Mga Raid sa mga Laptop Farm sa Texas, Nasamsam ang 187 Device sa Ipinapalagay na Pakana ng Hilagang Korea sa Pagtatrabaho sa IT

Nagiging target ng pambansang seguridad ang mga computer network sa mga tirahan

Nagsagawa ang mga pederal na ahente ng paghahalughog sa mahigit 40 tirahan sa Texas mula Setyembre 21 hanggang Setyembre 25 at nasamsam ang humigit-kumulang 187 laptop at iba pang elektronikong device sa imbestigasyon sa umano'y pandaraya sa pagkuha ng trabaho ng mga taga-Hilagang Korea. Mahigit 100 device ang narekober sa Hilagang Texas, kung saan sinabi ng mga awtoridad na nagsilbing base ang mga tahanan sa paligid ng Dallas at Fort Worth para sa mga manggagawa mula sa ibang bansa na nagpapanggap na mga empleyadong Amerikano.

Tinawag na Operation Lone Star Roundup ang operasyon. Tinutukan nito ang isang pisikal na network ng suporta sa likod ng mga trabahong mukhang karaniwang remote work. Ayon sa mga tagausig, tumanggap ang mga Amerikanong katuwang ng mga computer mula sa mga employer, nagkabit ng kagamitan o software na nagbibigay-daan sa pag-access mula sa ibang bansa, at tumulong maglipat ng sahod sa mga account na kontrolado ng mga operatiba ng Hilagang Korea.

Sinabi ni U.S. Attorney Ryan Raybould, na namumuno sa tanggapan ng mga tagausig ng Northern District of Texas, na sinusuportahan ng kita ang mga programang nuklear at ballistic missile ng Democratic People's Republic of Korea. Iniugnay niya sa U.S. Treasury ang pagtatayang lumampas sa $800 milyon ang kinita ng mas malawak na programa ng mga manggagawa sa IT ng Hilagang Korea noong piskal na taon 2024.

Nagkakaiba ang mga ulat tungkol sa mga kasong kriminal na kasabay ng mga pagsamsam. Ayon sa mga ulat tungkol sa isang kumperensya para sa media noong Martes, inaasahang magsasampa ng mga sakdal laban sa mga Amerikanong katuwang at wala pang ibinalitang pag-aresto. Sa ibang ulat tungkol sa isang anunsyo ng Justice Department na may petsang Oktubre 13, sinabing inaresto ang dalawang Amerikano at sinampahan ng sakdal ang sampung taong nakabase sa China. Hindi dapat ituring na iisang ganap na nagtutugmang salaysay ng mga proseso sa korte ang mga paglalarawang iyon.

Mahalaga ang pagkakaibang ito: ipinakikita ng mga pagsamsam ang paghadlang sa pinaghihinalaang imprastraktura, samantalang inilalatag ng mga kasong kriminal ang mga paratang laban sa mga partikular na tao. Hindi nagpapatunay ng pagkakasala ang pagsamsam sa isang computer o ang pagsasampa ng sakdal.

Mga nasamsam ng mga ahente sa buong Texas

Inilalarawan ng ilang ulat na mahigit 185 device ang kabuuang nasamsam sa buong estado, samantalang 187 naman ang binabanggit sa mas detalyadong mga ulat. Magkatugma ang mga bilang na ito at hindi nagkakasalungatan. Nagkakaiba ang mga paglalarawan sa mga lugar na hinalughog: humigit-kumulang 40 lugar ayon sa ilan, at mahigit 40 tirahan naman ayon sa iba.

Kabilang sa mga kagamitan ang mga laptop at keyboard, video at mouse device, na karaniwang tinatawag na KVM equipment. Nagagamit ang mga device na ito para kontrolin mula sa ibang lugar ang keyboard input, display at mouse ng isang computer. Kapag ginamit kasabay ng remote access software, maaari nitong pahintulutan ang isang tao sa ibang bansa na gumamit ng computer ng kompanyang nasa isang tirahan sa Amerika.

Hindi isiniwalat ng mga awtoridad ang mga address ng mga ari-arian sa Texas. Sinabi nilang mas marami ang mga ito sa paligid ng Dallas at Fort Worth, at iniugnay nila ang pagkakalantad ng lugar sa malaking pamilihan nito ng trabaho. Bahagya ring nagkakaiba ang mga ulat sa bilang ng mga device na nasamsam sa rehiyon: humigit-kumulang 100 ayon sa isa, at mahigit 100 naman ayon sa iba.

Ipinaliwanag ni R. Joseph Rothrock, espesyal na ahenteng namamahala sa tanggapan ng FBI sa Dallas, kung bakit mahalaga sa mga imbestigador ang mga kagamitan:

Posibleng kumatawan ang bawat laptop na nasamsam sa isang kompanyang kumuha ng manggagawa sa IT ng DPRK.

Sukat ito ng posibleng pagkakalantad, hindi kumpirmadong bilang ng magkakaibang employer. Kabilang sa 187 device ang mga kagamitang hindi laptop, at maaaring iisang kompanya ang may-ari ng maraming computer. Kaya hindi maaaring tuwirang gawing bilang ng mga kompanyang nabiktima ang kabuuang bilang ng mga nasamsam na device.

Paano nagmumukhang lokal na manggagawa ang nasa ibang bansa sa tulong ng laptop farm

Nagsisimula ang umano'y pakana bago pa magpadala ng computer ang isang employer. Nag-aaplay ang mga manggagawa sa mga remote na posisyon sa IT gamit ang ninakaw o gawa-gawang pagkakakilanlan, habang tumutulong naman ang ibang kalahok na makapasa sa mga pagsusuri sa pagkuha ng empleyado. Kapag naniwala ang isang kompanya na lehitimong empleyado sa Estados Unidos ang kinuha nito, ipinadadala nito ang kagamitan sa address na kontrolado ng isang katuwang.

Pagkatapos, pinangangalagaan ng katuwang ang laptop at ikinukumpigura ang malayuang pag-access. Tinutulungan ng mga virtual private network, o VPN, at proxy server na itago ang lokasyon ng taong kumokonekta. Dinaraan ng VPN ang trapiko sa internet sa ibang koneksiyon; nagsisilbing tagapamagitan naman ang proxy. Hindi likas na kriminal ang alinman sa mga kagamitang ito, ngunit ayon sa mga awtoridad, ginamit ang mga ito ng network para itago ang pagkakakilanlan at kinaroroonan ng mga manggagawa.

Maaaring magmukhang nasa Estados Unidos ang trabaho kapag pisikal na nakakonekta sa Texas ang isang laptop, kahit nasa ibang bansa ang taong gumagamit nito. Nagtutulungan ang lokal na address, computer ng employer at nakatagong koneksiyon para malikha ang ganitong anyo.

Nagkakaiba ang mga ulat kung saan naroon ang mga manggagawa. Inilalagay sila ng ilang paglalarawan sa Hilagang Korea, samantalang tinutukoy naman sa mga ulat tungkol sa sakdal ang mga operatibang nakabase sa China at inilalarawan nang mas pangkalahatan ang mga manggagawa sa ibang bansa. Hindi dapat ipalagay na kailangang pisikal na nasa loob ng Hilagang Korea ang bawat manggagawa sa umano'y pakana.

Kasunod ang imbestigasyon sa Texas ng mas maagang pagsusuri sa pandaigdigang scam ng mga manggagawa sa IT, kabilang ang paggamit ng mga pekeng pagkakakilanlan at mga Amerikanong tagapamagitan para makakuha ng sahod mula sa ibang bansa. Nagbibigay ang operasyong ito ng mas detalyadong larawan ng imprastraktura sa mga tirahan na maaaring magbigay-daan sa gayong mga trabaho.

Umano'y higit pa sa mga computer ang pinangasiwaan ng mga Amerikanong katuwang

Inilarawan ng mga imbestigador ang mga katuwang bilang mga kalahok sa proseso ng pagkuha ng empleyado, pagpapatunay ng pagkakakilanlan at paghawak ng bayad, hindi lamang mga taong naglaan ng puwesto para sa mga laptop. Umano'y tumanggap ng sahod ang ilan at naglipat ng pera sa mga account na kontrolado ng mga manggagawa sa Hilagang Korea. Ipinagamit naman ng iba ang sarili nilang pangalan at personal na impormasyon kapalit ng bahagi sa kinita.

Inilarawan ni Rothrock ang iba't ibang tulong na iniimbestigahan ng mga awtoridad, kabilang ang pagkakaiba ng mga pagkakakilanlang ninakaw mula sa mga taong walang kamalay-malay at mga pagkakakilanlang kusang ipinagamit:

Maaaring gumamit sila ng mga ninakaw na pagkakakilanlan ng mga Amerikanong walang kamalay-malay para makuha ang mga trabaho ng mga manggagawa sa IT sa Estados Unidos," sabi ni Rothrock. "Sa ibang pagkakataon, binabayaran nila ang mga tao para gamitin ang kanilang mga pagkakakilanlan o gumawa ng iba pang gawain, kabilang ang pagharap sa mga panayam, pagpapatunay sa mga ninakaw na pagkakakilanlan, pagpapadala ng mga pakete, pag-asikaso ng mga laptop, at pagsailalim sa drug test o pagkuha ng fingerprint.

Ipinakikita ng mga paratang na iyon kung bakit higit pa sa mga koneksiyon sa internet ang sinusuri ng mga imbestigador. Maaaring makatulong sa isang aplikante mula sa ibang bansa na makapasa sa mga pagsusuring hindi kayang lampasan ng software lamang ang taong hahalili sa panayam o sasailalim sa isang personal na pagsusuri.

Sinabi ni Raybould na kakasuhan ang mga taong sadyang nagpaandar sa kagamitan. Hindi nito napagpapasyahan ang kaalaman o layunin ng sinumang partikular na tao, na kailangang patunayan sa pamamagitan ng ebidensiya sa kaugnay na mga kasong kriminal.

Tinutukoy sa mga ulat tungkol sa pag-aresto ang dalawang Amerikano at sampung operatiba sa China

Tinutukoy sa mga ulat tungkol sa anunsyo ng Justice Department noong Oktubre 13 ang mga inarestong Amerikano bilang sina Michael James Bostelle ng Pennsylvania at Juan Cecilio Pena Carrillo ng Texas. Ayon sa mga ito, nahaharap ang mga lalaki sa mga kasong kabilang ang wire fraud, money laundering at pagnanakaw ng pagkakakilanlan kaugnay ng umano'y pakana sa pagkuha ng trabaho.

Tinutukoy rin sa mga ulat ang sampung kinasuhang kalahok na nakabase sa China: Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang at Jin Long.

Iniulat na sinasabi sa isang sakdal na inutusan ng mga operatiba sa China sina Pena Carrillo, Tey Michael Nolte at hindi bababa sa apat pang Amerikano. Pinangalanan si Nolte sa sakdal ngunit hindi siya kinasuhan. Umano'y kinuha, pinamahalaan at sinanay niya si Bostelle at iba pang Amerikanong kalahok. Hindi nangangahulugang akusado ang isang tao dahil lamang pinangalanan siya sa isang sakdal.

Ayon sa mga ulat na ito, naapektuhan ng umano'y pandaraya ang mahigit 70 kompanyang Amerikano, nakompromiso ang pagkakakilanlan ng 25 Amerikano, kumita ang mga manggagawa sa IT sa ibang bansa ng hindi bababa sa $3 milyon, at naipasa ang maling impormasyon sa maraming ahensiya ng gobyerno ng Estados Unidos. Hindi tinutukoy ng mga ulat ang lahat ng apektadong employer o kung aling mga ahensiya ang nakatanggap ng impormasyong iyon.

Ayon sa mga ulat, hindi agad nakontak para sa komento ang mga abogado nina Bostelle at Pena Carrillo. Walang naiulat na tugon mula kay Nolte. Hindi pa napapatunayan ang mga paratang, at hindi nililinaw ng mga ulat kung ano ang ugnayan ng mga pag-arestong ito sa mga prosesong legal sa pangako ng kumperensya sa Hilagang Texas na magsasampa pa ng mga sakdal.

Magkakaibang antas ang tinutukoy ng mga halaga ng pera

Hindi dapat pagsamahin ang mga halagang $800 milyon at $3 milyon. Tumutukoy ang pagtataya ni Raybould na mahigit $800 milyon sa mas malawak na programa ng mga manggagawa sa IT ng Hilagang Korea noong piskal na taon 2024. Tumutukoy naman ang paratang na hindi bababa sa $3 milyon sa pakana sa pagkuha ng trabaho na inilalarawan sa mga ulat tungkol sa sakdal.

Nagkakaiba rin ang mga paglalarawan sa pagtataya ng Treasury. Sinasabi sa ilan na mahigit $800 milyon ang ipinadala sa Hilagang Korea; inilalarawan naman ito sa iba bilang kinita ng programa. Magkaibang sukat ang kitang nalikha at perang inilipat, kaya hindi dapat ipresenta ang halagang ito bilang tiyak na kabuuang nailipat nang walang karagdagang paglilinaw.

Sinabi rin ng mga opisyal na tinatayang 85% hanggang 90% ng kinita ng mga manggagawa ang ipinadadala sa Hilagang Korea. Batay sa pagtatayang iyon, sa bawat $100 na kinita, humigit-kumulang $10 hanggang $15 ang maiiwan mula sa halagang ipinadadala. Ipinakikita nito ang umano'y sistema ng pagbabayad, ngunit hindi nito pinatutunayan kung paano hinati ang bawat sahod sa imbestigasyon sa Texas.

Ipinapaliwanag ng paratang na pinansiyal kung bakit itinuturing ng mga tagausig na higit pa sa pandaraya sa trabaho ang kaso. Ayon sa mga awtoridad, nagiging pondo para sa isang pamahalaang pinapatawan ng mga parusa at sa mga programang armas nito ang sahod sa Amerika. Hindi tinutunton ng mga ulat ang mga indibidwal na bayad sa sahod sa Texas tungo sa partikular na pagbili ng mga armas.

Nagdudulot ng hiwalay na panganib sa seguridad ang access sa mga kompanya

Higit pa sa suweldo ang maaaring makuha ng isang mapanlinlang na empleyado. Sinabi ni Raybould na maaari ring magsilbing pasukan sa mga sistema ng negosyo, komunikasyon at platapormang pinansiyal ang access sa mga laptop ng kompanya. Nakasalalay ang lawak nito sa mga pahintulot na kaakibat ng bawat trabaho.

Sinusubaybayan ng CrowdStrike, kompanya ng cybersecurity na nagsabing nagbigay ito ng impormasyong paniktik at teknikal na pagsusuring sumuporta sa FBI, ang network sa pangalang Famous Chollima. Sinasabi rin sa paglalarawan ng isang aplikasyon sa korte na ibinigay ng isang malaking kompanya ng cybersecurity ang pangalang iyon sa grupong banta. Pangalan ito para sa pagsubaybay, hindi hiwalay na kasong kriminal.

Sinabi ng CrowdStrike na kabilang sa mga organisasyong natukoy sa mga napigilang operasyon ang mga negosyong nasa aerospace, enerhiya, serbisyong pinansiyal, pangangalagang pangkalusugan, cybersecurity, inhinyeriya sa depensa at teknolohiya ng gobyerno. Ipinakikita ng lawak na ito ang posibleng panganib sa iba't ibang sensitibong industriya, ngunit hindi nito pinatutunayan na nawalan ng datos ang bawat apektadong organisasyon.

Inilarawan ng kompanya ang mga taktikang ginamit para mailihis ang mga kagamitan ng employer. Umano'y naghain ng mga maling ulat sa pulisya ang ilang operatiba at sinabing ninakaw ang mga laptop para magpadala ng mga pamalit sa ibang lugar. Nagkunwari namang biglang lilipat ng tirahan ang iba o nakakuha ng trabaho sa pamamagitan ng mga ahensiya ng pagkuha ng empleyado, na nagbigay-daan para mailihis ang mga computer nang hindi nalalaman ng mga ahensiyang iyon.

Iniuugnay ng mga detalyeng ito ang panlilinlang sa pagkuha ng trabaho sa mga pisikal na laptop farm: kailangan ng manggagawa kapwa ng tinatanggap na pagkakakilanlan at paraan para madala ang computer ng employer sa lokasyong kontrolado ng network. Hindi pa isiniwalat ng mga awtoridad ang kumpletong talaan ng datos na na-access o ninakaw sa operasyon sa Texas.

Lumawak pa sa paghahalughog sa Texas ang imbestigasyon

Tinutukoy ng FBI ang 11 Google account na umano'y kaugnay ng pandaraya sa pagkuha ng trabaho, ayon sa paglalarawan sa mga rekord ng korte. Humingi ang mga imbestigador ng impormasyon tungkol sa mga account mula nang gawin ang mga ito hanggang Oktubre 8, kabilang ang detalye ng subscriber, mga address, numero ng telepono, oras ng koneksiyon, mga IP address, at mga rekord ng pagbabayad at pagsingil.

Iniulat na naglabas ng utos ang isang pederal na korte sa Northern District of Texas noong Oktubre 9 na nag-aatas sa Google na ibigay ang mga rekord sa loob ng sampung araw. Itinuturo ng panahong iyon ang Oktubre 19 bilang itinakdang huling araw ng pagsusumite. Walang kumpirmasyon sa mga ulat na naisumite na ng Google ang mga rekord.

Kabilang sa mga pangunahing petsang iniulat ang:

• Setyembre 21 hanggang Setyembre 25: Paghahalughog ng FBI at kaugnay na pagkilos sa mahigit 40 tirahan sa Texas.
• Oktubre 8: Katapusan ng panahong saklaw ng kahilingan sa mga rekord ng 11 Google account.
• Oktubre 9: Iniulat na utos ng korte na nag-aatas sa Google na isumite ang mga rekord ng account sa loob ng sampung araw.
• Oktubre 13: Petsa ng mga ulat tungkol sa anunsyo ng operasyon at kaugnay na mga prosesong kriminal.

Iniulat din ng mga opisyal ang katulad na aktibidad sa Louisiana, Nevada, Kentucky at Ohio. Sinabi ng CrowdStrike na kabilang sa mas malawak na pagpigil sa operasyon ang dalawang pag-aresto sa Ohio, ngunit hindi nito tinukoy ang mga inaresto o ang mga kasong isinampa laban sa kanila. Hindi binanggit sa anunsyo tungkol sa Texas ang mga pag-arestong iyon, kaya hindi dapat awtomatikong ituring ang mga ito na hiwalay o kapareho ng dalawang pinangalanang Amerikanong inaresto.

Ang mga sinabi sa mga employer at ang mga hindi pa nalalaman

Hinimok nina Raybould at Rothrock ang mga employer na gamitin ang E-Verify at humingi ng maraming uri ng pagkakakilanlan kapag kumukuha ng mga remote worker. Itinutugma ng E-Verify ang impormasyon tungkol sa pagiging kuwalipikado sa trabaho sa mga rekord ng gobyerno. Tinutugunan nito ang isang bahagi ng proseso ng pagkuha ng empleyado, samantalang ipinakikita ng umano'y paggamit ng mga taong hahalili sa panayam at ng mga laptop na kontrolado mula sa malayo na hiwalay na usapin ang pagkakakilanlan ng taong gumagawa ng trabaho.

Hinimok ng mga awtoridad ang mga negosyong at indibidwal na naniniwalang naapektuhan sila na mag-ulat ng impormasyon sa FBI. Hindi sila naglathala ng kumpletong listahan ng mga employer, mga address ng mga tirahang hinalughog, o buong talaan ng sahod na naharang o nabawi.

Patuloy ang imbestigasyon. Walang ibinigay na mga petsa para sa mga susunod na pagsasampa ng sakdal, pagdinig o paglilitis sa mga ulat tungkol sa briefing sa Hilagang Texas. Hindi pa rin nalilinaw ang eksaktong ugnayan ng mga anunsyo dahil sa magkakasalungat na paglalarawan sa mga pag-aresto at inaasahang kaso.

Nagbabala ang CrowdStrike na malamang na mapabagal lamang ng pagsasara sa mga farm ang aktibidad sa mga lugar kung saan inalis ang imprastraktura, sa halip na tuluyang wakasan ang mas malawak na operasyon. Ipinakikita ng mga pagsamsam na kayang gambalain ng mga awtoridad ang lokal na network ng kagamitan. Hindi nito pinatutunayan na natagpuan na ang lahat ng manggagawa, pagkakakilanlan, account o katuwang na kaugnay nito.

Mahahalagang Punto

• Naghahalughog ang mga ahente ng mahigit 40 tirahan sa Texas noong huling bahagi ng Setyembre at nasamsam nila ang humigit-kumulang 187 laptop at iba pang device.
• Sinabi ng mga awtoridad na mahigit 100 device ang narekober sa Hilagang Texas, bagaman humigit-kumulang 100 ang bilang sa isang ulat.
• Pinahintulutan ng mga umano'y farm ang mga manggagawa sa ibang bansa na kontrolin ang mga computer ng employer na nasa mga tahanan sa Amerika at magmukhang nagtatrabaho sa Estados Unidos.
• Nagkakaiba ang mga ulat: may pangakong may mga susunod na sakdal, samantalang sa iba ay inihayag ang pag-aresto sa dalawang Amerikano at pagsasampa ng kaso laban sa sampung taong nakabase sa China.
• Ayon sa mga ulat tungkol sa sakdal, mahigit 70 kompanya ang naapektuhan, nakompromiso ang 25 pagkakakilanlan ng mga Amerikano at hindi bababa sa $3 milyon ang kinita.
• Tumutukoy ang pagtatayang mahigit $800 milyon sa mas malawak na programa ng mga manggagawa sa IT ng Hilagang Korea, hindi lamang sa mga pagsamsam sa Texas.
• Humingi ang mga imbestigador ng mga rekord para sa 11 Google account, at nagpapatuloy pa ang imbestigasyon.