Het Amerikaanse ministerie van Justitie heeft de operaties van dreigingsgroep Famous Chollima verstoord met een inval in Texas, waarbij twee Amerikaanse staatsburgers zijn aangehouden en veertien personen zijn aangeklaagd. Famous Chollima, ook bekend als WageMole, is een Noord-Koreaanse dreigingsactor die IT-medewerkers zich laat voordoen als Amerikaanse werknemers om inkomsten te genereren voor het regime.
De operatie, door de FBI “Lonestar Roundup” genoemd, doorzocht tussen 21 en 25 september veertig woningen in Texas die dienstdeden als zogeheten laptopfarms. Daarbij nam de FBI ongeveer 187 laptops en KVM-apparaten in beslag, apparatuur die beveiligingsbedrijf CrowdStrike sinds april 2025 al volgde. De twee aangehouden Amerikanen, Michael James Bostelle en Juan Cecilio Pena Carrillo, worden verdacht van wire fraud, witwassen en identiteitsdiefstal. Een aparte aanklacht in dezelfde zaak richt zich tegen twaalf Chinese verdachten.
Bij dit soort constructies ontvangen Amerikaanse facilitators laptops die bedrijven aan vermeende thuiswerkers sturen, en zetten ze die apparaten op afstand open voor de Noord-Koreaanse medewerkers, zodat het lijkt alsof die vanuit de Verenigde Staten werken. Volgens CrowdStrike gebruikten de betrokkenen verschillende trucs om de bezorging van bedrijfslaptops naar de farm om te leiden:
- valse meldingen van verloren of gestolen apparatuur, zodat bedrijven vervangende laptops naar het adres van de farm sturen
- rouleren tussen meerdere woonadressen om de uiteindelijke bestemming te verhullen
- last-minute verhuizingen doorgeven om pakketten onderweg om te leiden
- misbruik van eigen IT-functies bij het slachtofferbedrijf om zendingen te onderscheppen
Na eerdere ontmaskeringen zouden de werknemers ook vaker apparaat-identifiers vervalsen of identifiers hergebruiken bij meerdere slachtofferorganisaties, aldus CrowdStrike.
Een tweede aanklacht, in Ohio, beschrijft een vergelijkbaar schema dat van 2019 tot juli 2025 liep en zeventig Amerikaanse bedrijven trof, goed voor ongeveer 3 miljoen dollar aan inkomsten voor de Noord-Koreaanse actoren. De werknemers gebruikten gestolen of verzonnen identiteiten, vpn’s en proxy-infrastructuur, terwijl de facilitators de laptops in bezit hielden, remote-accesssoftware installeerden en de verdiensten doorsluisden naar DPRK-rekeningen. CrowdStrike noemt de actie het begin van een breder handhavingsinitiatief om de Amerikaanse infrastructuur van Famous Chollima te ontmantelen, met de kanttekening dat dit soort acties waarschijnlijk maar beperkt effect hebben.
Noord-Koreaanse IT-fraude is vooral een Amerikaans probleem gebleken, maar ook Europese en Nederlandse bedrijven die op afstand ontwikkelaars inhuren lopen risico, zeker bij werving via freelance-platforms. Controleer bij het aannemen van externe IT’ers de identiteit grondig, let op een opvallend aantal gevraagde adreswijzigingen voor bedrijfsapparatuur, en wees alert op sollicitanten die nooit met camera aan willen videobellen.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Huurt uw organisatie op afstand IT'ers of ontwikkelaars in, bijvoorbeeld via freelance-platforms? Verifieer identiteiten grondig, let op herhaalde verzoeken om bedrijfsapparatuur naar een ander adres te sturen en wees alert op kandidaten die videobellen met camera steevast afhouden.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.