Durante anos, o governo da Coreia do Norte encontrou uma crescente fonte de receita para contornar sanções ao encarregar seus cidadãos de se candidatarem secretamente para empregos de tecnologia remota no Ocidente. Uma operação de derrubada recém-revelada pelas autoridades americanas torna claro o quanto a infraestrutura usada para executar esses esquemas tem sido baseada nos Estados Unidos e quantas identidades de americanos foram roubadas pelos impostores norte-coreanos para realizá-los.
Na segunda-feira, o Departamento de Justiça anunciou uma operação abrangente para combater os elementos sediados nos EUA do esquema de trabalhadores de TI remotos norte-coreanos, incluindo acusações contra dois americanos que, segundo o governo, estavam envolvidos nas operações – um dos quais o FBI prendeu. As autoridades também vasculharam 29 “fazendas de laptops” em 16 estados supostamente usadas para receber e hospedar os PCs aos quais os trabalhadores norte-coreanos acessavam remotamente, e apreenderam cerca de 200 desses computadores, bem como 21 domínios da web e 29 contas bancárias que receberam a receita gerada pela operação. O anúncio e as acusações do DOJ também revelam como os norte-coreanos não apenas criaram identidades falsas para se infiltrar em empresas de tecnologia ocidentais, mas também roubaram as identidades de “mais de 80 pessoas americanas” para se passarem por elas em empregos em mais de cem empresas americanas e canalizarem dinheiro para o regime de Kim.
“A escala é enorme”, diz Michael Barnhart, um investigador focado em hackers e espionagem norte-coreanos na DTEX, uma empresa de segurança focada em ameaças internas. “Sempre que você tem uma fazenda de laptops como esta, essa é a parte vulnerável dessas operações. Fechá-las em tantos estados, isso é enorme.”
Ao todo, o DOJ diz ter identificado seis americanos que acredita terem estado envolvidos em um esquema para facilitar os impostores norte-coreanos de trabalhadores de tecnologia, embora apenas dois tenham sido nomeados e acusados criminalmente – Kejia Wang e Zhenxing Wang, ambos sediados em Nova Jersey – e apenas Zhenxing Wang tenha sido preso. Os promotores acusam os dois homens de ajudar a roubar as identidades de dezenas de americanos para que os norte-coreanos as utilizassem, recebendo laptops enviados por seus empregadores, configurando acesso remoto para os norte-coreanos controlarem essas máquinas de todo o mundo – muitas vezes permitindo esse acesso remoto usando um dispositivo de hardware chamado “teclado-vídeo-mouse switch” ou KVM – e criando empresas fantasma e contas bancárias que permitiram ao governo norte-coreano receber os salários que supostamente ganharam. O DOJ diz que os dois homens americanos também trabalharam com seis coconspiradores chineses nomeados, de acordo com os documentos de acusação, bem como dois cidadãos taiwaneses.
Para criar as identidades de capa dos trabalhadores norte-coreanos, os promotores afirmam que os dois Wangs acessaram os detalhes pessoais de mais de 700 americanos em buscas de registros privados. Mas para as pessoas que os norte-coreanos se passaram, eles supostamente foram muito mais longe, usando digitalizações das carteiras de motorista e cartões do Seguro Social das vítimas de roubo de identidade para permitir que os norte-coreanos se candidatassem a empregos em seus nomes, de acordo com o DOJ.
Não está claro nos documentos de acusação como esses documentos pessoais foram supostamente obtidos. No entanto, Barnhart da DTEX diz que operações de impostores norte-coreanos normalmente obtêm documentos de identificação de americanos de fóruns de cibercriminosos na dark web ou sites de vazamento de dados. Na verdade, ele diz que as mais de 80 identidades roubadas citadas pelo DOJ representam uma pequena amostra de milhares de IDs dos EUA que ele viu sendo retirados em alguns casos da infraestrutura de operações de hackers norte-coreanos.
