米司法省（DoJ）は、2人の容疑者を逮捕し、14人を起訴するとともに、北朝鮮のリモートITワーカーによる不正スキームで使われていたノートPC約187台を押収しました。これにより、脅威グループ「Famous Chollima」の活動を妨害したとしています。
Famous Chollima（別名WageMole）は、北朝鮮政権の外貨獲得を目的としたITワーカーの不正スキームに関与する北朝鮮系の脅威アクターとして、広く追跡されています。
北朝鮮は広範な国際制裁を受けているため、工作員は世界中の企業でIT関連の職を求めます。その際には、盗んだ、借りた、あるいは偽造した身元を使うことが少なくありません。
一部のケースでは、雇用主のネットワークへの侵入も試みます。機密データの窃取やマルウェアの展開、暗号資産などの資産の入手が目的です。
FBIは、テキサス州でコードネーム「Lonestar Roundup」と名付けた作戦を実施しました。9月21日から25日にかけて、ラップトップファームが置かれている疑いのある40カ所の住居を捜索しています。
ラップトップファームとは、協力者が、雇用主から支給されたコンピューターを自宅などで預かる拠点です。北朝鮮のITワーカーはこれらにリモートでアクセスし、米国内にいるかのように装います。
捜査当局は、ノートPCとKVM入力デバイスの計約187台を押収しました。これらはFamous Chollimaの工作員が使用していたもので、サイバーセキュリティ企業のCrowdStrikeが2025年4月から追跡していました。
CrowdStrikeの研究者によると、北朝鮮のITワーカーは、提出した身分証明書の住所ではなく「ファーム」へ会社支給のノートPCを届けさせるために、複数の手口を使っていました。
- 偽の盗難届を出し、ファームの住所に交換品を送らせる
- 複数の住宅の住所を転々とさせ、最終的な届け先を隠す
- 直前に引っ越したと主張し、配送中に端末の届け先を変更させる
- 自身が就いていることもあるIT人材関連の職務を悪用し、配送先をひそかに転送させる
CrowdStrikeによると、実態が公になったことで工作員は圧力を受けています。その結果、デバイス識別子の偽装への依存を強めたり、被害組織をまたいで同じ識別子を使い回したりするようになっています。
CrowdStrikeは、Lonestar Roundupのような取り組みの効果は限定的にとどまる可能性が高いと認めています。それでも同社は、この作戦を「Famous Chollimaの米国内インフラを解体するための、より広範な米国の法執行活動の始まり」と位置づけています。
米司法省は、オハイオ州の起訴状も公開しました。それによると、リモートITワーカーのスキームは2019年から2025年7月まで続き、米国内の70社に影響を与え、北朝鮮の脅威アクターに約300万ドルをもたらしました。
ワーカーたちは、盗んだり偽造したりした身元に加え、VPNやプロキシ基盤を使って米国内にいるように見せかけていました。一方、米国人の協力者は会社支給のノートPCを預かり、リモートアクセス用のソフトウェアをインストールし、収益を北朝鮮が管理する口座へ送金していました。
当局は、米国人のMichael James BostelleとJuan Cecilio Pena Carrilloの2人を、電信詐欺、マネーロンダリング、身元窃盗の容疑で逮捕しました。
これとは別に、司法省は同様の罪状で、中国人被告12人も起訴したと発表しました。
