Il Dipartimento di Giustizia statunitense (DOJ) ha annunciato il 13 ottobre 2026 che quattordici persone sono state incriminate nell'ambito di una stretta contro le operazioni di lavoratori IT remoti nordcoreani. Tra gli incriminati ci sono due cittadini statunitensi, accusati di gestire un'infrastruttura che permetteva a lavoratori all'estero di fingersi dipendenti con sede negli Stati Uniti.
Le azioni coordinate comprendevano due arresti, un atto d'accusa, perquisizioni in oltre 40 abitazioni in Texas ritenute o sospettate di ospitare «laptop farm» e il sequestro di circa 187 laptop e dispositivi keyboard-video-mouse. Le perquisizioni in Texas si sono svolte tra il 21 e il 25 settembre nell'ambito di Operation Lonestar Roundup.
Secondo il comunicato del DOJ, l'operazione più ampia ha preso di mira schemi volti a generare entrate per la Repubblica Popolare Democratica di Corea (RPDC) attraverso impieghi fraudolenti presso aziende statunitensi.
Due facilitatori statunitensi arrestati, altri dodici imputati incriminati
Le autorità hanno arrestato Michael James Bostelle, della Pennsylvania, e Juan Cecilio Pena Carrillo, del Texas. Il DOJ li descrive come partecipanti a una cospirazione pluriennale e afferma che un atto d'accusa a quattro capi, depositato nel Distretto Nord dell'Ohio, comprende accuse di frode telematica, riciclaggio di denaro e furto d'identità.
Lo stesso procedimento, Sun Sheng Ming, et al., vede come imputati dieci persone con sede in Cina:
- Sun Sheng Ming
- Pei Li Guang
- Weng Shou Cheng
- Han Guo Bin
- Wang Jian Jun
- Sheng Zhang Kun
- Zhang Wei Ping
- Zhang Li Ping
- Yu Yang
- Jin Long
Altri due imputati restano sotto sigillo. Insieme a Bostelle e Pena Carrillo, il numero delle persone incriminate sale a quattordici.
Le accuse non sono ancora state accertate in sede giudiziaria.
Come funzionava il sistema dei laptop farm
Il DOJ sostiene che il personale IT della RPDC ha ottenuto impieghi da remoto usando documenti d'identità rubati o falsificati. VPN e infrastrutture proxy gli hanno permesso di apparire come residenti statunitensi che lavoravano da sedi nazionali.
Secondo le accuse, facilitatori con base negli Stati Uniti avrebbero ricevuto nelle proprie abitazioni computer forniti dalle aziende, creando raccolte di dispositivi note come laptop farm. Li configuravano e installavano software di accesso remoto, così che lavoratori all'estero potessero usare i computer mentre il traffico di rete e l'attrezzatura fisica restavano negli Stati Uniti.
I facilitatori ricevevano un compenso per la manutenzione delle apparecchiature. I proventi dei lavori da remoto venivano poi trasferiti su conti controllati dalla RPDC, secondo i pubblici ministeri.
Il dipartimento afferma che i lavoratori nordcoreani stanno reclutando un numero crescente di facilitatori statunitensi man mano che datori di lavoro e forze dell'ordine migliorano i metodi di individuazione. Le loro mansioni possono andare oltre l'ospitare i laptop: in alcuni casi i facilitatori svolgono ulteriori compiti operativi, mentre interi incarichi possono essere subappaltati ad altri cittadini stranieri.
Il rischio non si limita alle buste paga fraudolente. Il DOJ sostiene che i lavoratori IT della RPDC si siano anche dedicati all'estorsione di dati e abbiano sottratto informazioni proprietarie o sensibili ad aziende statunitensi. Un'azienda che assume uno di questi lavoratori può quindi garantire sia un flusso di denaro sia un accesso autenticato ai sistemi interni.
Oltre 70 datori di lavoro presumibilmente colpiti
L'atto d'accusa dell'Ohio copre condotte dal 2019 fino a circa luglio 2025. I pubblici ministeri sostengono che lo schema abbia colpito più di 70 datori di lavoro statunitensi e generato circa 3 milioni di dollari di entrate per lavoratori IT. Il governo ritiene che i fondi siano stati inviati a entità sanzionate controllate dalla RPDC.
I datori di lavoro coinvolti operavano nei settori sanitario, delle comunicazioni, del supporto informatico, della vendita al dettaglio e manifatturiero. Erano situati nell'Ohio, in altri sedici stati e nel District of Columbia.
Quelle cifre riguardano datori di lavoro, non un conteggio di singole vittime di furto d'identità o di account compromessi.
Il DOJ afferma che CrowdStrike ha assistito l'FBI e ha identificato il gruppo coinvolto come Famous Chollima. Secondo CrowdStrike, l'infrastruttura dei laptop ha permesso ai suoi operatori di impersonare lavoratori legittimi, dirottare i salari e mantenere l'accesso alle organizzazioni vittime. Si tratta della valutazione dell'azienda sull'attività.
L'operazione Lonestar Roundup è stata coordinata dall'Ufficio del procuratore federale (US Attorney) per il Distretto Nord del Texas, dal field office di Dallas dell'FBI e dalla Divisione Cyber dell'FBI, con l'assistenza del Distretto Nord dell'Ohio. Il field office di Cleveland dell'FBI ha indagato sul caso dell'Ohio.
Indirizzi email che i datori di lavoro dovrebbero inserire nelle verifiche
Il DOJ ha riferito che gli investigatori hanno individuato una rete di account email presumibilmente usati dagli operativi. Ha esortato i datori di lavoro a includere i seguenti indirizzi tra gli indicatori delle proprie verifiche:
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
Una corrispondenza va trattata come un indicatore da verificare, non come prova, di per sé, che un candidato o un dipendente sia collegato all'operazione.
L'FBI ha inoltre pubblicato un Public Service Announcement (comunicato di pubblico servizio) il 13 ottobre 2026, contenente indicazioni di mitigazione per le aziende statunitensi. La ricostruzione di SecurityAffairs individua diversi segnali d'allarme attribuiti a tali indicazioni: storie professionali incoerenti, reticenza a comparire in video, richieste di reindirizzare la consegna dei laptop aziendali e conti di pagamento instradati tramite intermediari.
Per i datori di lavoro, la risposta immediata è integrare gli account elencati e gli indicatori comportamentali nei controlli in fase di selezione, esaminando con attenzione le richieste che separano la località dichiarata del presunto dipendente dalla destinazione dell'attrezzatura aziendale.
Il Dipartimento di Stato offre inoltre ricompense potenziali fino a 5 milioni di dollari per informazioni che sostengano gli sforzi internazionali volti a contrastare le attività finanziarie illecite della RPDC, inclusi cybercrime, riciclaggio di denaro ed elusione delle sanzioni.
