美国当局逮捕了来自宾夕法尼亚州的Michael James Postel和来自得克萨斯州的Juan Cecilio Pena Carrillo，此次行动针对的是一项欺诈计划，该计划帮助朝鲜IT工作人员在美国公司获得远程工作。根据一份包含四项罪名的起诉书，据称这项从2019年持续至2025年7月的计划获得了超过300万美元的欺诈性收入。
两名被告与其他合作者一起，托管并配置了美国公司交给原本应在美国境内工作的员工使用的笔记本电脑。通过使用伪造身份，以及利用虚拟专用网络和代理构建的网络基础设施隐藏真实位置，这些工作人员得以在雇主面前伪装成居住在美国的员工。起诉书称，他们在70多家公司获得了工作，这些公司涉及电信、网络支持、医疗保健、制造和零售等行业。
拆除美国境内的运营地点
在一项名为Operation Lonestar Roundup的单独行动中，联邦调查局搜查了得克萨斯州40处涉嫌被用作笔记本电脑农场的地点。当局查获了187台笔记本电脑和KVM设备。KVM设备可以远程控制电脑，据认为曾被用于实施该计划。
此外，十名居住在中国的人员也被起诉，他们分别是Sun Sheng Ming、Pei Li Guang、Weng Shou Cheng、Han Guo Bin、Wang Jian Jun、Sheng Zhang Kun、Zhang Wei Ping、Zhang Li Ping、Yu Yang和Jin Long，涉嫌参与这项行动。
电脑农场如何运作？
CrowdStrike将这一活动追踪为Famous Chollima。据该公司称，身处海外的工作人员采用多种手段，说服雇主将公司设备寄送到由美国境内协调者运营的地点。这些手段包括报告电脑被盗以获得替换设备、声称突然搬到另一个地址、轮换使用多个住宅地址，以及借助技术招聘公司将最终客户的设备转送到这些地点。
设备送达后，协调者会安装软件和设备，使海外工作人员能够远程访问这些设备。CrowdStrike称，随着机构加强防御措施，该团伙开始隐藏远程访问工具、伪造设备指纹，并在不同机构和身份之间重复使用相同的设备标识符。
为什么这条消息很重要？
此次行动表明，该计划并不只依赖直接的技术入侵，而是将身份欺诈、实体基础设施、远程管理工具和招聘关系结合起来。CrowdStrike表示，受害者涉及航空、能源、金融服务、医疗保健、网络安全、国防、政府工程和消费技术等关键行业。
但该公司警告称，关闭电脑农场对Famous Chollima活动的影响可能有限，因为这些地点发挥着实体、法律和金融方面的作用，可以在其他地方重新建立。联邦调查局还认为，这一威胁并不局限于远程招聘员工的公司，因为IT工作人员会在美国人知情或不知情的情况下，促使他们执行各种服务，包括代替这些工作人员参加求职面试、核验伪造身份、寄送包裹，以及从住所让工作设备保持联网。
多层次的验证方法
联邦调查局建议采用其称为Identity in Depth的方法，即在整个招聘周期中使用多层访问控制，并持续进行身份检测和验证。该机构列出的指标包括使用远程桌面软件和远程监控与管理工具、连接外部设备控制电脑、下载与工作无关的应用程序、导出数据、轮换银行账户和实际地址，以及伪造验证文件。
其实际理念是汇总多种行为信号，而不是依赖一个容易被绕过的单一规则。原始消息并未确定这些措施未来在阻止相关计划方面的成效，而本案中的指控也尚未经过司法裁决。