Adalet Bakanlığı 14 kişi hakkında dava açtı ve Kuzey Kore BT çalışanı şemasında 40'tan fazla Teksas laptop çiftliğini çökertti

ABD Adalet Bakanlığı, The Hacker News'ün haberine göre, Kuzey Kore'nin sahte uzaktan BT çalışanı şemasına yönelik son hamlesinde 14 kişi hakkında dava açtı ve yaklaşık 187 bilgisayara el koydu. 21–25 Eylül 2026 tarihleri arasında gerçekleştirilen baskınlar Teksas genelinde 40'tan fazla laptop çiftliğini çökertti; suçlamalar 14 Ekim 2026'da açıklandı.

Çiftlikler, işveren tarafından verilen laptopların açık ve giriş yapılmış halde beklediği sıradan evlerdi. Kâğıt üzerinde makineler Amerikalı BT yüklenicilerine aitti; ancak araştırmacılara göre pratikte Kuzey Koreli operatörler yurt dışından uzaktan erişim araçlarıyla bağlanıyor, maaşları çekiyor ve bir kısmını Pyongyang'a gönderiyordu. Adalet Bakanlığı operasyonun yaklaşık 2019'dan Temmuz 2025'e kadar sürdüğünü, çalışanların 70'ten fazla ABD şirketine yerleştirildiğini ve yaklaşık 3 milyon dolar gelir elde edildiğini belirtiyor — ABD yaptırımlarının engellemeyi amaçladığı para, çünkü bu para KDİC'nin silah programlarını finanse ediyor.

Mağdurlar sağlık, iletişim, siber destek, perakende ve imalat sektörlerine yayılıyordu ve 17 eyalet ile Columbia Bölgesi'nde bulunuyorlardı.

Şema nasıl işliyordu

Famous Chollima, purpledelta ve Wagemole olarak izlenen şemanın, Adalet Bakanlığı'nın iddiasına göre, ABD'de bulunan aracılarına dayanıyor. Bu aracılar operatörlerin sahte kimliklerle işe alınmasına yardım etti, şirket laptoplarını evlerinde barındırdı, uzaktan erişim yazılımları çalıştırarak yurt dışındaki çalışanların yerli çalışanlar gibi görünmesini sağladı ve maaş ödemelerini taşımak için banka ve para transferi hesapları açtı — her adımda bir ücret toplayarak.

Görünüşte ilgisiz çalışanları paylaşılan barındırma adresleri üzerinden ilişkilendiren CrowdStrike, donanımın çiftliklere nasıl ulaştığını belgeledi: laptopun çalındığını iddia eden sahte polis raporları sayesinde yedek bir cihazın bir çiftlik adresine gönderilmesi, hedefi gizlemek için dönüşümlü konut adresleri kullanılması, cihazları yoldayken başka adrese yönlendirmek için son dakika taşıma iddiaları ve müşteri donanımının firmanın bilgisi dışında yönlendirilmesine imkân tanıyan BT istihdam firmaları üzerinden yerleştirmeler. CrowdStrike'a göre grup en az Mayıs 2026'dan beri cihaz hash'lerini de sahteliyor — örneğin bir video yakalama kartını webcam gibi gösteriyor — muhtemelen araçlarını gizlemek için.

CrowdStrike çiftliklerin temel işlevini bir Amerikan varlığı kiralamak olarak tanımlıyor: fiziksel bir adres, bir kimlik ve bankaların güvendiği kimlik kontrollerinden geçecek kadar meşruiyet.

İddianame

Ohio Kuzey Bölgesi'nde açılan iddianame, ABD vatandaşları ve Çin uyruklularının karışımını telgraf dolandırıcılığı komploları, kara para aklama komploları ve kimlik hırsızlığı suçlarıyla suçluyor. Çinli sanıkların çoğu Dandong şehrinde veya Liaoning eyaletinin başka yerlerinde listelenmiş, biri ise Shenzhen'de. Sadece iki kişi gözaltında: Philadelphia'dan 31 yaşındaki Michael James Bostelle ve San Juan, Teksas'tan 37 yaşındaki Juan Cecilio Pena Carrillo. Diğerleri hâlâ firarda.

Üçüncü bir Amerikalı olan Trey Michael Nolte iddanamede adı geçiyor ancak suçlanmıyor. Savcılar, mağdur şirketlerle şema arasında yer alan, nominal olarak yazılım geliştirme hizmetleri sunan kaban şirketi Dark Falls LLC'yi yönettiğini iddia ediyor.

Evrilen bir tehdit

FBI ayrıca bu modelin yayıldığı konusunda uyarıyor. FBI'a göre Kuzey Koreli operatörler giderek artan biçimde Batılı şirketlerde işe giriyor ve asıl işi serbest çalışanlara — genellikle Pakistan'da, bazen Güney Asya veya Batı Afrika'nın başka yerlerinde — maaşın çok küçük bir bölümü karşılığında subcontract ediyor. İşveren Amerikalı olduğuna inandığı birine ödeme yapıyor, rejim farkı alıyor ve hiç doğrulanmamış üçüncü bir taraf koda ve verilere erişim kazanıyor.

CrowdStrike operasyonun çökertilmesinin sadece çiftliklerin kapatıldığı bölgelerde yavaşlatabileceğini değerlendiriyor ve kalıcı bir aksaklık beklemiyor.

Neden önemli

Altı yılda yaklaşık 3 milyon dolar mütevazı görünebilir, ama bu öncelikli olarak bir maaş dolandırıcılığı hikâyesi değil. Bu, yaptırımlara tabi bir nation-state'in bir işletmenin yürüttüğü en güvenilen süreçleri — işe alım, onboarding ve donanım lojistiği — istismar ederek, siber destek sağlayıcıları dahil Amerikan şirketlerinin içinde yıllarca yetkili insider erişimi tutması. Her sahte işe alım bir recruiter'dan, bir İK ekibinden, bir BT sevkiyat masasından ve bir finans departmanından geçti ve şema her kontrol noktasını aştı.

CrowdStrike ve FBI bulgularından pratik dersler:

• Donanım lojistiğini bir güvenlik sinyali olarak ele alın. Bir hırsızlık raporunu yedek bir cihazın yeni bir adrese gönderilmesi talebi izliyorsa veya donanım yoldayken bir taşınma iddiası geliyorsa, bu belgelenen yönlendirme kalıbıyla örtüşüyor.
• Kimlik ve cihaz güvencesini istihdam firması çalışanlarına kadar genişletin ve bundan kimin sorumlu olduğunu sözleşmelerde net biçimde belirtin.
• Donanım envanterine davranıştan daha az güvenin: hash'lerin sahtelenmesi, çevre birim listesinin klavye başında oturan birini kanıtlamadığı anlamına gelir.
• Doğrulamayı sadece onboarding sırasında değil sürekli yapın, çünkü gerçek bir kimlik yurt dışında doğrulanmamış bir freelancer için aracı olabilirlik sürüyor.
• İş gücü genelinde korelasyon kurun: görünüşte ilgisiz işe alımları bağlayan paylaşılan barındırma adresleri tam olarak bu ağı ortaya çıkaran şeydi.

Sanıkların çoğu erişilemez durumdayken, kalıcı kontrol noktası hukuk uygulayıcılar değil, işverendir. Uzaktan işe alım gerçek bir erişim sağlıyor ve privileged credential vermekle aynı dikkatle incelenmeyi hak ediyor.