ФБР ликвидировало в Техасе более 40 площадок, где держали корпоративные ноутбуки для фальшивых удалённых сотрудников, связанных с КНДР. Изъято свыше 200 устройств: схема позволяла выдавать северокорейских IT-специалистов за работников из США, а для компаний это означает, что обычный найм разработчика может превратиться в санкционный и информационный риск.
Операцию проводили при участии CrowdStrike, сообщает Tom's Hardware. Арестов пока не было: правоохранители решили сначала быстро остановить работающие сети, не дожидаясь предъявления обвинений. При этом участникам схемы, предоставлявшим свои адреса и инфраструктуру, уже напомнили о возможной уголовной ответственности за дальнейшее содействие удалённому мошенничеству.
Механика не особенно изящна, зато практична. Компания нанимает человека, который выглядит как кандидат из США, отправляет ему рабочий ноутбук, а устройство физически оказывается у посредника. Тот включает его, поддерживает подключение к интернету и при необходимости помогает проходить проверки. Реальную работу через этот ноутбук выполняет человек за пределами страны. Для корпоративных систем доступа сотрудник остаётся американским удалёнщиком: привычный IP-адрес, знакомое географическое расположение, выданное работодателем железо.
Именно такие посредники — ключевой элемент операции. По словам руководителя направления противодействия злоумышленникам CrowdStrike Адама Мейерса, людей привлекают обещанием лёгкого заработка, но со временем требования расширяются: нужно обслуживать больше устройств, решать проблемы с доступом и выполнять всё более сомнительные поручения. В какой-то момент выйти из истории становится заметно сложнее, чем войти.
Не единичный эпизод, а устойчивая схема
Северокорейские группы используют фиктивное трудоустройство, чтобы получать валютную выручку в обход международных санкций. В публикации приводится оценка порядка 500 млн долларов в год, однако это не официально подтверждённая финансовая отчётность, а оценка масштаба схемы. Пострадавшими могут быть и небольшие стартапы, которым трудно содержать отдельную службу безопасности, и крупные корпорации с формально зрелым наймом.
Американские ведомства занимаются такими сетями не первый год. Ранее они закрыли 29 аналогичных площадок в 16 штатах; через них северокорейские IT-работники устраивались более чем в сотню американских компаний. В ноябре 2025 года по связанным эпизодам осудили четырёх граждан США и гражданина Украины. Недавно Министерство юстиции США также раскрыло обвинения против двух американцев и десяти граждан КНДР, находившихся в Китае. По версии обвинения, эта группа за шесть лет, с 2019 года, получила более 3 млн долларов от 70 компаний.
Проблема в том, что удалённый формат сам по себе стирает признаки подмены. Видеозвонки, резюме, GitHub-профиль и тестовое задание больше не гарантируют, что за кандидатом стоит именно тот человек, который будет работать с исходным кодом, облачными ключами и внутренней документацией. Иногда след оставляют мелочи. В одном из описанных случаев IT-команда Amazon обратила внимание на задержку ввода с клавиатуры около 110 миллисекунд: она указывала, что человек находится далеко от ноутбука, через который якобы работает.
Что стоит проверить компаниям
Для русскоязычных команд история важна не только как американская криминальная хроника. Компании, работающие с подрядчиками, зарубежными заказчиками или распределёнными командами, сталкиваются с той же базовой проблемой: личность кандидата, устройство и фактическое место работы могут принадлежать трём разным людям и странам. Особенно уязвимы роли с доступом к CI/CD, облачной инфраструктуре, платёжным системам, клиентским данным и репозиториям.
Полезнее всего смотреть не на один «магический» индикатор, а на сочетание сигналов. Несовпадение часового пояса и рабочих привычек, нестабильная задержка ввода, регулярное использование удалённого доступа, странная география сетевых подключений, уклонение от живых технических интервью — всё это повод для дополнительной проверки, но не самостоятельный приговор. Нормальная процедура должна включать верификацию личности до выдачи доступов, принцип минимальных привилегий, раздельные учётные записи и мониторинг аномалий на корпоративных устройствах.
Количество закрытых площадок не означает, что фермы ноутбуков КНДР исчезли. Мейерс говорит, что схема одновременно становится распространённее и сложнее; только за последний месяц CrowdStrike в среднем выявляла два новых случая в день, и это, вероятно, лишь видимая часть рынка. Следующая линия защиты для работодателей — не запрет удалёнки, а более взрослый найм: проверять не только кандидата на экране, но и цепочку от его личности до устройства, с которого он получает доступ к бизнесу.