De Amerikaanse overheid heeft laptop farms ontmanteld die volgens het ministerie van Justitie (DOJ) onderdeel waren van een grootschalig schema rond “remote IT workers”. Daarbij zouden nepidentiteiten en omgeleide werk-laptops worden ingezet om Amerikaanse bedrijven te misleiden en geldstromen richting het regime in Noord-Korea op gang te houden.
In deze zaak zijn 14 personen aangeklaagd en is een groot aantal computers in beslag genomen. Het gaat om een operatie die naar verluidt sinds ongeveer 2019 actief was, met verstoringen van meer dan 40 laptop farms tijdens invallen in Texas in september 2026.
Wat zijn laptop farms in dit fraudeverhaal?
In de kern draait de aanpak om het huren of faciliteren van een “Amerikaanse footprint” voor remote werk. Volgens de DOJ-omschrijving zouden Noord-Koreaanse actoren op afstand IT-werk proberen te leveren met behulp van hardware die bij facilitators in de VS staat.
Dat gebeurt niet met één simpel device, maar met een cluster van werkstations—de zogeheten laptop farms. Door laptops op specifieke adressen te plaatsen en ze via remote-toegang te gebruiken, kan het systeem eruitzien alsof de werknemer daadwerkelijk in de Verenigde Staten werkt.
Waarom juist dit soort infrastructuur?
De “farm” biedt meerdere voordelen. Het maakt een fysieke locatie en een juridische identiteit mogelijk voor onboarding- en compliance-processen bij werkgevers, terwijl remote-access technologie de illusie ondersteunt dat er echte Amerikaanse medewerkers aan het werk zijn.
Ook zouden de actoren tijdens het onboardingproces varianten van hun werkwijze aanpassen om de uiteindelijke bestemming van de apparaten te verhullen.
DOJ: aanklachten, in beslag genomen apparatuur en tijdlijn
Volgens het DOJ zijn 14 verdachten aangeklaagd in verband met de zogeheten IT-worker conspiracy. In de tenlastelegging zit een combinatie van rollen van Amerikaanse burgers en Chinese staatsburgers/nationalen, met als aantijgingen onder meer wire fraud-conspiratie, geldwitwassing en samenzwering rond identiteitsdiefstal.
De operatie zou hebben gelopen van circa 2019 tot en met juli 2025. Twee Amerikaanse verdachten—Juan Cecilio Pena Carrillo en Michael James Bostelle—zijn aangehouden; de overige personen zouden nog voortvluchtig zijn. Daarnaast wordt een extra co-conspirator genoemd die wel in de aanklacht naar voren komt, maar niet is aangeklaagd.
Een shell company als schakel
Een belangrijk onderdeel van het verhaal is de rol van een zogenoemde shell company (Dark Falls LLC), die volgens de beschrijving softwareontwikkelingsdiensten claimde. In werkelijkheid zou deze entiteit zijn gebruikt om de fraude mogelijk te maken.
Fraudemechanisme: fake identiteiten en omgeleide remote-laptops
De DOJ en de FBI schetsen een patroon dat zich herhaalt: Noord-Koreaanse IT-workers zouden aan banen komen via valse identiteiten. Vervolgens zouden ze regelmatig salaris ontvangen, waarvan een deel terugvloeit naar het Noord-Koreaanse regime.
Volgens CrowdStrike, dat indicatoren onderzocht, werden employer-provided devices door de bedreigers in de onboardingfase omgeleid naar de adressen van de laptop farms. Daarmee wordt een deel van de “herkomst” van de werkhardware moeilijker te verifiëren.
Hoe omleiden ze de hardware?
Er worden meerdere methoden genoemd om apparaten naar farm-adressen te sturen of de sporen daarvan te maskeren. Bijvoorbeeld door op papier politie- of diefstalmeldingen te gebruiken om vervangingszendingen te triggeren. Ook zouden actoren rouleren via residentiële adressen om de uiteindelijke eindbestemming te verhullen.
Daarnaast komen claims voor dat devices halverwege verzending worden omgeleid door “last-minute relocations” te gebruiken. In sommige gevallen zouden actoren ook IT-staffing rollen hebben bemachtigd, waardoor end-client devices zonder medeweten van de staffing-firma konden worden doorgezet naar farm-infrastructuur.
Gebruik van hashes en “geheugensteun” voor detectie ontwijken
Naast het fysieke omleidingswerk wordt ook digitale camouflage genoemd. Sinds ten minste mei 2026 zou de operatie zijn begonnen met het spoofen van device hashes. Zo zou men bijvoorbeeld een video capture card kunnen nabootsen om zich voor te doen als een webcam.
Het doel hiervan is volgens de beschrijving het maskeren van het gebruik van hulpmiddelen en het ontwijken van detectie.
Impact: meer dan 70 bedrijven en ongeveer 3 miljoen dollar
De zaak raakte naar verluidt meer dan 70 Amerikaanse werkgevers in uiteenlopende sectoren. Het DOJ noemt onder meer zorg, communicatie, cyberondersteuning, retail en productiebedrijven.
De operatie zou ongeveer 3 miljoen dollar aan inkomsten hebben gegenereerd voor de “IT workers” binnen het schema.
Slachtofferorganisaties zouden verspreid zijn over meerdere Amerikaanse staten, waaronder Ohio, maar ook onder meer Massachusetts, Californië, New York, Texas, Florida, en diverse andere locaties.
FBI-waarschuwing: escalatie via facilitators en subcontracting
Naast de inzet van fake identiteiten waarschuwt de FBI voor een bredere en evoluerende werkwijze. In sommige gevallen zouden facilitators volledige taken hebben uitbesteed aan buitenlandse freelancers in Zuid-Azië of West-Afrika.
De FBI beschrijft dat steeds vaker Western bedrijven worden benaderd met remote arbeidsconstructies, waarna een deel van het werk door derden wordt uitgevoerd tegen lagere tarieven—waardoor het geheel op afstand kan blijven draaien.
Freelancers inzetten bij sollicitaties
Een ander punt is de inzet van freelancers om te helpen bij het solliciteren en aangenomen worden. Zo zouden freelancers handmatig zo veel mogelijk open posities kunnen benaderen binnen een bepaalde tijdspanne, of interviews namens de echte actor uitvoeren.
Daarbij wordt ook gemeld dat de bedreigers in sommige gevallen identiteiten van facilitators gebruiken zonder toestemming—om meer banen te targeten dan vooraf zou zijn afgesproken.
Waarom dit privacy, security en compliance raakt
Wat deze zaak zo relevant maakt voor organisaties is dat het niet alleen een “fraude-incident” is, maar ook een schakel vormt tussen identity & access, endpointbeheer en compliance-verplichtingen. De laptop farms functioneren als een gehuurde Amerikaanse aanwezigheid: een fysiek adres, een juridische identiteit en een mechanisme om aan Know-Your-Client-achtige due diligence te voldoen.
Voor security teams betekent dit dat verificatie niet mag stoppen bij “het lijkt te kloppen” via documenten. Voor compliance en procurement teams betekent het dat leveranciers- en onboardingprocessen extra kritisch moeten zijn, vooral bij rollen met toegang tot bedrijfsassets en gevoelige processen.
Praktische aandachtspunten voor organisaties
Hoewel de zaak primair juridisch van aard is, zijn er duidelijke lessen voor bedrijven die remote onboarding en device uitrol beheren. Denk bijvoorbeeld aan strakkere verificatie van identiteit en werkgeschiktheid, en aan extra checks bij het verplaatsen of vervangen van bedrijfshardware.
- Let op afwijkingen bij hardware delivery: meldingen over diefstal, dringende vervangingen of adreswijzigingen verdienen extra verificatie.
- Verificatie van identiteit mag verder reiken dan documenten: controleer ook consistentie in profielen, rolverantwoording en technische toegang.
- Beperk risico rond device redirect: werk met autorisatie en logging voor elk pad van zending, plaatsing en remote-toegang.
- Focus op procesintegriteit: staffing- en onboardingketens kunnen het “zicht” op echte eindgebruikers verminderen.
Als je organisatie werkt met sterke verificatieprincipes—bijvoorbeeld om te beoordelen of identiteiten echt zijn—dan is het testen van je procedures een waardevolle oefening. Je kunt daarbij ook inspiratie opdoen met de aanpak van een deepfake readiness drill voor verificatie.
Remote werk blijft een aanvalsvlak
In de kern laat deze case zien dat aanvallers remote arbeid niet alleen gebruiken voor dataverzameling of sabotage, maar ook voor langlopende financiële opbrengsten en het omzeilen van toezicht. De laptop farms ontmanteld, maar volgens de beschreven analyses is de verwachting dat actoren hun werkwijze blijven aanpassen om ontmanteling en ontdekking te ontwijken.
Dat betekent dat organisaties hun processen moeten beschouwen als een continu traject: niet eenmalige controles, maar doorlopende verbetering van verificatie, devicebeheer en toegangsbeleid.
Gerelateerde security aandacht: hardening en kwetsbaarheidsrisico’s
Naast identiteits- en onboardingfraude is endpoint- en transportveiligheid een constante factor in moderne omgevingen. Wanneer systemen veel remote connecties en updates gebruiken, kunnen ook implementatie- of library-issues een rol spelen. Ter illustratie van hoe technische details misbruik kunnen faciliteren, kun je verder lezen over een curl HTTP/2 upload probleem met een geheugenfout.
Conclusie
De ontmanteling van laptop farms in Texas past in een bredere strijd tegen Noord-Koreaanse IT-worker fraude. Met 14 aanklachten en grootschalige inbeslagname van computers probeert de VS een bron van inkomsten en een evoluerende digitale dreiging te verstoren.
Voor organisaties is de belangrijkste les dat remote werk en device onboarding een kritisch, maar vaak onderschat, verificatie- en compliancevraagstuk zijn. Door hardwarestromen, identiteitscontroles en onboardingprocessen strakker te maken, verklein je de kans dat een “remote footprint” in de praktijk een constructie blijkt.
Bron: https://thehackernews.com/2026/10/us-shuts-down-over-40-laptop-farms.html
