Le ministère américain de la Justice (DOJ) a annoncé le 13 octobre 2026 que 14 personnes avaient été inculpées dans le cadre d'une opération de répression contre les activités nord-coréennes de travailleurs informatiques à distance. Parmi elles figurent deux ressortissants américains accusés d'avoir géré une infrastructure permettant à des travailleurs basés à l'étranger de se faire passer pour des salariés installés aux États-Unis.
Les actions coordonnées comprenaient deux arrestations, un acte d'accusation, des perquisitions dans plus de 40 résidences texanes connues ou soupçonnées d'abriter des « laptop farms », et la saisie d'environ 187 ordinateurs portables et de dispositifs KVM (clavier, écran et souris). Les perquisitions au Texas ont eu lieu entre le 21 et le 25 septembre, dans le cadre de l'Opération Lonestar Roundup.
Selon l'annonce du DOJ, l'opération plus large visait des systèmes destinés à générer des revenus pour la République populaire démocratique de Corée grâce à des emplois frauduleux dans des entreprises américaines.
Deux facilitateurs américains arrêtés, 12 autres prévenus poursuivis
Les autorités ont arrêté Michael James Bostelle, de Pennsylvanie, et Juan Cecilio Pena Carrillo, du Texas. Selon le DOJ, ils participaient à une conspiration qui s'étend sur plusieurs années. Un acte d'accusation en quatre chefs, déposé devant le tribunal du district nord de l'Ohio, retient des accusations de fraude électronique, de blanchiment d'argent et d'usurpation d'identité.
La même affaire, Sun Sheng Ming, et al., désigne dix prévenus basés en Chine :
- Sun Sheng Ming
- Pei Li Guang
- Weng Shou Cheng
- Han Guo Bin
- Wang Jian Jun
- Sheng Zhang Kun
- Zhang Wei Ping
- Zhang Li Ping
- Yu Yang
- Jin Long
Deux prévenus supplémentaires demeurent sous scellés. Avec Bostelle et Pena Carrillo, le nombre de personnes inculpées s'élève à 14.
Ces accusations n'ont pas été jugées.
Fonctionnement du système des « laptop farms »
Le DOJ indique que des informaticiens nord-coréens obtenaient des emplois à distance en utilisant des documents d'identité volés ou fabriqués. Des VPN et une infrastructure de proxys leur permettaient de paraître résider aux États-Unis et travailler depuis le territoire national.
Selon les accusations, des facilitateurs basés aux États-Unis auraient reçu chez eux des ordinateurs fournis par les entreprises, constituant des ensembles de matériel appelés « laptop farms ». Ils configuraient les systèmes et installaient des logiciels d'accès à distance, afin que les travailleurs situés à l'étranger puissent utiliser les ordinateurs, alors que le trafic réseau et le matériel physique restaient aux États-Unis.
Les facilitateurs étaient rémunérés pour l'entretien du matériel. Selon les procureurs, les revenus tirés de ces emplois à distance étaient ensuite transférés sur des comptes contrôlés par la RPDC.
Le ministère indique que les travailleurs nord-coréens recrutent davantage de facilitateurs américains à mesure que les employeurs et les forces de l'ordre améliorent leurs méthodes de détection. Leurs responsabilités peuvent dépasser le simple hébergement d'ordinateurs : dans certains cas, les facilitateurs exécutent des tâches opérationnelles supplémentaires, et des missions entières peuvent être sous-traitées à d'autres ressortissants étrangers.
Ce mécanisme comporte des risques qui vont au-delà de la fraude sur la paie. Le DOJ affirme que ces travailleurs informatiques nord-coréens se sont aussi livrés à de l'extorsion de données et ont extrait des informations propriétaires ou sensibles d'entreprises américaines. Une société qui embauche un tel travailleur peut donc lui procurer à la fois des revenus et un accès authentifié à ses systèmes internes.
Plus de 70 employeurs auraient été touchés
L'acte d'accusation de l'Ohio couvre des faits allant de 2019 à juillet 2025 environ. Les procureurs affirment que le système a touché plus de 70 employeurs américains et généré environ 3 millions de dollars de revenus pour les travailleurs informatiques. Selon le gouvernement, ces fonds ont été envoyés à des entités sanctionnées contrôlées par la RPDC.
Les employeurs concernés opèrent dans la santé, les télécommunications, le soutien cyber, la distribution et l'industrie manufacturière. Ils sont implantés dans l'Ohio, dans 16 autres États et dans le District de Columbia.
Ces chiffres concernent des employeurs, et non un décompte de victimes individuelles d'usurpation d'identité ou de comptes compromis.
Le DOJ indique que CrowdStrike a apporté son aide au FBI et a identifié le groupe impliqué sous le nom de Famous Chollima. CrowdStrike affirme que l'infrastructure d'ordinateurs portables permettait à ses opérateurs de se faire passer pour de véritables travailleurs, de détourner des salaires et de conserver un accès aux organisations victimes. Il s'agit de l'évaluation de l'entreprise sur ces activités.
L'Opération Lonestar Roundup a été coordonnée par le bureau du procureur fédéral du district nord du Texas, le bureau du FBI de Dallas et la division cyber du FBI, avec le concours du district nord de l'Ohio. Le bureau du FBI de Cleveland a enquêté sur le dossier de l'Ohio.
Adresses e-mail que les employeurs devraient intégrer au filtrage
Le DOJ indique que les enquêteurs ont identifié un réseau d'adresses e-mail qui auraient été utilisées par les opérateurs. Il a invité les employeurs à intégrer les adresses suivantes à leurs indicateurs de vérification :
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
Une correspondance doit être traitée comme un indicateur nécessitant un examen, et non comme une preuve, à elle seule, qu'un candidat ou un salarié est lié à l'opération.
Le 13 octobre 2026, le FBI a également publié un Public Service Announcement (PSA) contenant des recommandations d'atténuation à l'intention des entreprises américaines. Le compte rendu de SecurityAffairs recense plusieurs signaux d'alerte attribués à ces recommandations : historiques professionnels contradictoires, réticence à apparaître en vidéo, demandes de réacheminement de la livraison d'ordinateurs d'entreprise et comptes de paiement passant par des intermédiaires.
Pour les employeurs, la réponse immédiate consiste à intégrer les comptes listés et les indicateurs comportementaux aux contrôles de recrutement, tout en examinant avec attention les demandes qui séparent le lieu de résidence déclaré du salarié de la destination du matériel de l'entreprise.
Le Département d'État propose également des récompenses pouvant aller jusqu'à 5 millions de dollars pour toute information soutenant les efforts internationaux visant à perturber les activités financières illicites de la RPDC, notamment la cybercriminalité, le blanchiment d'argent et le contournement des sanctions.
