O Federal Bureau of Investigation (FBI) dos Estados Unidos realizou, entre 21 e 25 de setembro, uma operação de busca que envolveu 40 residências no Texas e apreendeu cerca de 187 computadores e dispositivos KVM que, segundo as suspeitas, foram usados em um esquema para que trabalhadores de tecnologia norte-coreanos atuassem remotamente em empregos dentro de empresas americanas. A operação, denominada Lonestar Roundup, ocorreu paralelamente a uma ação do Departamento de Justiça dos Estados Unidos contra o grupo de ameaça conhecido como Famous Chollima ou WageMole.
O Departamento de Justiça afirmou que as autoridades prenderam os cidadãos americanos Michael James Bostelle e Juan Cecilio Pena Carrillo e acusaram 14 pessoas ao todo, por crimes que incluem fraude eletrônica, lavagem de dinheiro e roubo de identidade. O departamento também anunciou acusações separadas contra 12 acusados chineses.
Como funcionavam as fazendas de computadores?
Os facilitadores hospedavam, em locais nos Estados Unidos, os computadores fornecidos pelas empresas para fins de trabalho e, em seguida, permitiam que trabalhadores localizados no exterior os acessassem remotamente usando dispositivos KVM e softwares de acesso remoto. Dessa forma, o trabalhador aparecia para o empregador como se estivesse nos Estados Unidos, embora sua identidade ou localização real fossem diferentes.
Segundo o artigo, o esquema dependia de identidades roubadas ou inventadas, redes VPN e uma infraestrutura intermediária para ocultar a verdadeira origem das comunicações. Os facilitadores também recebiam os computadores, instalavam ferramentas de acesso remoto e transferiam os rendimentos para contas controladas por entidades ligadas à Coreia do Norte.
Métodos para redirecionar os dispositivos e ocultar seus rastros
A CrowdStrike afirmou que os trabalhadores usavam vários métodos para encaminhar os dispositivos da empresa às fazendas de computadores, em vez dos endereços indicados nos documentos de identidade. Entre eles estavam denunciar um roubo fictício para obter dispositivos substitutos, alternar entre vários endereços residenciais, alegar uma mudança de última hora para redirecionar as remessas e explorar funções em empresas de recrutamento para alterar o destino dos dispositivos.
A CrowdStrike acompanha a atividade desses trabalhadores desde abril de 2025. A empresa considera que a exposição dos métodos anteriores levou os operadores a depender mais da falsificação de identificadores de dispositivos e até a reutilizar alguns identificadores entre diferentes organizações vítimas.
O que muda na prática?
O caso mostra que a verificação da identidade e da localização do funcionário não termina na entrevista de emprego ou no endereço residencial. Quando uma parte intermediária possui o computador corporativo, ela pode controlar um ponto de acesso físico ao ambiente de trabalho, mesmo quando a conexão técnica parece vir de dentro dos Estados Unidos. Por isso, o risco está relacionado ao roubo de dados, à disseminação de malware ou ao acesso a ativos digitais, e não apenas à violação das regras de contratação.
O Departamento de Justiça aponta para um esquema separado no estado de Ohio que durou de 2019 até julho de 2025, afetou 70 empresas americanas e gerou cerca de 3 milhões de dólares para entidades ligadas à Coreia do Norte. Ainda assim, o artigo citou a CrowdStrike ao afirmar que o impacto imediato da atual operação de busca pode ser limitado, descrevendo-a como o início de um esforço americano mais amplo para desmantelar a infraestrutura do grupo dentro dos Estados Unidos.