As autoridades americanas prenderam Michael James Postel, da Pensilvânia, e Juan Cecilio Pena Carrillo, do Texas, em uma operação contra um esquema fraudulento que permitiu a trabalhadores de tecnologia da informação da Coreia do Norte obter empregos remotos em empresas americanas. Segundo uma acusação com quatro itens, o esquema, que supostamente durou de 2019 a julho de 2025, gerou mais de 3 milhões de dólares em receitas fraudulentas.
Os acusados, junto com outros colaboradores, hospedavam e preparavam laptops fornecidos por empresas americanas a funcionários que supostamente trabalhavam dentro dos Estados Unidos. Usando identidades falsificadas e uma infraestrutura de redes privadas virtuais e proxies para ocultar as localizações reais, os trabalhadores conseguiam parecer, para os empregadores, funcionários residentes nos Estados Unidos. A acusação indica que eles obtiveram empregos em mais de 70 empresas dos setores de telecomunicações, suporte cibernético, saúde, manufatura e varejo.
Desmantelamento de locais de operação dentro dos Estados Unidos
Em uma operação separada chamada Operation Lonestar Roundup, o FBI revistou 40 locais no Texas suspeitos de serem usados como fazendas de laptops. As autoridades apreenderam 187 laptops e dispositivos KVM, equipamentos que permitem controlar computadores remotamente, que supostamente foram usados na execução do esquema.
As acusações também foram apresentadas contra dez pessoas residentes na China: Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang e Jin Long, por sua suposta participação na operação.
Como funcionam as fazendas de computadores?
A CrowdStrike acompanha essa atividade sob o nome Famous Chollima. Segundo a empresa, os trabalhadores no exterior usam diversos métodos para convencer os empregadores a enviar os dispositivos corporativos para locais de operação administrados por facilitadores nos Estados Unidos. Os métodos incluem relatar o roubo dos computadores para obter dispositivos substitutos, alegar uma mudança repentina para outro endereço, alternar entre vários endereços residenciais e recorrer a empresas de recrutamento de tecnologia para redirecionar os dispositivos dos clientes finais para esses locais.
Depois que os dispositivos chegam, os facilitadores instalam softwares e equipamentos que permitem aos trabalhadores no exterior acessá-los remotamente. Com o reforço das defesas pelas organizações, o grupo começou, segundo a CrowdStrike, a ocultar as ferramentas de acesso remoto, falsificar impressões digitais dos dispositivos e reutilizar os mesmos identificadores de dispositivos em diferentes organizações e identidades.
Por que esta notícia é importante?
A operação mostra que o esquema não depende apenas de invasão técnica direta, mas da combinação de fraude de identidade, infraestrutura física, ferramentas de gerenciamento remoto e relações de emprego. A CrowdStrike afirma que as vítimas incluíram setores críticos como aviação, energia, serviços financeiros, saúde, segurança cibernética, defesa, engenharia governamental e tecnologia voltada ao consumidor.
Mas a empresa alerta que desativar as fazendas de computadores pode ter impacto limitado sobre a atividade da Famous Chollima, porque esses locais desempenham funções físicas, jurídicas e financeiras que podem ser reconstruídas em outros lugares. O FBI também considera que a ameaça não se limita às empresas que contratam remotamente, pois trabalhadores de tecnologia da informação levam americanos, consciente ou inconscientemente, a executar serviços que vão desde participar de entrevistas de emprego em seu nome e verificar identidades falsificadas até enviar pacotes e manter dispositivos de trabalho conectados à internet em suas residências.
Uma abordagem de verificação em várias camadas
O FBI recomenda o que chama de Identity in Depth, ou seja, o uso de camadas de controles de acesso, mecanismos de detecção e verificação contínua da identidade durante todo o ciclo de contratação. Entre os indicadores mencionados pelo órgão estão o uso de softwares de desktop remoto e ferramentas de monitoramento e gerenciamento remoto, a conexão de dispositivos externos para controlar o computador, o download de aplicativos não relacionados ao trabalho, a extração de dados, a alternância de contas bancárias e endereços físicos e a falsificação de documentos de verificação.
A ideia prática é reunir vários sinais comportamentais, em vez de depender de uma única regra que possa ser facilmente contornada. A fonte não determina até que ponto essas medidas serão bem-sucedidas na prevenção de esquemas futuros, e as acusações apresentadas no caso ainda não foram decididas judicialmente.