El Departamento de Justicia de EE. UU. anunció el 13 de octubre de 2026 que 14 personas habían sido acusadas en una operación contra las actividades de trabajadores norcoreanos de TI en remoto. Entre ellas figuran dos ciudadanos estadounidenses a quienes se acusa de dirigir una infraestructura que permitía a trabajadores en el extranjero hacerse pasar por empleados con sede en Estados Unidos.
Las acciones coordinadas incluyeron dos arrestos, una acusación formal, registros en más de 40 viviendas de Texas conocidas o sospechosas de ser «granjas de portátiles» y la incautación de unos 187 portátiles y dispositivos de teclado, vídeo y ratón. Los registros en Texas se llevaron a cabo entre el 21 y el 25 de septiembre como parte de la Operación Lonestar Roundup.
Según el anuncio del DOJ, la operación más amplia tenía como objetivo los esquemas destinados a generar ingresos para la República Popular Democrática de Corea (RPDC) mediante empleos fraudulentos en empresas estadounidenses.
Dos facilitadores estadounidenses detenidos y 12 acusados más
Las autoridades arrestaron a Michael James Bostelle, de Pensilvania, y a Juan Cecilio Pena Carrillo, de Texas. El DOJ los describe como participantes en una conspiración de varios años y señala que una acusación formal de cuatro cargos, presentada en el Distrito Norte de Ohio, incluye delitos de fraude electrónico, blanqueo de capitales y robo de identidad.
El mismo caso, Sun Sheng Ming y otros, incluye a diez acusados con sede en China:
- Sun Sheng Ming
- Pei Li Guang
- Weng Shou Cheng
- Han Guo Bin
- Wang Jian Jun
- Sheng Zhang Kun
- Zhang Wei Ping
- Zhang Li Ping
- Yu Yang
- Jin Long
Otros dos acusados permanecen bajo sellado judicial. Junto con Bostelle y Pena Carrillo, el número de personas acusadas asciende a 14.
Las acusaciones aún no han sido juzgadas.
Cómo funcionaba el sistema de granjas de portátiles
Según el DOJ, el personal de TI de la RPDC consiguió empleos remotos utilizando documentos de identidad robados o fabricados. Las redes privadas virtuales (VPN) y la infraestructura de proxy les ayudaban a aparentar que eran residentes de EE. UU. que trabajaban desde ubicaciones nacionales.
Según se les acusa, los facilitadores con base en EE. UU. recibían en sus domicilios ordenadores proporcionados por las empresas, lo que daba lugar a conjuntos de dispositivos conocidos como granjas de portátiles. Configuraban los sistemas e instalaban software de acceso remoto para que los trabajadores del extranjero pudieran manejar los equipos mientras el tráfico de red y el equipo físico seguían en Estados Unidos.
Los facilitadores recibían un pago por mantener los equipos. Según los fiscales, los ingresos procedentes de los empleos remotos se transferían después a cuentas controladas por la RPDC.
El departamento afirma que los trabajadores norcoreanos están reclutando a más facilitadores estadounidenses a medida que los empleadores y las fuerzas del orden mejoran sus métodos de detección. Sus responsabilidades pueden ir más allá de alojar portátiles: en algunos casos, los facilitadores realizan tareas operativas adicionales, mientras que los empleos completos pueden subcontratarse a otros extranjeros.
Este esquema conlleva riesgos que van más allá de la nómina fraudulenta. El DOJ señala que los trabajadores norcoreanos de TI también han practicado extorsión de datos y han sustraído información confidencial o protegida por derechos de propiedad de empresas estadounidenses. Por tanto, una empresa que contrata a uno de estos trabajadores puede estar proporcionando tanto ingresos como acceso autenticado a sus sistemas internos.
Más de 70 empleadores presuntamente afectados
La acusación de Ohio abarca conductas desde 2019 hasta alrededor de julio de 2025. Los fiscales sostienen que el esquema afectó a más de 70 empleadores estadounidenses y generó aproximadamente 3 millones de dólares en ingresos para trabajadores de TI. El Gobierno considera que los fondos se enviaron a entidades sancionadas controladas por la RPDC.
Los empleadores afectados operaban en los sectores de salud, comunicaciones, soporte en ciberseguridad, comercio minorista y manufactura. Estaban ubicados en Ohio, en otros 16 estados y en el Distrito de Columbia.
Estas cifras corresponden a empresas empleadoras, no a un recuento de víctimas individuales de robo de identidad ni de cuentas comprometidas.
El DOJ indica que CrowdStrike asistió al FBI e identificó al grupo implicado como Famous Chollima. La empresa ha afirmado que la infraestructura de portátiles permitía a sus operadores suplantar a trabajadores legítimos, desviar salarios y mantener el acceso a las organizaciones afectadas. Esa descripción es la valoración de la propia empresa sobre la actividad.
La Operación Lonestar Roundup fue coordinada por la Fiscalía Federal de EE. UU. para el Distrito Norte de Texas, la Oficina de Campo del FBI en Dallas y la División de Ciberseguridad del FBI, con la colaboración del Distrito Norte de Ohio. La Oficina de Campo del FBI en Cleveland investigó el caso de Ohio.
Cuentas de correo que los empleadores deben incluir en sus filtros
El DOJ señaló que los investigadores identificaron una red de cuentas de correo que, según se afirma, usaban los operativos. Instó a los empleadores a incluir las siguientes direcciones entre sus indicadores de filtrado:
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
Una coincidencia debe tratarse como un indicador que requiere revisión, y no como prueba por sí sola de que un candidato o empleado esté relacionado con la operación.
El FBI también publicó un Anuncio de Servicio Público el 13 de octubre de 2026, con orientaciones de mitigación para empresas estadounidenses. El relato de SecurityAffairs identifica varias señales de alerta atribuidas a esas orientaciones: historiales laborales contradictorios, reticencia a aparecer en vídeo, solicitudes para redirigir la entrega de portátiles corporativos y cuentas de pago canalizadas a través de intermediarios.
Para los empleadores, la respuesta inmediata consiste en incorporar las cuentas enumeradas y los indicadores de comportamiento a los controles de contratación, y examinar con atención las solicitudes que separen la ubicación declarada del empleado del destino de los equipos de la empresa.
El Departamento de Estado también ofrece recompensas de hasta 5 millones de dólares por información que respalde los esfuerzos internacionales para desarticular las actividades financieras ilícitas de la RPDC, incluidos el cibercrimen, el blanqueo de capitales y la evasión de sanciones.
