住宅电脑网络成为国家安全目标
联邦执法人员于9月21日至25日搜查了得州40多处住宅，并查获约187台笔记本电脑及其他电子设备，调查涉嫌朝鲜籍人员就业诈骗案。当局称，北得州查获了100多台设备，达拉斯和沃思堡周边的住宅被用作海外人员冒充美国雇员的据点。
目录
这项名为“孤星围捕行动”的行动，针对的是表面上普通远程工作背后的实体支持网络。检方称，美国境内的协助者从雇主处接收电脑，安装设备或软件以便他人从海外访问，并协助将工资转入由朝鲜行动人员控制的账户。
负责得州北区检察官办公室的美国联邦检察官瑞安·雷博尔德称，这些收入用于支持朝鲜民主主义人民共和国的核计划和弹道导弹计划。他援引美国财政部的估算称，朝鲜更大范围的IT人员项目在2024财年创造了超过8亿美元收入。
有关查获行动所伴随刑事诉讼的报道并不一致。周二新闻发布会的报道说，预计将起诉协助者，但尚未宣布逮捕行动。另一些报道则称，美国司法部10月13日宣布逮捕两名美国人，并起诉十名常驻中国的人员。这些说法不应被视为一份已完全厘清程序关系的统一记录。
这一区别很重要：查获行动记录的是对涉嫌基础设施的打击，而刑事指控则列明对特定人员的指控。无论是被查获的电脑还是起诉书，都不能证明被指控者有罪。
执法人员在得州查获的设备
全州查获设备总数在一些报道中为185台以上，在较详细的报道中则为187台。这些数字并不矛盾，而是可以相互吻合。搜查地点的说法也有所不同，有的称约40处，有的称40多处住宅。
设备包括笔记本电脑，以及俗称KVM设备的键盘、视频和鼠标设备。这类设备可让操作者从另一地点控制电脑的键盘输入、显示画面和鼠标。配合远程访问软件使用时，它们可以让身在海外的人操作放在美国住宅内的公司电脑。
当局没有公开得州这些房产的地址，只称据点集中在达拉斯和沃思堡附近，并认为该地区就业市场规模较大，部分加剧了当地风险。各方对该地区查获数量的说法也略有差异，有的称约100台，有的称100多台。
联邦调查局达拉斯外勤办公室负责人R·约瑟夫·罗斯洛克解释了这些硬件对调查人员的重要性：
每查获一台笔记本电脑，就可能对应一家雇用了朝鲜籍IT人员的公司。
这反映的是潜在风险，并非已确认的雇主数量。187台设备中还包括笔记本电脑以外的设备，而且多台电脑可能属于同一家公司。因此，不能直接把查获设备总数换算成受害公司数量。
笔记本电脑农场如何让海外员工看似身处美国
据称，这套安排在雇主寄出电脑之前便已开始。相关人员使用盗窃或伪造的身份申请远程IT职位，其他参与者则协助通过招聘核查。一旦公司认为自己雇用的是一名在美国的合法员工，就会把设备寄到由协助者控制的地址。
协助者随后保管笔记本电脑并配置远程访问。虚拟专用网络（VPN）和代理服务器可帮助掩盖连接者的所在地。VPN会通过另一条连接转发互联网流量；代理服务器则充当中间节点。这两种工具本身并不违法，但当局称，该网络利用它们隐瞒工作人员的身份和所在地。
即使实际操作者身在海外，接入得州网络的笔记本电脑也能让雇佣安排看起来像是在美国境内进行。本地地址、雇主提供的电脑和隐藏的网络连接共同营造了这种假象。
有关工作人员所在地的报道并不一致。一些说法称他们在朝鲜，而起诉书相关报道则指明操作者在中国，并笼统称工作人员在海外。不能因此认为这项涉嫌计划要求每名工作人员都实际身处朝鲜境内。
得州调查延续了此前对全球IT人员诈骗的审查，其中包括利用虚假身份和美国境内中间人获取海外工资。这次行动进一步揭示了住宅基础设施如何为这类就业安排提供便利。
据称美国协助者处理的不只是电脑
调查人员称，协助者参与了招聘、身份核验和款项处理，并非只是提供地方存放笔记本电脑。据称，有些人代收工资，再将钱转入由朝鲜工作人员控制的账户；另一些人则允许他人使用自己的姓名和个人信息，以换取部分收益。
罗斯洛克介绍了当局调查的各类协助行为，并说明了盗用毫不知情者身份与由自愿参与者提供身份之间的区别：
他们可能会盗用毫不知情的美国人的身份，来获得美国IT工作人员的职位，”罗斯洛克说。“另一些情况下，他们会付钱给个人，借用其身份或让其完成其他任务，包括代为参加面试、核实盗用的身份、寄送包裹、保管笔记本电脑，以及完成药物检测或指纹采集。
这些涉嫌行为说明，调查人员为何不只关注网络连接。代替申请人参加面试，或代为完成现场筛查的人，可能帮助海外求职者通过仅靠软件无法绕过的核查。
雷博尔德称，明知设备用途仍提供存放服务的人将面临起诉。但这番警告并不能证明任何特定人员知情或具有犯罪意图，这些问题仍须在相关刑事诉讼中通过证据加以认定。
逮捕报道指认两名美国人和十名在中国的操作者
有关美国司法部10月13日公告的报道指称，两名被捕的美国人分别是来自宾夕法尼亚州的迈克尔·詹姆斯·博斯特尔和来自得州的胡安·塞西利奥·佩尼亚·卡里略。报道称，两人因涉嫌参与这项就业计划而面临包括电信诈骗、洗钱和身份盗窃在内的指控。
这些报道还指认了十名被起诉、常驻中国的参与者：孙胜明、裴立光、翁守成、韩国斌、王建军、盛章坤、张卫平、张丽萍、于洋和金龙。
据报道，起诉书称，中国的操作者指挥佩尼亚·卡里略、Tey Michael Nolte以及至少另外四名美国人。诺尔特在起诉书中被提及，但未被起诉。据称，他招募、管理并培训了博斯特尔及其他美国参与者。在起诉书中被点名，不等于成为被告。
这些报道称，涉嫌诈骗影响了70多家美国公司，侵害了25名美国人的身份信息，为海外IT人员带来至少300万美元收入，并导致虚假信息提交给多个美国政府机构。报道没有列出所有受影响雇主，也未说明这些信息提交给了哪些机构。
据相关报道，记者暂时未能联系到博斯特尔和佩尼亚·卡里略的律师置评。报道也未提及诺尔特作出回应。这些指控尚未得到证实，相关报道也没有厘清这些逮捕行动与北得州新闻发布会上所称即将提起的诉讼在程序上的关系。
两项资金数字反映不同规模
8亿美元和300万美元这两个数字不能混为一谈。雷博尔德估算的超过8亿美元，指的是朝鲜更大范围的IT人员项目在2024财年的收入。至少300万美元的指控，则涉及起诉书报道所述的这项就业诈骗计划。
有关财政部估算的说法也不尽相同。一些报道说，超过8亿美元被转往朝鲜；另一些则称这是该项目创造的收入。收入与转账金额是不同的指标，因此在没有进一步澄清的情况下，不应将这一数字表述为经精确核实的转账总额。
官员还称，工作人员估计会把收入的85%至90%汇往朝鲜。按此说法，每赚取100美元，约有10至15美元未被汇出。这反映了据称的付款结构，但不能证明得州调查涉及的每笔工资都按这一比例分配。
这一资金指控说明了检方为何认为此案不只是就业诈骗。当局称，美国工资收入成为受制裁政府及其武器计划的资金来源。相关报道并未追踪得州个别工资款项是否用于购买特定武器。
企业系统访问权限带来另一类安全风险
成功通过欺诈手段获聘的人可能获得的不只是工资。雷博尔德称，使用公司笔记本电脑也可能成为进入企业系统、通信和金融平台的入口。具体风险范围取决于每个职位所拥有的权限。
据称提供了情报和技术分析支持联邦调查局的网络安全公司CrowdStrike，将该网络追踪为Famous Chollima。对一份法院申请的描述也称，一家大型网络安全公司用这个名称标记该威胁组织。这只是追踪用的标签，并非独立的刑事指控。
CrowdStrike称，在遭到破坏的行动中被确认涉及的机构包括航空航天、能源、金融服务、医疗保健、网络安全、国防工程和政府技术领域的企业。如此广泛的行业分布表明潜在风险涉及多个敏感领域，但不能据此认定所有受影响机构都发生了数据丢失。
该公司介绍了用于转移雇主设备的手法。据称，一些行动人员谎报笔记本电脑被盗，以便让雇主把替换设备寄到其他地点；另一些人则谎称突然搬家，或通过人力资源公司获得职位，从而在这些公司不知情的情况下转移电脑。
这些细节将招聘欺骗与实体电脑农场联系起来：工作人员既需要一个能通过核查的身份，也需要一种方法，把雇主的电脑弄到该网络控制的地点。当局尚未披露得州行动中被访问或窃取数据的完整清单。
调查范围已超出得州搜查行动
据对法院记录的描述，联邦调查局指认了11个涉嫌与就业诈骗有关的谷歌账户。调查人员申请调取每个账户从创建之日起至10月8日的资料，包括用户信息、地址、电话号码、连接时间、IP地址，以及支付和账单记录。
据报道，得州北区联邦法院于10月9日下令谷歌在十天内提供记录。按此计算，提交期限为10月19日。相关报道没有确认谷歌是否已完成提交。
报道提及的主要日期如下：
- 9月21日至25日：联邦调查局搜查得州40多处住宅并采取相关行动。
- 10月8日：针对11个谷歌账户的记录调取请求所涵盖时段截止。
- 10月9日：据报道，法院下令谷歌在十天内提供账户记录。
- 10月13日：行动公告及相关刑事诉讼报道所标注的日期。
官员还称，路易斯安那州、内华达州、肯塔基州和俄亥俄州也出现了类似活动。CrowdStrike称，更大范围的打击行动包括在俄亥俄州逮捕两人，但未说明被捕者身份或所涉指控。得州方面的公告没有提及这些逮捕，因此不能自动认定他们与另外两名被点名的美国被捕者是同一批人，也不能断定他们是另一起案件中的人员。
雇主收到的提醒及仍待解答的问题
雷博尔德和罗斯洛克敦促雇主使用E-Verify，并在招聘远程员工时要求提供多种身份证明。E-Verify会将就业资格信息与政府记录进行核对。这只能解决招聘流程中的一个环节；据称有人代替申请人参加面试，以及通过远程方式控制笔记本电脑的情况表明，实际工作者的身份是另一个独立问题。
当局鼓励认为自己受到影响的企业和个人向联邦调查局报告线索。官方没有公布完整的雇主名单、被搜查住宅的地址，也没有完整说明被截获或追回的工资数额。
调查仍在进行中。描述北得州简报会的报道没有提供进一步起诉、听证会或审判的日期。有关逮捕行动和预期指控的说法相互冲突，公告之间的确切关系尚未厘清。
CrowdStrike提醒说，关闭电脑农场可能主要会在基础设施被拆除的地区减缓活动，不太可能彻底终结更大范围的行动。查获行动表明，当局能够打断当地设备网络，但不能证明所有相关工作人员、身份、账户或协助者都已被发现。
要点
- 执法人员于9月下旬搜查了得州40多处住宅，查获约187台笔记本电脑及其他设备。
- 当局称，北得州查获了100多台设备，不过有一则报道给出的数字约为100台。
- 据称，电脑农场让海外工作人员控制放在美国住宅内的雇主电脑，从而伪装成在美国境内工作。
- 报道说法不一：一方称即将提起诉讼，另一方则称两名美国人被捕，十名常驻中国的人员受到指控。
- 起诉书相关报道称，诈骗影响了70多家公司，侵害了25名美国人的身份信息，并带来至少300万美元收入。
- 超过8亿美元的估算涉及朝鲜更大范围的IT人员项目，并非仅指得州查获行动。
- 调查人员申请调取11个谷歌账户的记录，调查仍在进行中。
