Onderzoek en rechtshandhaving in de Verenigde Staten wijzen opnieuw op een hardnekkig patroon rond laptop farms aanpak: neppe “IT-werknemers” die op afstand lijken te werken vanuit de VS, terwijl hun werkelijke locatie elders ligt. In een recente operatie zijn twee Amerikaanse verdachten gearresteerd in een schema dat volgens de aanklacht al jaren doorliep en miljoenen dollars aan frauduleuze opbrengsten genereerde.
Het verhaal draait niet alleen om cybercriminaliteit, maar ook om identiteitsmisbruik, het omzeilen van controles en het inzetten van bedrijfsapparatuur. Daardoor raakt het probleem veel organisaties: van communicatie- en cyberteams tot zorg, productie en retail.
Wat is er volgens de aanklacht gebeurd?
De zaak betreft twee verdachten: Michael James Bostelle uit Pennsylvania en Juan Cecilio Pena Carrillo uit Texas. Volgens het four-count indictment hielpen zij Noord-Koreaanse IT-werkers (ITWs) om illegaal remote werk te verkrijgen bij Amerikaanse bedrijven.
De fraudeperiode wordt in de aanklacht gespecificeerd van 2019 tot en met juli 2025. De verdachten zouden samen met medeplichtigen meer dan 3 miljoen dollar aan frauduleuze inkomsten hebben opgeleverd.
Een kernonderdeel van de werkwijze: de verdachten zouden laptops van Amerikaanse slachtoffers huisvesten en configureren, zodat ITWs konden lijken alsof ze vanuit de VS werkten. Daarbij werd gebruikgemaakt van fake identiteiten en infrastructuur zoals VPN’s en proxies om de echte locatie te maskeren.
Hoe “laptop farms” een Amerikaans werkbeeld creëren
Onder de noemer “Famous Chollima” volgt CrowdStrike al langer een nep-IT-werkersysteem. In dat model is een laptop farm essentieel: het is de plek waar hardware en software zodanig worden ingericht dat remote toegang mogelijk is, terwijl de buitenwereld het werk als “US-based” beoordeelt.
Volgens CrowdStrike bestaat de misleiding uit meerdere stappen:
- Bedrijfsapparatuur verplaatsen naar farm-locaties door valse verhalen rond diefstal of verplaatsing.
- Opnieuw aanvragen van laptops via frauduleuze politierapporten om vervangingen te krijgen.
- Adressen roteren om verzendingen en sporen te verwarren.
- IT-staffingbedrijven inzetten in het wervingsproces, zodat end-client apparaten ongemerkt kunnen worden doorgestuurd.
In de farm worden vervolgens hardware en software geïnstalleerd die de ITW in staat stellen om op afstand te werken. Daarmee ontstaat een “legitimiteitslaag”: een fysiek adres, een juridische identiteit en andere signalen die het systeem helpen voldoen aan (of lijken te voldoen aan) beleid en verwachtingen rondom compliance.
Operation Lonestar Roundup: impact door hardware in beslag
Naast de arrestaties beschrijft de berichtgeving ook een parallelle actie, aangeduid als Operation Lonestar Roundup. In Texas werden 40 locaties doorzocht die vermoed werden te functioneren als laptop farms. Daarbij werden 187 laptops en KVM-devices in beslag genomen die volgens de verdenking werden gebruikt om fraude te plegen.
Het doel is duidelijk: het verstoren van het fysieke knooppunt waarmee nep-remote werk wordt mogelijk gemaakt. Tegelijk wijst CrowdStrike erop dat het ontwrichten van een farm de dreiging niet volledig stopt, omdat de aanpak kan blijven doorontwikkelen.
Waarom verdediging lastig is: aanvallers passen zich aan
Organisaties hebben de afgelopen tijd verdedigingsmaatregelen geïmplementeerd tegen bekende signalen rond fake IT-workers. Volgens CrowdStrike heeft Famous Chollima daarom technieken ingezet om detectie te bemoeilijken, zoals:
- Remote access tools verbergen om ze lastiger te herkennen.
- Device hashes spoofing om overeenkomsten met bekende patronen te verminderen.
- Dezelfde device identifiers hergebruiken over verschillende organisaties en persona’s.
Daarnaast geldt volgens CrowdStrike dat de activiteit sector-agnostisch is. Dat betekent: elke organisatie die remote werk als inkomstenbron aanbiedt (of remote personeel faciliteert) kan interessant zijn.
“Identity in depth” in de praktijk
De FBI benadrukt dat ITWs steeds vaker werken met facilitators—soms willende, soms onwillende Amerikaanse betrokkenen—om herkenning te ontlopen en werk te krijgen. Dat kan variëren van deelnemen aan gesprekken en verificaties tot het leveren van toegang aan persoonlijke accounts.
In een bredere waarschuwing beschrijft de FBI dat ITWs onder meer personen kunnen inhuren om bijvoorbeeld:
- op camera te verschijnen of bij interviews/meetings aanwezig te zijn;
- verificaties van frauduleuze identiteiten te ondersteunen;
- toegang te geven tot sociale media- of professionele netwerkkonten;
- pakketten door te sturen of benodigde tests te helpen voltooien (zoals urinetests of vingerafdrukken);
- ervoor te zorgen dat werkgerelateerde apparaten verbonden blijven met internet vanuit niet-verdachte locaties.
Voor betrouwbare detectie adviseert de FBI een ‘identity in depth’-benadering: niet leunen op één filter, maar het proces rondom indienstneming en toegang laag voor laag versterken. Door signalen te combineren (en niet op één “check” te vertrouwen) wordt de kans kleiner dat aanvallers met individuele zwakheden kunnen doorbreken.
Signalen die volgens de FBI helpen om ITWs te herkennen
Naast identity-verificatie noemt de berichtgeving ook gedrag dat vaak terugkomt bij ITWs. Denk aan:
- gebruik van remote desktop en remote monitoring & management (RMM) software;
- frequent downloaden van applicaties die niet passen bij de taak;
- relatief constant datavergroting of exfiltratie (zoals de FBI stelt);
- het roteren van bankrekeningen en fysieke adressen;
- het vervalsen van documenten om gestolen identiteiten te kunnen gebruiken.
De achterliggende gedachte is dat verdedigers niet alleen regels moeten afvinken, maar moeten kijken naar combinaties van zwakke signalen. Wanneer meerdere indicatoren samen “kloppen”, ontstaat er een patroon dat lastiger te faken is.
Wat betekent dit voor organisaties?
De laptop farms aanpak vraagt om maatregelen die verder gaan dan een standaard onboarding-check. Zeker bij rollen die toegang geven tot interne systemen, gevoelige data of IT-omgevingen, is het nodig om remote werkstromen doorlopend te bewaken.
Praktisch vertaald kun je denken aan:
- Laag in laag controleren: identiteit, apparaat, toegang en gedrag.
- Continue verificatie in plaats van een eenmalige controle bij start.
- Toegangsbeperking op basis van context (wie doet wat, waar, en met welke signalen);
- Gedragsdetectie die afwijkingen niet direct afwijst, maar in de loop van de tijd samenbrengt.
Als je meer wilt lezen over het thema “remote misbruik” en identiteitsrisico’s, kan deze achtergrond over Zero Trust en Identity helpen bij het opzetten van gelaagde controles en toegangslogica.
Verwant thema: fraudepatronen en sectorbrede impact
Opvallend is de breedte van de getroffen domeinen in de rapportages rondom Famous Chollima: van cybersecurity en defensietechniek tot gezondheidszorg en technologie voor de consument. Dat komt overeen met de observatie dat de aanpak niet is beperkt tot één specifieke markt.
Daarom is het verstandig om intern ook te kijken naar ketens: leveranciers, staffingpartners en tooling rond remote onboarding. Als apparaten en toegang via meerdere partijen lopen, ontstaat er een extra laag waar misleiding kan doorsijpelen.
In een vergelijkbare lijn van “kijk niet alleen naar één indicator” past ook een bredere phishing- en social engineering houding. Zie bijvoorbeeld Microsoft die de phishingmarkt ondersteunt te verstoren: hoewel het onderwerp anders is, gaat het eveneens om het aanpakken van misleidingsstromen op schaal.
Conclusie: verstoring helpt, maar de aanpak vraagt om blijvende verdediging
De arrestaties en doorzoekingen laten zien dat authorities hard optreden tegen laptop farms en facilitators. Toch wijst CrowdStrike erop dat de dreiging kan blijven evolueren, omdat de kernproblemen—fysiek/financieel/juridisch een “US footprint” creëren—door vergelijkbare structuren kunnen worden opgevangen.
Daarom is de beste route een laptop farms aanpak die zich richt op gelaagde detectie: identity in depth, continue verificatie en gedragsanalyse door het hele arbeidsproces. Alleen dan maak je het voor aanvallers minder aantrekkelijk om remote werk misleidend in te zetten en blijft je organisatie beter bestand tegen de volgende variant.
Bron: https://www.securityweek.com/us-arrests-two-in-crackdown-on-north-korean-it-worker-laptop-farms/
