Las autoridades estadounidenses detuvieron a Michael James Postel, de Pensilvania, y a Juan Cecilio Peña Carrillo, de Texas, en una operación dirigida contra un esquema fraudulento que permitió a trabajadores de tecnología de la información de Corea del Norte conseguir empleos remotos en empresas estadounidenses. Según una acusación de cuatro cargos, el esquema, que supuestamente se prolongó desde 2019 hasta julio de 2025, generó más de 3 millones de dólares en ingresos fraudulentos.
Los acusados, junto con otros colaboradores, alojaban y preparaban computadoras portátiles entregadas por empresas estadounidenses a empleados que supuestamente trabajaban desde dentro de Estados Unidos. Mediante el uso de identidades falsas y una infraestructura de redes privadas virtuales y proxies para ocultar las ubicaciones reales, los trabajadores podían aparecer ante los empleadores como empleados residentes en Estados Unidos. La acusación indica que obtuvieron empleos en más de 70 empresas de los sectores de telecomunicaciones, soporte cibernético, atención sanitaria, manufactura y comercio minorista.
Desmantelamiento de sitios operativos dentro de Estados Unidos
En una operación separada denominada Operation Lonestar Roundup, el FBI registró 40 ubicaciones en Texas sospechosas de utilizarse como granjas de computadoras portátiles. Las autoridades incautaron 187 computadoras portátiles y dispositivos KVM, equipos que permiten controlar computadoras de forma remota y que, según se cree, se utilizaron para ejecutar el esquema.
También fueron acusadas diez personas residentes en China: Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang y Jin Long, por su supuesta participación en la operación.
¿Cómo funcionan las granjas de computadoras?
CrowdStrike rastrea esta actividad bajo el nombre Famous Chollima. Según la empresa, los trabajadores en el extranjero utilizan diversos métodos para convencer a los empleadores de enviar los dispositivos de la empresa a sitios operativos gestionados por facilitadores dentro de Estados Unidos. Entre los métodos se incluyen denunciar el robo de las computadoras para obtener dispositivos de reemplazo, alegar una mudanza repentina a otra dirección, rotar múltiples direcciones residenciales y recurrir a empresas de contratación tecnológica para redirigir los dispositivos de los clientes finales a esos sitios.
Después de que llegan los dispositivos, los facilitadores instalan programas y equipos que permiten a los trabajadores en el extranjero acceder a ellos de forma remota. A medida que las organizaciones refuerzan sus defensas, el grupo comenzó, según CrowdStrike, a ocultar las herramientas de acceso remoto, falsificar las huellas de los dispositivos y reutilizar los mismos identificadores de dispositivos en distintas organizaciones e identidades.
¿Por qué es importante esta noticia?
La operación demuestra que el esquema no depende únicamente de una intrusión técnica directa, sino de la combinación de fraude de identidad, infraestructura física, herramientas de administración remota y relaciones de contratación. CrowdStrike afirma que las víctimas incluyeron sectores críticos como la aviación, la energía, los servicios financieros, la atención sanitaria, la ciberseguridad, la defensa, la ingeniería gubernamental y la tecnología de consumo.
Sin embargo, la empresa advierte que desmantelar las granjas de computadoras podría tener un impacto limitado en la actividad de Famous Chollima, ya que estos sitios cumplen funciones físicas, legales y financieras que pueden reconstruirse en otros lugares. El FBI también considera que la amenaza no se limita a las empresas que contratan trabajadores remotos, ya que lleva a trabajadores estadounidenses de tecnología de la información, con o sin conocimiento de ello, a ejecutar servicios que van desde asistir a entrevistas de trabajo en nombre de los trabajadores, verificar identidades falsas, enviar paquetes y mantener conectados a Internet los dispositivos de trabajo desde sus viviendas.
Un enfoque de verificación en varias capas
El FBI recomienda lo que denomina Identity in Depth, es decir, utilizar capas de controles de acceso y mecanismos de detección y verificación continua de la identidad durante todo el ciclo de contratación. Entre los indicadores mencionados por la oficina figuran el uso de programas de escritorio remoto y herramientas de supervisión y administración remotas, la conexión de dispositivos externos para controlar la computadora, la descarga de aplicaciones no relacionadas con el trabajo, la extracción de datos, la rotación de cuentas bancarias y direcciones físicas, y la falsificación de documentos de verificación.
La idea práctica consiste en reunir múltiples señales de comportamiento en lugar de depender de una única regla que pueda eludirse fácilmente. La fuente no determina hasta qué punto estas medidas tendrán éxito para prevenir futuros esquemas, y las acusaciones contenidas en el caso tampoco han sido resueltas judicialmente.