Kim Jong Un consigue trabajo remoto en EE. UU.; el FBI desmantela 40 granjas de portátiles
Millones de dólares se desviaban de los presupuestos corporativos haciéndose pasar por salarios.
El trabajo remoto volvió a convertirse para las empresas estadounidenses en un canal de acceso oculto desde el extranjero. El Departamento de Justicia de EE. UU. anunció una serie de acciones contra un esquema con trabajadores informáticos de Corea del Norte: el FBI registró más de 40 direcciones en Texas, detuvo a dos personas y confiscó alrededor de 187 portátiles y dispositivos KVM.
La operación Lonestar Roundup se realizó del 21 al 25 de septiembre. Los investigadores visitaron domicilios que consideraban conocidos o presuntos «granjas de portátiles». Los intermediarios guardaban allí ordenadores proporcionados por los empleadores, configuraban herramientas de acceso remoto y permitían que personas fuera de EE. UU. parecieran empleados que trabajaban desde el país.
Paralelamente, un gran jurado federal presentó cargos contra 14 implicados. Dos ciudadanos estadounidenses, Michael James Bostell y Juan Cecilio Peña Carrillo, fueron arrestados. Según la fiscalía, desde 2019 hasta aproximadamente julio de 2025 los participantes ayudaron a obtener ofertas de trabajo usando identidades robadas o ficticias, emplearon VPN y proxies, y los salarios se transferían a cuentas controladas por Corea del Norte.
La investigación vincula uno de los esquemas con más de 70 empleadores estadounidenses y con ingresos aproximados de $3 millones. Entre los afectados hubo empresas de salud, telecomunicaciones, comercio minorista, manufactura y servicios de soporte cibernético. La mecánica hace tiempo se basa en granjas de portátiles, que proporcionan al trabajador remoto una dirección IP local y la presencia física del equipo en el país necesario.
CrowdStrike atribuye la infraestructura relacionada al grupo Famous Chollima. La empresa observó cómo candidatos redirigían dispositivos corporativos a las direcciones deseadas, declaraban supuestos portátiles robados para que se reenviaran y disfrazaban equipos para su control remoto. En algunos casos los mismos identificadores de dispositivo aparecían en varias organizaciones a la vez.
El FBI advirtió que el esquema cambia a medida que mejoran las verificaciones durante la contratación. Los operadores recurren cada vez más a intermediarios para entrevistas, verificación de identidad, almacenamiento de equipos y acceso a cuentas, y parte del trabajo real lo subcontratan a freelancers externos. Infraestructura similar ya apareció antes en casos sobre empleados ficticios.
Según el FBI, ya no es suficiente un solo indicador para identificar con fiabilidad a estos candidatos. El servicio aconseja combinar verificación de identidad presencial, control de los dispositivos de trabajo, análisis de cambios inusuales de direcciones y cuentas, y verificaciones conjuntas entre recursos humanos, TI y seguridad. La agencia considera que las listas negras sencillas no son fiables y tienden a generar falsos positivos.
El Departamento de Justicia subraya que las acusaciones siguen siendo alegaciones de la fiscalía y deben probarse en un tribunal. La operación en Texas golpeó la infraestructura física del esquema, pero CrowdStrike considera que el efecto es localizado: la red sigue operando y se adapta, distribuyendo los portátiles en un mayor número de pequeñas ubicaciones para que la pérdida de un punto no detenga toda la cadena.