В США обвинили 14 человек по делу «ноутбучных ферм» КНДР

Подробно

Кого обвиняют по делу о «ноутбучных фермах» КНДР?

Обвинительное заключение на 58 страницах федеральное большое жюри Северного округа Огайо утвердило 1 октября 2026 года. 13 октября его рассекретили, после расследования, которое шло около года. В документе 14 фигурантов: имена 12 из них опубликованы, личности ещё двух остаются под судебной печатью.

Десять открыто названных обвиняемых связаны с Китаем:

• Sun Sheng Ming, 37 лет, Даньдун;
• Pei Li Guang, Ляонин;
• Weng Shou Cheng, Ляонин;
• Han Guo Bin, Даньдун;
• Wang Jian Jun, 34 года, Даньдун;
• Sheng Zhang Kun, Шэньчжэнь;
• Zhang Wei Ping, Даньдун;
• Zhang Li Ping, местонахождение неизвестно;
• Yu Yang, Даньдун;
• Jin Long, 35 лет, местонахождение неизвестно.

Арестованы двое граждан США: 31-летний Michael James Bostelle из Филадельфии (Пенсильвания) и 37-летний Juan Cecilio Pena Carrillo из Сан-Хуана (Техас). Оба должны предстать перед судом Северного округа Огайо, но даты первоначальных слушаний пока не объявлены. Остальные обвиняемые находятся на свободе.

В заключении четыре пункта: заговор с целью электронного и почтового мошенничества, заговор с целью отмывания денег, заговор с целью кражи личности и кража личности при отягчающих обстоятельствах. Это позиция обвинения, суд её пока не проверял. Независимые издания, изучившие документ, пишут, что пункт о краже личности при отягчающих обстоятельствах предъявлен Pena Carrillo, а не всем фигурантам.

«Эти обвинения - срочный сигнал всем компаниям США сохранять бдительность при найме сотрудников», - заявил федеральный прокурор Северного округа Огайо David M. Toepfer.

Как, по версии обвинения, работала схема?

Обвинение утверждает, что схема действовала с 2019 года примерно до июля 2025 года. IT-работники из-за рубежа пользовались похищенными или вымышленными удостоверениями личности, VPN и прокси-серверами и выдавали себя за специалистов, которые живут в США.

Американские посредники, по версии обвинения, держали у себя корпоративные ноутбуки, настраивали их, ставили программы удалённого доступа и следили за подключением к интернету. Работодателю казалось, что сотрудник физически находится в США. Обвинение также заявляет, что были скомпрометированы личности более 25 жителей США, а ложные сведения поступали в Министерство внутренней безопасности, Налоговую службу и Администрацию социального обеспечения.

В обвинительном заключении описаны отдельные эпизоды. По версии следствия, Bostelle предоставил своё имя и поддельное водительское удостоверение, чтобы иностранный работник смог получить место. Pena Carrillo, как утверждает обвинение, держал у себя ноутбуки, оформленные на разные имена. В связанных с ним эпизодах пять работодателей выплатили около $190 000. Это сумма выплат, а не подтверждённый личный доход обвиняемого.

Житель Огайо Trey Michael Nolte назван в деле предполагаемым соучастником, но в этом обвинительном заключении обвинений ему не предъявлено. По материалам дела, он вербовал, обучал и контролировал американских посредников, в том числе Bostelle. CyberScoop, разобравший документ, пишет, что Nolte поддерживал в сети около двух десятков корпоративных ноутбуков и провёл более $320 000 через счета, открытые на чужие имена.

«Такие схемы угрожают безопасности IT-систем и данных обманутых американских работодателей», - заявил помощник генерального прокурора США по национальной безопасности John A. Eisenberg.

Что изъяли в ходе Operation Lonestar Roundup в Техасе?

Операция прошла в Техасе с 21 по 25 сентября 2026 года. ФБР провело обыски и другие мероприятия более чем по 40 адресам, которые считаются известными или предполагаемыми «ноутбучными фермами». Всего изъято около 187 устройств - ноутбуков и KVM-устройств для удалённого управления в совокупности. Около 100 из них нашли в Северном Техасе.

KVM-over-IP и похожие устройства передают через интернет изображение с экрана, нажатия клавиш и движения мыши. Компьютер стоит в США, а управляет им человек за рубежом.

Операцию координировали прокуратура Северного округа Техаса, отделение ФБР в Далласе и киберподразделение ФБР при содействии прокуратуры Северного округа Огайо. Разведданные и технический анализ предоставила компания CrowdStrike. Она отслеживает связанную с КНДР сеть IT-работников и посредников под названием Famous Chollima.

«Каждый изъятый ноутбук потенциально означает одну компанию, нанявшую IT-работника КНДР», - сказал R. Joseph Rothrock, специальный агент, который руководит отделением ФБР в Далласе.

«Речь идёт о враждебном иностранном режиме, который проникает в американские компании с помощью украденных личностей и скрытых точек доступа внутри наших собственных границ», - заявил федеральный прокурор Северного округа Техаса Ryan Raybould.

CBS Texas сообщает, что арестов непосредственно по итогам техасских обысков пока не было. Raybould пообещал, что обвинения против тех, кто сознательно держал фермы, последуют. Минюст называет действия в Огайо и Техасе скоординированными. На вопрос The Record, связаны ли обвинение в Огайо и техасские обыски напрямую, ведомство не ответило.

Какие компании пострадали и о каких суммах идёт речь?

По данным обвинения, схема затронула более 70 работодателей в Огайо, ещё 16 штатах и округе Колумбия. Это Массачусетс, Калифорния, Нью-Йорк, Нью-Джерси, Флорида, Джорджия, Миннесота, Мэриленд, Северная Каролина, Иллинойс, Вирджиния, Мичиган, Техас, Арканзас, Пенсильвания и Вашингтон. Компании работают в здравоохранении, связи, киберподдержке, розничной торговле и производстве. Их названия власти не раскрыли.

В деле фигурируют несколько разных сумм, и складывать их нельзя:

• около $3 млн - предполагаемая выручка (зарплаты) IT-работников. Минюст полагает, что эти деньги направлялись подсанкционным структурам под контролем КНДР;
• не менее $3 млн - отдельно заявленные расходы и потери компаний, включая юридические услуги и восстановление сетей;
• более $320 000 - предполагаемый оборот через счета, связанные с Nolte;
• около $190 000 - выплаты пяти работодателей в эпизодах Pena Carrillo.

Кроме того, Госдепартамент предлагает вознаграждение до $5 млн за информацию, которая поможет пресечь незаконную финансовую деятельность КНДР. Это верхний предел вознаграждения, а не ущерб и не изъятая сумма.

Как будет развиваться дело?

Дело находится на начальной стадии. Обвиняемых, вину которых не доказали в суде, считают невиновными. Bostelle и Pena Carrillo ждут первоначальных слушаний в Северном округе Огайо. Остальные фигуранты на свободе, имена двух засекречены. Признаний вины, вердиктов и приговоров по этому делу пока нет. Reuters не смогло сразу получить комментарии Nolte и адвокатов Bostelle и Pena Carrillo. Письма на адреса, которые прокуратура связывает с китайскими участниками, остались без ответа.

Расследование в Огайо ведёт отделение ФБР в Кливленде. Обвинение поддерживают помощник федерального прокурора Duncan T. Brown и юрист отдела национальной безопасности Минюста Neeraj Gupta. Прокуратура Техаса заявила, что расследование продолжается и новые сведения опубликуют позже.

CrowdStrike считает, что эффект операции будет локальным и временным: сеть продолжит работу и сменит методы.

«Эта операция, вероятно, замедлит деятельность FAMOUS CHOLLIMA лишь в тех районах, где были закрыты ноутбучные фермы», - говорится в оценке подразделения CrowdStrike Counter Adversary Operations.

Как компаниям распознать IT-работников КНДР?

13 октября ФБР выпустило обновлённое предупреждение I-101326-PSA. Бюро пишет, что IT-работники КНДР всё чаще нанимают американцев: те проходят за них собеседования и видеовстречи, подтверждают ложные личности, предоставляют свои аккаунты, отправляют посылки, сдают анализы и отпечатки пальцев или держат у себя рабочие устройства. Посредников, по данным ФБР, целенаправленно ищут среди людей в тяжёлом финансовом положении. Часть задач передают фрилансерам из Пакистана, Индии, Нигерии и других стран Южной Азии и Западной Африки.

ФБР также сообщает о случаях вымогательства, угрозах физической расправой бывшим руководителям компаний и их семьям, угрозах опубликовать похищенные корпоративные данные и найме местных посредников для запугивания при личной встрече. По общей оценке бюро, контролирующие структуры КНДР забирают примерно 85-90% выручки таких работников. Это оценка угрозы в целом, а не установленная доля от $3 млн по текущему делу.

CrowdStrike описывает новые приёмы. С мая 2026 года операторы подменяют аппаратные идентификаторы, например выдают карту видеозахвата за веб-камеру. Некоторые подавали ложные заявления в полицию о краже ноутбука, чтобы замену прислали на адрес фермы. Другие ссылались на внезапный переезд или перенаправляли технику через кадровые агентства, о чём конечный заказчик не знал.

ФБР советует не полагаться на один признак или чёрный список, а проверять личность сотрудника на нескольких уровнях на всех этапах, от найма до работы. Бюро отдельно предупреждает о ложных срабатываниях и недопустимости дискриминации законных кандидатов. Власти также опубликовали 11 почтовых аккаунтов, которые считают индикаторами схемы.

Было ли в США подобное раньше?

О проблеме власти США предупреждают давно. 16 мая 2022 года Госдепартамент, Минфин и ФБР впервые совместно сообщили, что тысячи IT-работников КНДР выдают себя за граждан других стран, работают в основном из Китая и России и перечисляют выручку структурам, связанным с оружейными программами КНДР.

12 декабря 2024 года Минюст объявил об обвинениях против 14 граждан КНДР, связанных с компаниями Yanbian Silverstar и Volasys Silverstar. Та схема, по версии обвинения, за шесть лет принесла не менее $88 млн. Это отдельное уголовное дело, его не следует путать с нынешним.

30 июня 2025 года в рамках инициативы DPRK RevGen Минюст сообщил об обысках 29 известных или предполагаемых ноутбучных ферм в 16 штатах. Тогда изъяли около 200 компьютеров, 29 финансовых счетов и 21 мошеннический сайт. 15 апреля 2026 года граждане США Kejia Wang и Zhenxing Wang получили 108 и 92 месяца тюрьмы за другую схему с ноутбучными фермами. Она, по данным Минюста, принесла КНДР более $5 млн и затронула более 100 компаний.