DOJ klaagt 14 verdachten aan in Noord-Koreaans IT-werkerschema

De Amerikaanse justitie klaagt veertien mensen aan in een Noord-Koreaans IT-werkerschema dat volgens aanklagers ruim 70 werkgevers trof en circa $3 miljoen aan inkomsten voor IT-werkers opleverde, meldt het ministerie op 13 oktober.

Een echte bedrijfslaptop en een geldig account kunnen na een digitale sollicitatie bij iemand anders terechtkomen dan de aangenomen werknemer. Voor Nederlandse organisaties die ontwikkelaars of andere IT’ers op afstand inhuren, ligt de inzet daarom ook na de identiteitscheck: wie gebruikt het apparaat, waar wordt ingelogd en hoe lang blijft toegang open?

De FBI doorzocht meer dan veertig woningen

De aanklacht beschrijft een constructie die liep van 2019 tot ongeveer juli 2025. Noord-Koreaanse IT-werkers zouden met gestolen of vervalste identiteitsgegevens en VPN’s of proxy’s hebben gedaan alsof zij Amerikaanse werknemers waren. Helpers ontvingen werkgeverlaptops op woonadressen, configureerden de apparaten en installeerden software voor toegang op afstand.

De aanklacht noemt veertien verdachten: twee Amerikaanse mannen, Michael James Bostelle en Juan Cecilio Pena Carrillo, zijn gearresteerd; tien andere aangeklaagden zouden vanuit China hebben meegedaan en twee namen zijn geheimgehouden. De aanklacht noemt fraude, witwassen en identiteitsdiefstal. Aanklagers zeggen dat de groep ruim 70 werkgevers trof en circa $3 miljoen aan inkomsten voor de IT-werkers genereerde. Het geld zou naar gesanctioneerde entiteiten onder Noord-Koreaanse controle zijn gegaan.

Tussen 21 en 25 september doorzocht de FBI meer dan veertig woningen in Texas die bekendstonden of vermoed werden als laptopfarms. Tijdens de operatie nam de dienst ongeveer 187 laptops en KVM-apparaten in beslag, waarmee een computer op afstand kan worden bediend. De werkgevers zaten in de zorg, communicatie, cyberondersteuning, detailhandel en maakindustrie, verspreid over Ohio, zestien andere staten en Washington D.C.

De constructie bestond al vóór deze inval

In augustus 2024 beschreef het ministerie een facilitator in Nashville die werkgeverlaptops thuis ontving en software voor toegang op afstand installeerde. De buitenlandse IT-werkers zouden vanuit China hebben gewerkt terwijl werkgevers dachten dat zij in Nashville zaten. In die zaak stelde het ministerie dat werkgevers meer dan $500.000 kwijt waren aan controle en herstel van apparaten, systemen en netwerken. Dat waren gestelde herstelkosten; de circa $3 miljoen in de nieuwe aanklacht is volgens aanklagers inkomsten uit werk. DOJ noemt de inval de nieuwste stap na acties in juni en november 2025 en april en mei 2026.

Een eerdere post beschreef hoe de FBI een Noord-Koreaanse IT-kracht bij een Amerikaanse overheidsdienst onderzocht zonder de dienst of mogelijke datatoegang bekend te maken. Dezelfde post vermeldde ook een afzonderlijke strafzaak: een man toonde zijn eigen, echte paspoort en rijbewijs, maar een ander voerde het werk uit via software voor toegang op afstand. De nieuwe aanklacht voegt een grotere groep helpers, meer dan veertig onderzochte adressen en bijna tweehonderd apparaten aan die voorgeschiedenis toe.

Ook identiteitscontrole komt steeds vaker terug in digitale personeelsprocessen. Deel nam Clarity over om identiteitscontrole en deepfake-detectie van werving tot dagelijks toegangsbeheer in zijn platform te brengen. Dat raakt de voorkant van het probleem. De DOJ-zaak laat zien dat laptop, account en uitvoerder na de sollicitatie uit elkaar kunnen lopen.

De FBI vraagt om controle door de hele arbeidsrelatie

Op 13 oktober waarschuwde de FBI dat tussenpersonen nu ook sollicitatiegesprekken, identiteitsverificatie en het thuis hosten van werkgeverlaptops voor IT-werkers verzorgen. In sommige gevallen zouden de werkers hele opdrachten uitbesteden aan freelancers in Zuid-Azië of West-Afrika.

De FBI zegt dat één signaal niet volstaat, omdat verdacht gedrag afzonderlijk kan lijken op gewoon werk op afstand. De dienst adviseert daarom meerdere lagen identiteits- en toegangscontrole gedurende de hele arbeidsrelatie. Het noemt afwijkingen tussen identiteitsbewijs en videogesprek, software voor toegang op afstand, KVM-apparatuur en apps buiten iemands functie. Ook noemt de FBI samenwerking tussen HR, IT, beveiliging en management. Een namenlijst of enkel filter kan legitieme sollicitanten weren en slachtoffers van identiteitsdiefstal benadelen.

CrowdStrike, dat bij de FBI-operatie hielp, meldt dat de groep sinds mei apparaat-ID’s vervalst, een video-opnamekaart als webcam liet lijken en hetzelfde verhulde apparaat bij meerdere werkgevers gebruikte. Het bedrijf baseert die bevindingen op eigen onderzoek en klantnetwerken. Die geven detail over de techniek, maar vormen geen telling van alle werkgevers die met de groep te maken kregen.

De aanklacht geeft geen lijst van getroffen bedrijven

De DOJ-publicatie noemt sectoren en staten, maar geen werkgeversnamen en geen schatting van datatoegang of schade per bedrijf. Het ministerie maakt de getroffen bedrijven niet bekend, schrijft TechCrunch. De circa $3 miljoen is een bedrag dat de werkers volgens de aanklacht verdienden, geen vastgesteld schadebedrag voor hun werkgevers. De FBI beschrijft daarnaast hoe sommige werkers bedrijfsgegevens buitmaakten, bedrijven na ontslag afpersten en voormalige managers met geweld bedreigden. Die bredere waarschuwing bewijst niet dat dit in elk van de genoemde banen gebeurde.

De aanklacht noemt ook uiteenlopende rollen: Carrillo zou circa $190.000 van vijf werkgevers hebben ontvangen, terwijl een als mede-samenzweerder genoemde inwoner van Ohio niet is aangeklaagd, meldt CyberScoop. De DOJ zegt dat de feiten in de aanklacht beschuldigingen zijn en dat alle verdachten onschuldig zijn totdat een rechtbank schuld vaststelt. Het gaat om Amerikaanse werkgevers; de FBI-publicatie geeft geen aantal Nederlandse organisaties dat is geraakt.

De verschuiving zit in de duur van de controle. De identiteit wordt bij werving vastgesteld, maar toegang loopt daarna door via accounts, apparaten, sessies en tussenpersonen. Voor teams die op afstand inhuren, hangt de controle daarom ook af van de vraag of personeelswijzigingen, apparaatbeheer en inloggegevens gedurende de opdracht op elkaar blijven aansluiten.