерной задачей.