DOJ indicia facilitadores e revista 40 ‘fazendas de laptops’ norte-coreanas no Texas

O Departamento de Justiça dos EUA anunciou na terça-feira, 13 de outubro, que indiciou pelo menos dois facilitadores americanos e revistou mais de 40 “fazendas de laptops” em todo o Texas, como parte de uma repressão a agentes norte-coreanos que usavam identidades americanas roubadas para conseguir empregos como trabalhadores remotos de TI em empresas dos EUA. Agentes federais apreenderam mais de 180 computadores que empresas haviam enviado para pessoas que acreditavam ser novos funcionários domésticos.

A Coreia do Norte opera há anos esquemas de trabalhadores remotos de TI para financiar seus programas de armamento sancionados, mas esta ação se destaca pela escala: o DOJ descreveu as buscas no Texas como o maior número já revelado de fazendas de laptops descobertas em uma única operação. Uma fazenda de laptops permite que um facilitador — geralmente um residente americano pago para participar — hospede laptops fornecidos pela empresa em um endereço americano real, e permita remotamente que trabalhadores norte-coreanos no exterior façam login e pareçam estar trabalhando de dentro do país, driblando as verificações de localização nas quais os empregadores confiam.

Segundo o DOJ, o esquema infiltrou pelo menos 70 empresas sediadas nos EUA em Ohio e outros 16 estados, além de Washington D.C., abrangendo saúde, suporte cibernético, varejo, comunicações e manufatura. Os promotores estimam que a operação gerou cerca de US$ 3 milhões em fundos roubados; a agência não nomeou as empresas afetadas. Os operativos usavam endereços de e-mail realistas, perfis falsos no LinkedIn e históricos elaborados em redes sociais para passar pelas verificações de antecedentes dos empregadores, e em alguns casos subcontratavam empregos inteiros a outros cidadãos estrangeiros para evitar detecção.

A CrowdStrike, que auxiliou o FBI na investigação, disse que fazendas de laptops são infraestrutura “vital” para a operação de hacking norte-coreana que rastreia como Famous Chollima, e que o grupo foi responsável por cerca de metade de todas as intrusões documentadas hands-on-keyboard observadas pela CrowdStrike no último ano. Um aviso de serviço público separado do FBI (PSA261013), emitido junto com a ação do DOJ, alerta que milhares de trabalhadores de TI controlados pelo estado norte-coreano continuam empregados em empresas ocidentais além das identificadas neste caso.

O esquema de trabalhadores remotos de TI é uma das várias fontes de receita que a Coreia do Norte usa para financiar seus programas nucleares e de mísseis, ao lado de hacks diretos a exchanges de criptomoedas e comprometimento de projetos de software de código aberto; a CrowdStrike estima que atores ligados à Coreia do Norte roubaram pelo menos US$ 2 bilhões em criptomoedas somente em 2025. Pesquisadores de segurança acreditam que o número real de empresas que, sem saber, contrataram agentes norte-coreanos, e a escala real dos fundos roubados, é significativamente maior do que o divulgado publicamente. O anúncio do DOJ e o PSA261013 do FBI foram reportados por Zack Whittaker para o TechCrunch.