La Oficina Federal de Investigación de Estados Unidos (FBI) llevó a cabo entre el 21 y el 25 de septiembre una operación de redada que abarcó 40 viviendas en Texas, e incautó alrededor de 187 computadoras y dispositivos KVM que se cree fueron utilizados como parte de un esquema para que trabajadores tecnológicos norcoreanos trabajaran a distancia en puestos dentro de empresas estadounidenses. La operación, denominada Lonestar Roundup, se desarrolló en paralelo a una acción del Departamento de Justicia de Estados Unidos contra el grupo de amenazas conocido como Famous Chollima o WageMole.
El Departamento de Justicia afirmó que las autoridades arrestaron a los ciudadanos estadounidenses Michael James Bostelle y Juan Cecilio Pena Carrillo, y presentaron cargos contra un total de 14 personas, incluidos fraude electrónico, blanqueo de capitales y robo de identidad. El departamento también anunció cargos separados contra 12 acusados chinos.
¿Cómo funcionaban las granjas de computadoras?
Los facilitadores alojaban las computadoras proporcionadas por las empresas para fines laborales dentro de ubicaciones estadounidenses y luego permitían que trabajadores situados fuera del país accedieran a ellas a distancia mediante dispositivos KVM y software de acceso remoto. De esta manera, el trabajador aparecía ante el empleador como si estuviera en Estados Unidos, aunque su identidad o ubicación real fueran diferentes.
Según el artículo, el esquema se basaba en identidades robadas o inventadas, redes VPN y una infraestructura intermediaria para ocultar el verdadero origen de las comunicaciones. Los facilitadores también recibían las computadoras, instalaban herramientas de acceso remoto y transferían los ingresos a cuentas controladas por entidades vinculadas a Corea del Norte.
Métodos para desviar los dispositivos y ocultar su rastro
La empresa CrowdStrike afirmó que los trabajadores utilizaron varios métodos para hacer llegar los dispositivos de la empresa a las granjas de computadoras en lugar de a las direcciones indicadas en los documentos de identidad. Entre ellos figuraban denunciar un robo falso para obtener dispositivos de reemplazo, alternar entre múltiples direcciones residenciales, alegar una mudanza de última hora para redirigir los envíos y aprovechar puestos en empresas de contratación para cambiar el destino de los dispositivos.
CrowdStrike ha seguido la actividad de estos trabajadores desde abril de 2025. La empresa considera que la exposición de los métodos anteriores llevó a los operadores a depender en mayor medida de la suplantación de identificadores de dispositivos e incluso a reutilizar algunos identificadores entre distintas organizaciones víctimas.
¿Qué cambia en la práctica?
El caso demuestra que la verificación de la identidad y la ubicación del empleado no termina con la entrevista de contratación ni con la dirección de residencia. El hecho de que un tercero intermediario tenga la computadora corporativa le permite controlar un punto de acceso físico al entorno de trabajo, incluso cuando la conexión técnica parece proceder del interior de Estados Unidos. Por ello, el riesgo está relacionado con el robo de datos, la distribución de software malicioso o el acceso a activos digitales, y no solo con la infracción de las normas de contratación.
El Departamento de Justicia señala que un esquema separado en el estado de Ohio se prolongó desde 2019 hasta julio de 2025, afectó a 70 empresas estadounidenses y generó alrededor de 3 millones de dólares para entidades vinculadas a Corea del Norte. Sin embargo, el artículo citó a CrowdStrike, que afirmó que el impacto de la operación de redada actual podría ser limitado a corto plazo y la describió como el inicio de un esfuerzo estadounidense más amplio para desmantelar la infraestructura del grupo dentro de Estados Unidos.