ABD Adalet Bakanlığı Salı günü Kuzey Kore'nin sahte uzaktan IT çalışanı şemasını bozma çabaları kapsamında 14 kişiyi suçladı ve yaklaşık 187 bilgisayar ele geçirdi.
İddianame, 70'ten fazla ABD şirketini etkileyen bir IT çalışanı komplosundaki rolleri nedeniyle bir grup ABD vatandaşı ve Çin vatandaşını suçluyor. Kişiler tel dolandırıcılığı komplosu, kara para aklama komplosu, kimlik hırsızlığı komplosuna katılım ve ağırlaştırılmış kimlik hırsızlığıyla suçlandı.
Aşağıdaki kişiler suçlandı
Sun Sheng Ming, 37, Dandong City, Çin
Pei Li Guang, yaş bilinmiyor, Liaoning, Çin
Weng Shou Cheng, yaş bilinmiyor, Liaoning, Çin
Han Guo Bin, yaş bilinmiyor, Dandong City, Çin
Wang Jian Jun, 34, Dandong City, Çin
Sheng Zhang Kun, yaş bilinmiyor, Shenzhen, Çin
Zhang Wei Ping, yaş bilinmiyor, Dandong City, Çin
Zhang Li Ping, yaş bilinmiyor, konum bilinmiyor
Yu Yang, 40, yaş bilinmiyor, Dandong City, Çin
Jin Long, 35, konum bilinmiyor
Michael James Bostelle, 31, Philadelphia, Pennsylvania
Juan Cecilio Pena Carrillo, 37, San Juan, Texas
İki ABD vatandaşı Carrillo ve Bostelle gözaltına alındı, geri kalanlar firarda. Dolandırıcılık şeması yaklaşık 2019'dan Temmuz 2025'e kadar işledi. Bir diğer önemli ABD merkezli suç ortağı Trey Michael Nolte iddianamede adı geçti ancak suçlanmadı.
Nolte'nin, yazılım geliştirme hizmeti sunduğunu iddia eden ancak aslında suç şemasını işleten Dark Falls LLC adlı bir kabuk şirketi yönettiği iddia ediliyor. Operasyon ayrıca 21 Eylül ile 25 Eylül 2026 tarihleri arasında düzenlenen baskınlarda Teksas genelinde 40'tan fazla sözde dizüstü bilgisayar çiftliğinin dağıtılmasını da içerdi.
"Kuzey Kore gibi ulus-devletlerin oluşturduğu tehditler, düşmanlarımızın kendi nefarî gündemlerini ilerletmek ve finanse etmek için ülkemizin ekonomik gücünden yararlanmak için ne büyük çaba göstereceğinin acı bir hatırlatıcısıdır" dedi. Kuzey Ohio Bölgesi için ABD Başsavcısı David M. Toepfer.
Mahkeme belgeleri, sanıkların Demokratik Halk Cumhuriyeti Kore hükümeti için yasadışı gelir elde etmek amacıyla uzaktan IT işi almak üzere çok yıllı dolandırıcılık şemasına katılmak için işbirliği yaptığını iddia ediyor. Bu durum uluslararası yaptırımları ihlal ediyor ve nükleer silahlar ile diğer askeri programlarını finanse ediyor.
Operasyon, aynı zamanda Famous Chollima, purpledelta ve Wagemole olarak da takip ediliyor. Kuzey Koreli IT çalışanları sahte kimlikler kullanarak Amerikalı ve diğer şirketlerde işe alınıyor, düzenli maaş alıyor ve gelirin bir kısmı rejime aktarılıyor.
Bu çalışanlara işe alınmalarına yardımcı olmak, şirket tarafından verilen dizüstü bilgisayarları konutlarında barındırmak ve yurtdışındaki çalışanların meşru ABD merkezli çalışanlar gibi görünmesini sağlamak için uzaktan erişim teknolojisinden yararlanmak üzere ABD'deki kolaylaştırıcılar yardım ediyor.
ABD'deki kolaylaştırıcılar ayrıca ABD'deki IT çalışanlarına ve yurt dışındaki diğer kişilere ödenen paranın hareketini sağlamak için ABD bankalarında ve çevrimiçi para transfer hizmetlerinde hesaplar açmaktan da sorumlu. Bu hizmetler karşılığında kolaylaştırıcılara ücret ödeniyor.
Toplamda şema 70'ten fazla ABD şirketi işvereni etkiledi ve IT çalışanları için yaklaşık 3 milyon dolar gelir üretti.
"Mağdur kurumlar arasında sağlık hizmetleri, iletişim, siber destek, perakende ve imalat şirketleri dahil olmak üzere geniş bir endüstri ve hizmet yelpazesine hizmet veren şirketler vardı" dedi ABD Adalet Bakanlığı.
"Mağdur işletmeler sadece Ohio'da değil, Massachusetts, California, New York, New Jersey, Florida, Georgia, Minnesota, Maryland, Kuzey Karolina, Illinois, Virginia, Michigan, Texas, Arkansas, Pennsylvania, Washington ve Columbia Bölgesi de dahil olmak üzere ABD'nin büyük bir bölümünde bulunuyordu."
Bu çaba, Kuzey Kore'nin muhtemelen çok büyük ölçekli, gelişen bir siber tehdidi oluşturan ve gelir elde etme kaynağını kesmeyi amaçlayan uzun süredir devam eden ve yoğunlaşan bir ABD kampanyasının en son örneği.
Sahte IT çalışanlarıyla ilişkili göstergeleri araştıran ve görünüşte ilgisiz çalışanlar ile dizüstü bilgisayar barındırma konumları arasında bağlantılar tespit eden siber güvenlik şirketi CrowdStrike, tehdit aktörlerinin şirket tarafından sağlanan donanımı işe alım aşamasında dizüstü bilgisayar çiftliği adreslerine yönlendirmek için çeşitli tekniklere başvurduğunu söyledi.
Operatörlerin "dizüstü bilgisayarın çalındığını iddia ederek sahte polis raporları dosyalamaları ve çiftlik adreslerine yedek gönderim tetiklemeleri; nihai varış noktasını gizlemek için konut adresleri arasında rotasyon yapmaları" gözlemlendi.
"Diğerleri cihazları sevkiyat sırasında saptırmak için son dakika yer değiştirmelerini iddia etti. Bazı durumlarda operatörler, personel firmaları aracılığıyla roller sağladı ve bu da personel firmasının bilgisi olmadan son müşteri cihazlarının sessizce çiftlik altyapısına yönlendirilmesine izin verdi."
En az Mayıs 2026'dan bu yana Famous Chollima'nın cihaz özetlerini taklit etmeye başladığı söyleniyor; örneğin bir video yakalama kartını taklit ederek bir web kamerası gibi görünmesi, muhtemelen bu araçların kullanımını gizlemek ve tespitten kaçınmak için.
"Dizüstü bilgisayar çiftliği ve kolaylaştırıcıları, fiziksel bir adres, yasal bir kimlik ve finansal kurumların özen yükümlülüğü gerekliliklerini karşılamak için bir mekanizma sağlayan kiralanmış bir ABD ayak izi olarak hizmet eder" dedi CrowdStrike.
"Bu aksatma, dizüstü bilgisayar çiftliklerinin kapatıldığı acil alanlarda Famous Chollima'nın operasyonlarını yavaşlatacak, ancak uzun süreli etkiler yaratması muhtemel değil. Düşman, kolluk kuvvetlerinin keşfi ve aksatmasından kaçınmak için yöntemlerini neredeyse kesinlikle geliştirmeye devam edecek."
Sürekli Evrilen Bir Tehdit
Eş zamanlı olarak ABD Federal Soruşturma Bürosu FBI, operasyonun kolaylaştırıcıların genişletilmiş kullanımını detaylandıran bir uyarı yayınladı; bazı durumlarda tüm işleri Güney Asya veya Batı Afrika'daki yabancı uyruklulara alt yüklenim yapıyor.
"Giderek daha fazla Kuzey Koreli, Batı şirketleriyle iş buluyor ve ardından toplam maaşın küçük bir kesri karşılığında iş atamalarını serbest çalışanlara yaptırıyor" dedi FBI. "IT çalışanları, istihdamla ilgili uzaktan işgücünü genellikle Pakistan, Hindistan, Nijerya veya komşu ülkelerde üçüncü taraf serbest çalışanlara alt yüklenim yapıyor."
IT çalışanlarının iş başvurularında yardımcı olmak ve işe alınmalarını sağlamak için Güney Asyalı veya Batı Afrikalı serbest çalışanları işe aldığı da tespit edildi. Bu serbest çalışanlar, belirli bir zaman diliminde mümkün olduğunca çok açık pozisyona manuel olarak başvurmak veya onların adına mülakat yapmak için ödeniyor.
Ek olarak Pyongyang destekli tehdit aktörlerinin, daha fazla iş başvurusu yapmak için anlaşılanın ötesinde kolaylaştırıcıların kimliklerini izin olmadan kullandıkları ve kolaylaştırıcı işleri teklif etmek için ekonomik olarak savunmasız Amerikalıları hedefledikleri iddia ediliyor.
"IT çalışanları rutin olarak ayrıntılı hikayeler uyduruyor, sahte şirketler oluşturuyor ve taleplerine güvenilirlik kazandırmak için resmi belgeler üretiyor" diye belirtti FBI. "Sık görülen IT çalışanı geçmiş öyküleri arasında geçici bir ABD varlığına ihtiyaç duyan Çinli veya Doğu Asyalı uyruklu olduklarını iddia etmek veya devam eden Rusya-Ukrayna savaşı nedeniyle yerinden edilmiş Doğu Avrupalı olduklarını iddia etmek yer alıyor."
FBI, tehdit aktörlerinin eski yöneticilere ve ailelerine yönelik fiziksel şiddet tehditleri kullanarak ödeme talep ettikleri ve şemayı ilerletecek eylemleri gerçekleştirmeye başkalarını zorladıkları vakaları da tespit ettiğini söyledi; bu durum tehdidin yeni bir tırmanışını işaret ediyor.
İş başvurularında çalınan kimlikler kullanmanın yanı sıra, IT çalışanlarının başvurularına meşruiyet görünümü kazandırmak için teknoloji sektöründeki diğer bireylere ait sosyal medya hesaplarını, profesyonel profilleri ve çevrimiçi kimlikleri yanlış bir şekilde sahiplendikleri biliniyor.
"Kuzey Koreli IT çalışanları, ABD hükümeti güvenlik izinleri gerektiren veya benzersiz teknik beceriler gerektiren pozisyonlar da dahil olmak üzere daha geniş bir iş havuzu elde etmek için niteliklere sahip kimlikleri veya kolaylaştırıcıları kullanmaya çalışıyor" dedi FBI. "IT çalışanları, ABD hükümeti sözleşmeleriyle ilgili olanlar da dahil olmak üzere temiz savunma yüklenicileri ve diğer şirketlerdeki pozisyonları hedefliyor. IT çalışanları dizüstü bilgisayarları barındırmaları için aktif görevli ABD askeri üyelerini hedefliyor."
