Le Federal Bureau of Investigation américain (FBI) a mené, entre le 21 et le 25 septembre, une opération de perquisition dans 40 habitations au Texas et a saisi environ 187 ordinateurs ainsi que des appareils KVM, soupçonnés d’avoir été utilisés dans le cadre d’un stratagème permettant à des travailleurs technologiques nord-coréens de travailler à distance sur des postes au sein d’entreprises américaines. L’opération, baptisée Lonestar Roundup, s’est déroulée parallèlement à une action du ministère américain de la Justice contre le groupe de menaces connu sous le nom de Famous Chollima ou WageMole.
Le ministère de la Justice a déclaré que les autorités avaient arrêté les citoyens américains Michael James Bostelle et Juan Cecilio Pena Carrillo et inculpé 14 personnes au total, notamment pour fraude informatique, blanchiment d’argent et usurpation d’identité. Le ministère a également annoncé des accusations distinctes contre 12 ressortissants chinois.
Comment fonctionnaient les fermes informatiques ?
Les facilitateurs hébergeaient les ordinateurs fournis par les entreprises à des fins professionnelles dans des sites situés aux États-Unis, puis permettaient à des travailleurs se trouvant à l’étranger d’y accéder à distance au moyen d’appareils KVM et de logiciels d’accès à distance. De cette manière, le travailleur apparaissait aux yeux de l’employeur comme se trouvant aux États-Unis, alors que son identité ou son emplacement réel était différent.
Selon l’article, le stratagème reposait sur des identités volées ou fictives, des réseaux VPN et une infrastructure intermédiaire destinée à dissimuler la véritable source des communications. Les facilitateurs réceptionnaient également les ordinateurs, installaient les outils d’accès à distance et transféraient les revenus vers des comptes contrôlés par des entités liées à la Corée du Nord.
Méthodes de transfert des appareils et de dissimulation des traces
La société CrowdStrike a indiqué que les travailleurs utilisaient plusieurs méthodes pour faire parvenir les appareils de l’entreprise aux fermes informatiques plutôt qu’aux adresses figurant dans les documents d’identité. Il s’agissait notamment de signaler un faux vol afin d’obtenir des appareils de remplacement, de faire tourner plusieurs adresses résidentielles, de prétendre avoir déménagé au dernier moment pour détourner les envois et d’exploiter des fonctions au sein d’entreprises de recrutement afin de modifier la destination des appareils.
CrowdStrike suit l’activité de ces travailleurs depuis avril 2025. La société estime que l’exposition des méthodes précédentes a poussé les opérateurs à recourir davantage à l’usurpation des identifiants des appareils, allant jusqu’à réutiliser certains identifiants entre différentes organisations victimes.
Qu’est-ce qui change concrètement ?
L’affaire montre que la vérification de l’identité et de l’emplacement d’un employé ne s’arrête pas à l’entretien d’embauche ou à l’adresse de résidence. Le fait qu’un intermédiaire détienne l’ordinateur de l’entreprise lui permet de contrôler un point d’accès physique à l’environnement de travail, même lorsque la connexion technique semble provenir des États-Unis. Le risque concerne donc le vol de données, la diffusion de logiciels malveillants ou l’accès aux actifs numériques, et pas seulement la violation des règles de recrutement.
Le ministère de la Justice fait état d’un stratagème distinct dans l’Ohio, qui s’est poursuivi de 2019 à juillet 2025, a touché 70 entreprises américaines et a rapporté environ 3 millions de dollars aux entités liées à la Corée du Nord. Cependant, l’article cite CrowdStrike, qui estime que l’impact de l’opération de perquisition actuelle pourrait être limité à court terme et la décrit comme le début d’un effort américain plus large visant à démanteler l’infrastructure du groupe aux États-Unis.