Amerikai alkalmazottaknak adták ki magukat, távmunkában helyezkedtek el és a hatóságok szerint a fizetésükből származó bevételek Észak-Korea által ellenőrzött, szankcionált szervezetekhez kerülhettek. Az amerikai igazságügyi minisztérium október 13-án összehangolt fellépést jelentett be a hálózat ellen: több mint negyven texasi ingatlannál tartottak akciót, összesen mintegy 187 laptopot és KVM-eszközt foglaltak le, tizennégy ember ellen emeltek vádat és két gyanúsítottat letartóztattak. A nyomozás szerint a rendszer több mint hetven amerikai vállalatot érintett.
A módszer lényege az volt, hogy az észak-koreai informatikusok ellopott vagy hamis személyazonosságokkal jelentkeztek távoli állásokra amerikai vállalatoknál. A cégek által kiküldött laptopok azonban sok esetben nem kerültek a tényleges munkavégzőkhöz. Amerikai közreműködők vették át, otthonukban helyezték el és olyan távoli hozzáférést biztosítottak hozzájuk, amelyen keresztül a külföldön tartózkodó informatikusok úgy dolgozhattak, mintha fizikailag az Egyesült Államokban lennének.
Részlet az FBI észak-koreai IT-munkásokról szóló tájékoztató videójából. Kép: FBI / YouTube.
Az FBI ezeket a helyszíneket „laptopfarmokként” írta le. Az amerikai igazságügyi minisztérium szerint az ott működtetett gépek és hálózati eszközök azt a látszatot keltették, hogy a munkavállalók amerikai internetkapcsolatról jelentkeznek be a vállalati rendszerekbe, miközben a tényleges munkavégzés külföldről történt. A hatóságok szerint ehhez lopott személyazonosságokat, hamis dokumentumokat, virtuális magánhálózatokat és más technikai eszközöket is használtak.
Az FBI szerint ez nem új módszer. A hivatal Cyber Divisionjának vezetője egy korábbi szakmai műsorban arról beszélt, hogy az észak-koreai IT-munkások hálózata évek óta működik. A rendszer egyik célja, hogy pénzt termeljen a phenjani rezsim számára, miközben bizonyos esetekben kártékony programok vállalati rendszerekbe juttatását is észlelték. Az amerikai közreműködők által fenntartott „laptopfarmokon” esetenként több tucat gépet működtettek egyszerre, amelyekhez a tényleges munkavégzők külföldről csatlakoztak.
A Lonestar Roundup fedőnevű műveletben az FBI szeptember 21. és 25. között több mint negyven texasi lakóingatlant kutatott át. Az észak-texasi szövetségi ügyészség hivatalos közlése szerint összesen körülbelül 187 laptopot és KVM-eszközt foglaltak le. Ezekkel a berendezésekkel a gyanú szerint távolról lehetett vezérelni a céges gépeket. Csak Észak-Texasban hozzávetőleg száz ilyen eszköz került elő.
Az október 13-án ismertetett intézkedések között két amerikai gyanúsított letartóztatása is szerepelt. Az igazságügyi minisztérium szerint a két férfi a hálózat működtetésében segített, többek között vállalati laptopok elhelyezésével és az azokhoz szükséges távoli hozzáférés biztosításával. A vádpontok között elektronikus csalással, pénzmosással és személyazonosság-lopással kapcsolatos bűncselekmények szerepelnek. A hatóságok hangsúlyozták, hogy a vádiratban foglaltak egyelőre vádak és a terhelteket az ítéletig ártatlannak kell tekinteni.
Az ügy ohiói szála ennél is szélesebb hálózatot rajzol ki. Az észak-ohiói szövetségi ügyészség egy 58 oldalas vádirat nyilvánosságra hozataláról számolt be, amely tizennégy személyt nevez meg. A nyomozás szerint a rendszer több mint hetven amerikai munkáltatót érintett és hozzávetőleg hárommillió dollár bevételt termelt az informatikusoknak. A hatóságok azt gyanítják, hogy ez a pénz Észak-Korea által ellenőrzött, szankciókkal sújtott szervezetekhez került.
Az érintett vállalatok több ágazatban működtek. Az igazságügyi minisztérium egészségügyi, kommunikációs, kiberbiztonsági, kereskedelmi és feldolgozóipari cégeket is említett. A vállalatok több amerikai államban működtek, vagyis nem egyetlen régióra korlátozódó csalássorozatról volt szó.
A rendszer nemcsak a vállalatokat veszélyezteti. Az FBI szerint az észak-koreai szereplők amerikai állampolgárok személyes adatait is felhasználták ahhoz, hogy hiteles munkavállalói profilt hozzanak létre. Emiatt olyan amerikaiak is kaphattak adóértesítést olyan munkából származó jövedelem után, amelyet valójában nem ők kerestek meg.
A nyomozók szerint az észak-koreai informatikusok egyik legfontosabb célja nem pusztán az volt, hogy jövedelemhez jussanak. Az amerikai hatóságok úgy vélik, hogy a távmunkából származó bevételek egy része olyan észak-koreai szervezetekhez került, amelyek a rezsim fegyverprogramjaihoz kapcsolódnak. Az igazságügyi minisztérium ezért nem egyszerű munkaügyi vagy személyazonosság-lopási ügyként kezeli a történteket, hanem nemzetbiztonsági és szankciós kockázatként is.
A CrowdStrike kiberbiztonsági vállalat az ehhez kapcsolódó fenyegetési csoportot Famous Chollima néven követi. A cég együttműködött az FBI-jal a gyanús tevékenység azonosításában. Az amerikai hatóságok szerint az ilyen hálózatok egyre kifinomultabb módszereket alkalmaznak, ezért a munkáltatóknak nemcsak a jelentkezők személyazonosságát kell alaposan ellenőrizniük, hanem azt is, hogy a céges laptopok ténylegesen hol vannak és milyen távoli kapcsolatokon keresztül használják őket.
Az FBI az akcióval egy időben külön figyelmeztetést adott ki az amerikai vállalatoknak. A hatóság arra kérte a munkáltatókat, hogy különösen körültekintően ellenőrizzék a távoli munkára jelentkezők személyazonosságát, figyeljék a céges eszközök valódi helyét és vizsgálják meg a szokatlan távoli hozzáféréseket. Az FBI korábbi szakmai tájékoztatása szerint az egyik leghatékonyabb ellenőrzési módszer továbbra is a személyes találkozó vagy személyes állásinterjú, mert ez gyorsan kizárhatja azokat, akik valójában nem az Egyesült Államokban tartózkodnak.
A nyomozás továbbra is folyamatban van. Az amerikai igazságügyi minisztérium közlése szerint további részleteket akkor hoznak nyilvánosságra, amikor azt a folyamatban lévő eljárások lehetővé teszik.
Forrás: Amerikai Igazságügyi Minisztérium, FBI, Észak-texasi Szövetségi Ügyészség, Észak-ohiói Szövetségi Ügyészség
