美国联邦调查局（FBI）于9月21日至25日在得克萨斯州对40处住所实施突袭，查获约187台电脑和KVM设备。据信，这些设备被用于一项计划，使朝鲜技术工人在美国企业内部的岗位上远程工作。这项名为Lonestar Roundup的行动，与美国司法部针对名为Famous Chollima或WageMole的威胁组织展开的行动同步进行。
司法部表示，当局逮捕了美国公民Michael James Bostelle和Juan Cecilio Pena Carrillo，并总共起诉14人，罪名包括电信欺诈、洗钱和身份盗窃。该部门还宣布，另有12名中国籍被告受到单独指控。
电脑农场如何运作？
中介方将企业为工作用途提供的电脑托管在美国境内的地点，然后利用KVM设备和远程访问软件，让身处境外的工人远程访问这些电脑。通过这种方式，在雇主看来，工人仿佛身处美国，尽管其真实身份或实际位置并不相同。
据报道，该计划依靠被盗或虚构的身份、VPN网络以及用于隐藏通信真实来源的中间基础设施。中介方还负责接收电脑、安装远程访问工具，并将收入转入与朝鲜有关联的实体控制的账户。
设备转移和隐藏痕迹的手段
CrowdStrike表示，这些工人使用了多种方式，将公司设备送往电脑农场，而不是送到身份证明文件中记录的地址。其中包括谎报设备被盗以获取替换设备、轮换使用多个住宅地址、声称在最后一刻搬家以更改货件目的地，以及利用招聘公司的职位来改变设备的去向。
CrowdStrike自2025年4月起一直在追踪这些工人的活动。该公司认为，先前手段曝光后，运营者开始更多地依赖冒用设备标识符，甚至在不同受害机构之间重复使用部分标识符。
实际情况发生了哪些变化？
这起案件表明，对员工身份和所在地的核验并不止于招聘面试或居住地址。中介方持有企业电脑，就能控制进入工作环境的实际接入点，即使技术连接看起来来自美国境内。因此，风险不仅在于违反招聘规定，还涉及数据窃取、传播恶意软件或访问数字资产。
司法部指出，俄亥俄州另有一项独立计划从2019年持续至2025年7月，影响了70家美国企业，并为与朝鲜有关联的实体带来约300万美元收入。不过，报道援引CrowdStrike称，当前突袭行动的直接影响可能有限，并将其描述为美国开始在境内拆除该组织基础设施的更广泛行动。