Het Amerikaanse ministerie van Justitie (DOJ) heeft een nieuwe waarschuwing afgegeven over een aanvalsmethode die is gebaseerd op North-Koreaanse laptop farms. Het gaat om grootschalige verzamelplaatsen van computers, waarmee dreigingsactoren op afstand bij Amerikaanse bedrijven zouden inbreken en vervolgens gevoelige informatie stelen.
Volgens de DOJ is bij deze aanpak opvallend dat hackers niet alleen vanuit het buitenland opereren, maar ook gebruikmaken van Amerikanen om het hackproces te faciliteren. Daarnaast blijkt uit de meldingen dat gestolen identiteiten worden ingezet om werk te krijgen binnen westerse organisaties.
Wat zijn North-Koreaanse laptop farms?
De DOJ beschrijft laptop farms als een netwerk van vele computers op locaties in de VS, die worden gebruikt om op afstand in te breken. In het aangekondigde onderzoek zouden federale autoriteiten zoekacties hebben uitgevoerd bij tientallen vermoedelijke locaties in Texas.
De kern is dat de gebruikte computers volgens de aanklagers waren bedoeld om door “nieuw aangenomen” medewerkers te worden geactiveerd, terwijl de identiteit van die medewerkers in feite werd afgedekt met werkelijke of geloofwaardige persoonsgegevens die van anderen waren gestolen.
DOJ: gestolen identiteiten en gecontracteerde facilitators
Een belangrijk onderdeel van de zaak is hoe de aanvallers toegang proberen te krijgen tot bedrijfsomgevingen. Volgens het DOJ zijn er meer dan 180 computers in beslag genomen, die zouden zijn verscheept naar Amerikaanse bedrijven. Die bedrijven zouden de apparaten hebben geleverd aan nieuw aangeworven werknemers, zonder te weten dat die personen gelinkt waren aan gesanctioneerde Noord-Koreaanse spionage.
Daarnaast komt naar voren dat facilitators worden ingeschakeld: Amerikanen die – al dan niet bewust – helpen bij het uitvoeren van de werkzaamheden die de aanvallers nodig hebben. De DOJ stelt dat Noord-Koreaanse IT-werkers steeds vaker overstappen op het inzetten van Amerikaanse tussenpersonen om detectie door de private sector en acties van wetshandhavingsinstanties te omzeilen.
Meer variatie in taken, ook via derde partijen
Volgens de DOJ rekruteert men facilitators niet alleen voor één vaste stap. In sommige gevallen zouden hele onderdelen van het werk zelfs worden uitbesteed aan buitenlandse personen. Daardoor wordt het dreigingsmodel flexibeler en lastiger om in één simpel patroon te herkennen.
Welke sectoren en regio’s zouden getroffen zijn?
In de aankondiging worden de mogelijke slachtoffers omschreven als bedrijven in verschillende sectoren. De DOJ zegt dat er minstens 70 bedrijven op Amerikaans grondgebied zouden zijn geïnfiltreerd.
De verdeling die wordt genoemd, omvat onder meer zorg, cyber security- of cyber support, retail, communicatie en manufacturing. Daarbij wordt aangegeven dat slachtoffers verspreid zijn over Ohio en nog zestien andere staten, inclusief het District of Columbia.
Waarom laptop farms “vitale” rol spelen
Beveiligingsbedrijf CrowdStrike is betrokken geweest bij de onderzoeken en interventies rond deze activiteiten. Het bedrijf geeft aan dat laptop farms een belangrijke factor zijn voor aanvallers in Noord-Korea: ze helpen om praktische hindernissen te overbruggen.
In de toelichting gaat het om fysieke en financiële beperkingen, maar ook om juridische uitdagingen van het niet fysiek aanwezig kunnen zijn in de VS. Met laptop farms kunnen aanvallers toch technische handelingen uitvoeren en op afstand bij systemen komen.
Omzeiling van detectie en social engineering
De DOJ benoemt bovendien dat de aanvallers zich niet alleen op infrastructuur richten. Zij zouden ook gebruikmaken van digitale camouflage om toegang en vertrouwen te creëren.
Daarbij wordt genoemd dat er werkende e-mailadressen worden gebruikt die sterk lijken op echte adressen, en dat er gespoofde profielen op platforms zoals LinkedIn worden ingezet. Daarnaast zouden aanvallers uitgebreide online en sociale-mediaprofielen onderhouden om activiteiten geloofwaardig te laten lijken.
Dit soort aanpak vergroot de kans dat medewerkers, recruiters of beheerders moeilijk herkennen dat er sprake is van een vals profiel of een gemanipuleerde identiteit.
Impact: diefstal van data en mogelijk ook afpersing
Volgens de DOJ zijn er ongeveer $3 miljoen aan gestolen gelden gegenereerd via de aanvallen die aan deze campagne worden toegeschreven. De betrokkenheid van “remote IT workers” en gestolen identiteiten wijst bovendien op een insider-achtig dreigingsprofiel: aanvallers proberen immers als werknemer of contractor binnen te komen.
In de beschrijving van het DOJ-scenario valt ook dat slachtofferorganisaties mogelijk worden onder druk gezet om extra betalingen te doen. Daarmee krijgt het incident niet alleen een datadiefstalcomponent, maar ook een financieel en strategisch afpersingsrisico.
FBI-waarschuwing: duizenden staats-ICT’ers als insider threat
Naast de DOJ-melding communiceerde ook de FBI over het bredere dreigingsbeeld. De FBI stelt dat er duizenden Noord-Koreaanse IT-werknemers zouden zijn die via westerse bedrijven als insiders kunnen opereren.
Het gaat volgens de FBI om een aanzienlijke dreiging voor nationale veiligheid en intellectueel eigendom. Met andere woorden: het risico beperkt zich niet tot één datalek, maar raakt ook concurrentiepositie en gevoelige kennis.
Meer dan één aanvalslijn: financiering voor kernprogramma
Deze aanpak past volgens de context van de meldingen binnen een groter plaatje van illegale inkomstenbronnen. De campagne zou aansluiten op andere vormen van cybercriminaliteit, zoals aanvallen op crypto-omgevingen en misbruik van open source ontwikkelprojecten.
Het doel is volgens experts en de beschreven achtergrond het financieren van een internationaal gesanctioneerd kernwapenprogramma. Daarbij wordt genoemd dat er in 2025 naar verwachting minimaal $2 miljard aan crypto is gestolen, al achten experts de werkelijke omvang waarschijnlijk hoger dan wat publiek wordt gerapporteerd.
Praktische aandachtspunten voor organisaties
Het DOJ-scenario laat zien dat moderne aanvallen niet enkel draaien om technische kwetsbaarheden, maar ook om identiteitsstromen, aannameprocessen en de manier waarop toegang tot omgevingen wordt geregeld.
- Versterk identiteitstoetsing bij onboarding: controleer niet alleen documentatie, maar ook de consistentie van profielen en rollen.
- Monitor logistieke en device-signals: let op patronen rond het uitrollen of activeren van endpoints aan “nieuwe” werknemers.
- Besteed aandacht aan insider-detectie: maak gedrag en privilegegebruik bespreekbaar en meld afwijkingen sneller.
- Train teams op social engineering: speciale aandacht voor realistische e-mailadressen, gespoofde profielen en tactieken op social media.
Als je wilt kijken hoe organisaties incidenten en dreigingssignalen vertalen naar praktische borging, kan je ook het onderwerp van beveiligingscommunicatie en introductieprocessen meenemen vanuit het welkomsbericht van InfraAlert als context voor hoe partijen hun aanpak en dienstverlening aan de markt presenteren.
Conclusie
De DOJ-waarschuwing maakt duidelijk dat North-Koreaanse laptop farms geen losstaand fenomeen zijn, maar onderdeel van een bredere strategie. Door infrastructuur op locaties in de VS te combineren met gestolen identiteiten en Amerikaanse facilitators wordt toegang tot westerse bedrijven systematisch nagestreefd.
Voor organisaties is de boodschap helder: reduceer afhankelijkheid van “vertrouwen op naam”, versterk onboarding- en identiteitscontroles en behandel insider-risico’s als een terugkerend onderwerp. Alleen zo wordt het lastiger voor aanvallers om zich achter ogenschijnlijk legitieme medewerkers en omgevingen te verschuilen.
