Les autorités américaines ont arrêté Michael James Postel, originaire de Pennsylvanie, et Juan Cecilio Peña Carillo, originaire du Texas, dans le cadre d’une opération visant un stratagème frauduleux ayant permis à des travailleurs informatiques nord-coréens d’obtenir des emplois à distance auprès d’entreprises américaines. Selon un acte d’accusation en quatre chefs, le stratagème, qui aurait perduré de 2019 à juillet 2025, a généré plus de 3 millions de dollars de revenus frauduleux.
Les deux accusés, ainsi que d’autres complices, hébergeaient et configuraient des ordinateurs portables fournis par des entreprises américaines à des employés censés travailler depuis les États-Unis. Grâce à de fausses identités et à une infrastructure de réseaux privés virtuels et de serveurs proxy destinée à dissimuler les véritables emplacements, les travailleurs pouvaient apparaître aux yeux de leurs employeurs comme des employés résidant aux États-Unis. L’acte d’accusation indique qu’ils ont obtenu des emplois dans plus de 70 entreprises des secteurs des télécommunications, de l’assistance informatique, de la santé, de la fabrication et de la vente au détail.
Démantèlement de sites d’exploitation aux États-Unis
Lors d’une opération distincte baptisée Operation Lonestar Roundup, le FBI a perquisitionné 40 sites au Texas soupçonnés d’être utilisés comme fermes d’ordinateurs portables. Les autorités ont saisi 187 ordinateurs portables et des dispositifs KVM, des équipements permettant de contrôler des ordinateurs à distance, qui auraient été utilisés pour mettre en œuvre le stratagème.
Dix personnes résidant en Chine ont également été inculpées. Il s’agit de Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang et Jin Long, accusés d’avoir pris part à l’opération.
Comment fonctionnent les fermes informatiques ?
La société CrowdStrike suit cette activité sous le nom de Famous Chollima. Selon l’entreprise, les travailleurs situés à l’étranger recourent à diverses méthodes pour convaincre les employeurs d’expédier les appareils de l’entreprise vers des sites d’exploitation gérés par des facilitateurs aux États-Unis. Ces méthodes comprennent le signalement du vol des ordinateurs afin d’obtenir des appareils de remplacement, la prétention à un déménagement soudain vers une autre adresse, la rotation de plusieurs adresses résidentielles et le recours à des sociétés de recrutement informatique pour réacheminer les appareils des clients finaux vers ces sites.
Après l’arrivée des appareils, les facilitateurs installent des logiciels et du matériel permettant aux travailleurs situés à l’étranger d’y accéder à distance. Alors que les organisations renforçaient leurs moyens de défense, le groupe a commencé, selon CrowdStrike, à dissimuler les outils d’accès à distance, à falsifier les empreintes des appareils et à réutiliser les mêmes identifiants d’appareils dans différentes organisations et sous différentes identités.
Pourquoi cette information est-elle importante ?
L’opération montre que le stratagème ne repose pas uniquement sur un piratage technique direct, mais sur la combinaison de fraudes à l’identité, d’infrastructures physiques, d’outils d’administration à distance et de relations de recrutement. CrowdStrike affirme que les victimes comprenaient des secteurs critiques tels que l’aviation, l’énergie, les services financiers, la santé, la cybersécurité, la défense, l’ingénierie gouvernementale et les technologies grand public.
La société avertit toutefois que le démantèlement des fermes informatiques pourrait avoir un effet limité sur l’activité de Famous Chollima, car ces sites remplissent des fonctions matérielles, juridiques et financières qui peuvent être reconstituées ailleurs. Le FBI estime également que la menace ne se limite pas aux entreprises qui recrutent à distance, puisque des travailleurs informatiques poussent des Américains, consciemment ou non, à fournir des services allant de la participation à des entretiens d’embauche à leur place et à la vérification de fausses identités, jusqu’à l’expédition de colis et au maintien des appareils professionnels connectés à Internet depuis leur domicile.
Une approche de vérification à plusieurs niveaux
Le FBI recommande ce qu’il appelle Identity in Depth, c’est-à-dire l’utilisation de plusieurs niveaux de contrôles d’accès et de mécanismes de détection, ainsi qu’une vérification continue de l’identité pendant toute la durée du cycle de recrutement. Parmi les indicateurs mentionnés par le bureau figurent l’utilisation de logiciels de bureau à distance et d’outils de surveillance et d’administration à distance, la connexion de périphériques externes pour contrôler l’ordinateur, le téléchargement d’applications sans rapport avec le poste, l’exfiltration de données, la rotation des comptes bancaires et des adresses physiques, ainsi que la falsification de documents de vérification.
L’idée pratique consiste à regrouper plusieurs signaux comportementaux plutôt que de s’appuyer sur une règle unique facile à contourner. La source ne précise toujours pas dans quelle mesure ces mesures réussiront à empêcher de futurs stratagèmes, et les accusations formulées dans cette affaire n’ont pas encore été tranchées par la justice.