Wprowadzenie do problemu / definicja
Amerykańskie organy ścigania przeprowadziły szeroko zakrojoną operację wymierzoną w infrastrukturę wspierającą proceder fałszywego zatrudniania zdalnych pracowników IT powiązanych z Koreą Północną. W centrum sprawy znalazły się tzw. farmy laptopów, czyli fizyczne lokalizacje w USA, w których przechowywano i uruchamiano służbowe komputery dostarczane przez pracodawców. Taki model pozwalał zagranicznym operatorom ukrywać rzeczywiste pochodzenie, omijać kontrole zgodności i podszywać się pod legalnych pracowników z terenu Stanów Zjednoczonych.
Z perspektywy bezpieczeństwa nie jest to wyłącznie oszustwo rekrutacyjne. To dojrzały mechanizm umożliwiający budowanie długotrwałego dostępu do środowisk firmowych przy użyciu fałszywych tożsamości, lokalnej infrastruktury i pośredników logistycznych.
W skrócie
Według ustaleń władz USA oskarżono 14 osób o udział w wieloletnim schemacie wspierającym północnokoreański model wyłudzania pracy zdalnej w sektorze IT. W toku działań zabezpieczono około 187 komputerów oraz zlikwidowano ponad 40 farm laptopów w Teksasie. Śledczy wskazują, że kampania dotknęła ponad 70 amerykańskich firm, a wygenerowane przychody wyniosły około 3 mln dolarów.
- 14 oskarżonych o udział w procederze
- ponad 40 zdemontowanych farm laptopów
- około 187 zabezpieczonych komputerów
- ponad 70 poszkodowanych firm w USA
- około 3 mln dolarów przychodów z oszustwa
Kontekst / historia
Zjawisko północnokoreańskich pracowników IT działających pod przykryciem jest znane od kilku lat. Służby oraz sektor prywatny regularnie ostrzegają, że osoby powiązane z reżimem zdobywają zatrudnienie w zachodnich firmach jako programiści, administratorzy, inżynierowie wsparcia i kontraktorzy. Celem jest nie tylko uzyskanie wynagrodzenia, ale także omijanie sankcji, finansowanie struktur państwowych oraz potencjalne pozyskiwanie dostępu do wrażliwych zasobów organizacji.
W omawianej sprawie prokuratura wskazuje, że schemat miał działać od około 2019 roku do lipca 2025 roku. W operacji uczestniczyli zarówno obywatele USA, jak i osoby z Chin, pełniący role organizatorów, pośredników logistycznych oraz operatorów finansowych. Tego rodzaju zaplecze jest kluczowe, ponieważ tworzy wiarygodną obecność pracownika na terytorium Stanów Zjednoczonych i ułatwia przejście procesów HR, onboardingu oraz weryfikacji sprzętu.
Sprawa wpisuje się w szerszy trend obserwowany co najmniej od 2022 roku, kiedy szerzej opisano model działania północnokoreańskich zespołów IT wykorzystujących fałszywe profile zawodowe, podrobione dokumenty i podstawione osoby podczas rozmów kwalifikacyjnych. Z czasem schemat ewoluował i objął również zlecanie części zadań freelancerom w innych regionach świata.
Analiza techniczna
Farmy laptopów stanowiły kluczowy element całej operacji. W praktyce były to mieszkania, domy lub inne lokalizacje na terenie USA, do których trafiały laptopy wydane przez pracodawców. Urządzenia pozostawały fizycznie w kraju, ale faktyczna praca była wykonywana zdalnie spoza USA przez osoby podszywające się pod zatrudnionych specjalistów. Taki model znacząco utrudnia wykrywanie anomalii geolokalizacyjnych i może sprawiać wrażenie, że aktywność pochodzi z legalnego środowiska pracy.
Schemat zwykle rozpoczynał się od utworzenia fałszywej tożsamości zawodowej. Operatorzy wykorzystywali sfałszowane dokumenty, skradzione dane osobowe, spreparowane profile w serwisach zawodowych oraz fikcyjne historie zatrudnienia. Następnie aplikowali na stanowiska zdalne, często za pośrednictwem platform rekrutacyjnych i firm staffingowych. Po pomyślnym przejściu procesu rekrutacyjnego sprzęt firmowy trafiał na adres kontrolowany przez pośrednika.
Rola pośredników nie ograniczała się do odbioru przesyłek. Zapewniali oni również lokalną obsługę sprzętu, utrzymanie zasilania, podłączenie do sieci, przechwytywanie kodów uwierzytelniających, zakładanie rachunków bankowych i transfer środków. W efekcie powstawał pełny łańcuch operacyjny umożliwiający zarówno pobieranie wynagrodzeń, jak i utrzymywanie pozornie legalnej obecności w organizacji przez dłuższy czas.
Według ujawnionych informacji grupa stosowała także techniki utrudniające detekcję. Opisywano przypadki fałszywych zgłoszeń o kradzieży laptopa w celu wymuszenia wysyłki urządzenia zastępczego na inny adres, nagłych zmian adresu dostawy w trakcie transportu oraz rotacji lokalizacji w celu zamaskowania końcowego miejsca przeznaczenia. Dodatkowo wskazano na spoofing hashy urządzeń, w tym modyfikowanie prezentowanej charakterystyki sprzętu tak, aby elementy wykorzystywane do zdalnej obsługi stanowiska były trudniejsze do wykrycia przez systemy monitorujące.
Służby zwracają również uwagę na rozszerzenie modelu operacyjnego o osoby trzecie. Część zadań związanych z aplikowaniem do pracy, wykonywaniem obowiązków lub uczestnictwem w rozmowach rekrutacyjnych miała być zlecana freelancerom w Azji Południowej i Afryce Zachodniej. Taki podział pracy zwiększa skalę operacji, obniża koszty i dodatkowo komplikuje atrybucję.
Konsekwencje / ryzyko
Dla organizacji ryzyko nie ogranicza się do oszustwa płacowego. Zatrudnienie osoby działającej pod fałszywą tożsamością może prowadzić do naruszenia poufności danych, kradzieży własności intelektualnej, sabotażu, nadużyć uprzywilejowanego dostępu oraz wtórnych incydentów związanych z łańcuchem dostaw. Jeżeli taki pracownik uzyska dostęp do repozytoriów kodu, systemów CI/CD, środowisk chmurowych, baz danych klientów lub narzędzi administracyjnych, skutki mogą być znacznie poważniejsze niż sama utrata wynagrodzenia.
Szczególnie narażone są firmy działające w modelu remote-first, intensywnie korzystające z kontraktorów, szybkiego onboardingu oraz pośredników staffingowych. Wysokie ryzyko dotyczy także sektorów przetwarzających dane wrażliwe, realizujących kontrakty rządowe lub świadczących usługi kluczowe z punktu widzenia infrastruktury i bezpieczeństwa.
Zagrożenie ma również wymiar regulacyjny i reputacyjny. Organizacja, która dopuści do zatrudnienia osoby objętej sankcjami lub działającej na rzecz podmiotów sankcjonowanych, może narazić się na konsekwencje prawne, audytowe i kontraktowe. Wykrycie takiego przypadku przez klienta lub partnera biznesowego osłabia zaufanie do procesów HR, IAM i zarządzania ryzykiem dostawców.
Rekomendacje
Organizacje powinny traktować proces rekrutacji i onboardingu jako element powierzchni ataku. Niezbędne jest wzmocnienie weryfikacji tożsamości kandydatów, w tym kontrola spójności dokumentów, historii zatrudnienia, numerów kontaktowych, danych podatkowych i śladów cyfrowych. W przypadku ról uprzywilejowanych lub wymagających wysokiego zaufania warto stosować wieloetapowe potwierdzanie tożsamości oraz dodatkową walidację obecności fizycznej.
Istotne jest także monitorowanie logistyki sprzętu. Adresy dostaw, nagłe zmiany lokalizacji, wielokrotne przekierowania przesyłek, odbiór urządzeń przez osoby trzecie oraz koncentracja wielu laptopów pod jednym adresem powinny być traktowane jako sygnały ostrzegawcze. Dane z obszaru logistyki warto korelować z telemetrią EDR, MDM, systemów pocztowych, VPN, IdP i narzędzi HR.
- stosowanie silnego MFA odpornego na phishing
- wdrożenie dostępu warunkowego według urządzenia, lokalizacji i ryzyka sesji
- pełna telemetria endpointów i kontrola zgodności sprzętu
- wykrywanie narzędzi zdalnego sterowania i nietypowych urządzeń peryferyjnych
- segmentacja dostępu dla nowych pracowników i kontraktorów
- egzekwowanie zasady najmniejszych uprawnień
- regularna recertyfikacja uprawnień po onboardingu
W procesach HR i vendor management należy zwracać uwagę na czerwone flagi, takie jak odmowa spotkań wideo, niespójności akcentu i danych biograficznych, używanie pośredników do rozmów, presja na szybką wysyłkę sprzętu czy niestandardowe prośby dotyczące adresu dostawy. Dobrą praktyką jest również przygotowanie procedury reagowania na podejrzenie fałszywego pracownika IT, obejmującej izolację urządzeń, blokadę kont, analizę logów historycznych i ocenę ekspozycji danych.
Podsumowanie
Likwidacja ponad 40 farm laptopów pokazuje, że zagrożenie związane z północnokoreańskimi pracownikami IT ma jednocześnie charakter operacyjny, finansowy i wywiadowczy. To nie jest wyłącznie oszustwo rekrutacyjne, lecz rozwinięty model infiltracji środowisk firmowych przy użyciu fałszywej tożsamości, lokalnej infrastruktury i pośredników logistyczno-finansowych.
Dla przedsiębiorstw oznacza to konieczność połączenia kontroli HR, bezpieczeństwa tożsamości, monitoringu endpointów oraz analityki behawioralnej. Organizacje, które nadal traktują zatrudnienie zdalne wyłącznie jako proces kadrowy, pozostają szczególnie podatne na podobne kampanie.
Źródła
- The Hacker News — https://thehackernews.com/2026/10/us-shuts-down-over-40-laptop-farms.html
- United States Department of Justice — 14 Indicted in North Korean Remote IT Worker Conspiracy Affecting More than 70 U.S. Companies — https://www.justice.gov/usao-ndoh/pr/14-indicted-north-korean-remote-it-worker-conspiracy-affecting-more-70-us-companies
- IC3 — North Korean IT Workers Expanding Use of Facilitators, Broadening Recruitment — https://www.ic3.gov/PSA/2026/PSA261013
- CrowdStrike — U.S. Government Disrupts FAMOUS CHOLLIMA Operation with CrowdStrike Assistance — https://www.crowdstrike.com/en-us/blog/fbi-disrupts-famous-chollima-operation-with-crowdstrike-assistance
- United States Department of Justice — Two U.S. Nationals Sentenced for Facilitating Fraudulent Remote Information Technology Worker Scheme that Generated $5M in Revenue for the Democratic People’s Republic of Korea — https://www.justice.gov/opa/pr/two-us-nationals-sentenced-facilitating-fraudulent-remote-information-technology-worker