O Departamento de Justiça dos Estados Unidos (DoJ) apresentou acusações contra 14 pessoas e apreendeu cerca de 187 computadores na terça-feira, como parte dos esforços para desarticular um esquema fraudulento norte-coreano de contratação de profissionais remotos de tecnologia da informação.
A denúncia acusa cidadãos americanos e chineses de participar de uma conspiração que afetou mais de 70 empresas dos Estados Unidos. As acusações incluem conspiração para cometer fraude eletrônica e lavagem de dinheiro, conspiração para roubo de identidade e roubo de identidade agravado.
As pessoas acusadas são:
Sun Sheng Ming, 37 anos, de Dandong, China
Pei Li Guang, idade desconhecida, da província de Liaoning, China
Weng Shou Cheng, idade desconhecida, da província de Liaoning, China
Han Guo Bin, idade desconhecida, de Dandong, China
Wang Jian Jun, 34 anos, de Dandong, China
Sheng Zhang Kun, idade desconhecida, de Shenzhen, China
Zhang Wei Ping, idade desconhecida, de Dandong, China
Zhang Li Ping, idade e localização desconhecidas
Yu Yang, 40 anos, de Dandong, China
Jin Long, 35 anos, localização desconhecida
Michael James Bostelle, 31 anos, da Filadélfia, Pensilvânia
Juan Cecilio Pena Carrillo, 37 anos, de San Juan, Texas
Os dois cidadãos americanos, Carrillo e Bostelle, foram presos. Os demais continuam foragidos. O esquema funcionou aproximadamente entre 2019 e julho de 2025. Outro colaborador importante baseado nos Estados Unidos, Trey Michael Nolte, é citado na denúncia, mas não foi acusado.
Segundo as acusações, Nolte administrava uma empresa de fachada chamada Dark Falls LLC, que alegava oferecer serviços de desenvolvimento de software, mas era usada para viabilizar o esquema criminoso. A operação também levou ao desmantelamento de mais de 40 instalações conhecidas como “fazendas de laptops” no Texas, durante buscas realizadas entre 21 e 25 de setembro de 2026.
“As ameaças representadas por Estados-nação como a Coreia do Norte são um lembrete contundente de que nossos adversários farão grandes esforços para explorar a força econômica do país e promover suas próprias agendas nefastas”, afirmou David M. Toepfer, procurador dos Estados Unidos para o Distrito Norte de Ohio.
Documentos judiciais alegam que os réus participaram, ao longo de vários anos, de um esquema fraudulento para conseguir empregos remotos na área de tecnologia da informação e gerar receitas ilícitas para o governo da República Popular Democrática da Coreia (RPDC). A atividade violava sanções internacionais e financiava o programa nuclear e outras iniciativas militares do país.
A operação, também conhecida pelos nomes Famous Chollima, purpledelta e Wagemole, envolve profissionais norte-coreanos que conseguem empregos em empresas americanas e de outros países usando identidades falsas. Eles recebem salários regulares e enviam parte do dinheiro de volta ao regime.
Os trabalhadores contam com a ajuda de facilitadores nos Estados Unidos, que os auxiliam a conseguir vagas, recebem em suas casas os computadores fornecidos pelas empresas e usam tecnologias de acesso remoto para fazer com que os profissionais no exterior pareçam funcionários legítimos baseados nos Estados Unidos.
Os facilitadores também abrem contas em bancos americanos e em serviços de transferência de dinheiro pela internet para movimentar os valores pagos pelas empresas vítimas aos profissionais de TI e a outras pessoas no exterior. Em troca, recebem uma comissão.
No total, o esquema afetou mais de 70 empresas americanas e gerou aproximadamente US$ 3 milhões em receitas para os trabalhadores de TI.
“Entre as empresas vítimas havia organizações de diversos setores e áreas de serviço, incluindo saúde, comunicações, suporte cibernético, varejo e manufatura”, informou o Departamento de Justiça dos Estados Unidos. “As empresas estavam localizadas não apenas em Ohio, mas também em grande parte dos Estados Unidos, incluindo Massachusetts, Califórnia, Nova York, Nova Jersey, Flórida, Geórgia, Minnesota, Maryland, Carolina do Norte, Illinois, Virgínia, Michigan, Texas, Arkansas, Pensilvânia, Washington e o Distrito de Columbia.”
A ação é a mais recente de uma campanha americana prolongada e cada vez mais intensa para cortar uma fonte de receita da Coreia do Norte e desarticular uma ameaça cibernética em evolução, cuja escala provavelmente é enorme.
A empresa de cibersegurança CrowdStrike investigou indícios relacionados a supostos funcionários falsos de TI e identificou vínculos entre trabalhadores aparentemente sem relação entre si e os locais que hospedavam os computadores. Segundo a empresa, os responsáveis recorreram a diversas táticas para direcionar os equipamentos fornecidos pelos empregadores a esses endereços durante o processo de contratação.
Os operadores foram flagrados “registrando boletins de ocorrência falsos, alegando que um laptop havia sido roubado para solicitar o envio de equipamentos substitutos às fazendas; eles alternam entre endereços residenciais para ocultar o destino final”, informou a CrowdStrike. “Outros alegaram, de última hora, que haviam se mudado para redirecionar os equipamentos durante o transporte. Em alguns casos, os operadores conseguiram vagas por meio de empresas de recrutamento de profissionais de TI, o que permitiu redirecionar discretamente os dispositivos destinados aos clientes finais para a infraestrutura das fazendas, sem o conhecimento das empresas de recrutamento.”
Desde pelo menos maio de 2026, o grupo Famous Chollima teria começado a falsificar hashes de dispositivos. Em um exemplo, imitava uma placa de captura de vídeo para que ela parecesse uma webcam, provavelmente para ocultar o uso dessas ferramentas e evitar a detecção.
“As fazendas de laptops e seus facilitadores funcionam como uma presença americana alugada: fornecem um endereço físico, uma identidade legal e um meio de cumprir as regras de ‘conheça seu cliente’, que fazem parte das exigências de diligência das instituições financeiras”, afirmou a CrowdStrike. “A interrupção provavelmente desacelerará as operações do Famous Chollima apenas nas áreas próximas aos locais desativados e dificilmente produzirá efeitos duradouros. É quase certo que o adversário continuará aperfeiçoando seus métodos para escapar da descoberta e das ações das autoridades.”
Uma ameaça em constante evolução
Paralelamente, o FBI emitiu um alerta sobre a ampliação do uso de facilitadores pela operação. Em alguns casos, eles subcontratam trabalhos inteiros a profissionais estrangeiros no sul da Ásia ou na África Ocidental.
“Cada vez mais, norte-coreanos conseguem empregos em empresas ocidentais e depois contratam profissionais autônomos para realizar as tarefas por uma fração do salário total”, informou o FBI. “Os trabalhadores de TI subcontratam serviços remotos relacionados ao emprego a profissionais autônomos, geralmente no Paquistão, na Índia, na Nigéria ou em países vizinhos.”
Também foram identificados casos em que os profissionais de TI contratam trabalhadores autônomos do sul da Ásia ou da África Ocidental para ajudá-los a se candidatar a vagas e conseguir empregos. Esses profissionais recebem para se candidatar manualmente ao maior número possível de vagas abertas durante um período determinado ou para participar de entrevistas em nome dos candidatos.
Além disso, agentes apoiados por Pyongyang supostamente usam, sem autorização, as identidades de facilitadores para se candidatar a mais vagas do que o combinado e abordam americanos em situação de vulnerabilidade econômica para oferecer trabalhos como facilitadores.
“Os trabalhadores de TI costumam inventar histórias elaboradas, criar empresas falsas e produzir documentos oficiais para dar credibilidade aos pedidos”, apontou o FBI. “Entre as histórias mais comuns, eles alegam ser cidadãos chineses ou do Leste Asiático que precisam de uma presença temporária nos Estados Unidos, ou dizem ser europeus orientais deslocados pela guerra entre Rússia e Ucrânia.”
O FBI também identificou casos em que os agentes ameaçaram recorrer à violência física contra ex-gerentes e suas famílias para exigir pagamentos e coagir outras pessoas a realizar ações que favorecessem o esquema. O órgão considera esse comportamento uma nova escalada da ameaça.
Além de usar identidades roubadas para se candidatar a empregos, os profissionais de TI também alegam falsamente ser donos de contas em redes sociais, perfis profissionais e identidades on-line de outras pessoas do setor de tecnologia, para dar uma aparência de legitimidade às candidaturas.
“Os trabalhadores de TI norte-coreanos tentam usar identidades ou facilitadores com qualificações que lhes permitam obter um número maior de empregos, incluindo cargos que exigem autorizações de segurança do governo dos Estados Unidos ou habilidades técnicas específicas”, informou o FBI. “Eles buscam vagas em empresas contratadas pelo setor de defesa com autorização de segurança e em outras organizações que trabalham para o governo americano. Também procuram militares da ativa para hospedar laptops.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...