สหรัฐฯ บุกทลาย Laptop Farm จับกุม 2 รายฐานช่วยคนงาน IT เกาหลีเหนือ

ทางการสหรัฐฯ จับกุมชาวอเมริกัน 2 รายในปฏิบัติการกวาดล้างแผนฉ้อโกงของคนงาน IT ชาวเกาหลีเหนือที่ลักลอบเข้ามาทำงานในสหรัฐฯ โดยผู้ต้องสงสัยประกอบด้วย Michael James Bostelle จากรัฐเพนซิลเวเนีย และ Juan Cecilio Pena Carrillo จากรัฐเท็กซัส ซึ่งถูกกล่าวหาว่าให้ความช่วยเหลือ North Korean IT workers (ITWs) ในการสมัครงานแบบระยะไกล (remote work) กับบริษัทในสหรัฐฯ อย่างผิดกฎหมาย

ตาม คำฟ้อง ระบุว่าแผนฉ้อโกงนี้ดำเนินการมาตั้งแต่ปี 2019 จนถึงกรกฎาคม 2025 โดยผู้ต้องสงสัยและพวกสามารถสร้างรายได้โดยมิชอบรวมกว่า 3 ล้านดอลลาร์ ผ่านการจัดหาที่พักและตั้งค่าแล็ปท็อปที่ได้รับจากบริษัทเหยื่อ เพื่อสร้างภาพลวงตาว่าพนักงานเหล่านี้ทำงานอยู่ภายในสหรัฐฯ จริง

กระบวนการดังกล่าวมีการใช้ ID ปลอม รวมถึงโครงสร้างพื้นฐาน VPN และ proxy เพื่อปกปิดตำแหน่งที่แท้จริง ส่งผลให้คนงาน IT เหล่านี้สามารถแทรกซึมเข้าทำงานในบริษัทสหรัฐฯ กว่า 70 แห่ง ครอบคลุมภาคส่วนสำคัญ เช่น การสื่อสาร, การดูแลสุขภาพ, การผลิต และการค้าปลีก นอกจากนี้คำฟ้องยังระบุชื่อบุคคลในประเทศจีนอีก 10 รายที่มีส่วนเกี่ยวข้องกับขบวนการนี้

ในขณะเดียวกัน FBI ได้ดำเนินปฏิบัติการ Operation Lonestar Roundup เข้าตรวจค้นสถานที่ 40 แห่งในรัฐเท็กซัสที่ต้องสงสัยว่าเป็น laptop farm และยึดแล็ปท็อปได้ 187 เครื่อง พร้อมอุปกรณ์ KVM ที่ใช้ในการควบคุมระยะไกลเพื่อก่อเหตุฉ้อโกง

Famous Chollima

บริษัท CrowdStrike ติดตามความเคลื่อนไหวของกลุ่มคนงาน IT ปลอมนี้ภายใต้ชื่อ Famous Chollima โดยพบว่าผู้บงการใช้เทคนิคการหลอกลวงที่ซับซ้อน เช่น การแจ้งความเท็จว่าแล็ปท็อปถูกขโมยเพื่อขอเครื่องใหม่, การแจ้งย้ายที่อยู่กะทันหันเพื่อเปลี่ยนเส้นทางส่งของ และการใช้บริษัทจัดหาบุคลากรบังหน้าเพื่อส่งต่ออุปกรณ์ไปยัง laptop farm

ที่ farm เหล่านี้ ผู้สนับสนุนในสหรัฐฯ จะติดตั้งฮาร์ดแวร์และซอฟต์แวร์เพื่อให้ ITWs สามารถเข้าควบคุมเครื่องจากระยะไกลได้ และเพื่อตอบโต้ระบบป้องกันที่เข้มงวดขึ้น Famous Chollima เริ่มหันมาใช้เทคนิคซ่อนเครื่องมือรีโมท, ปลอมแปลง device hash และใช้รหัสระบุอุปกรณ์เดิมซ้ำกับหลายตัวตน

CrowdStrike ระบุว่า laptop farm มีความสำคัญอย่างยิ่งต่อ Famous Chollima เพราะช่วยแก้ปัญหาด้านกายภาพ การเงิน และกฎหมายในการสร้างร่องรอยตัวตนในสหรัฐฯ แม้การทลายครั้งนี้จะสร้างความเสียหายได้ระดับหนึ่ง แต่คาดว่าผลกระทบต่อภาพรวมของกลุ่มอาจอยู่ในวงจำกัด เนื่องจากเป้าหมายของกลุ่มครอบคลุมกว้างขวางในทุกองค์กรที่มีการจ้างงานระยะไกล

แนวทาง ‘identity in depth’ เพื่อตรวจจับ ITWs

FBI ได้ออกคำเตือน alert ระบุว่า ITWs กำลังจ้างงานชาวอเมริกันให้ทำหน้าที่หลากหลายขึ้นเพื่อเลี่ยงการตรวจจับ เช่น การปรากฏตัวหน้ากล้องแทน, การเข้าสัมภาษณ์งาน, ยืนยันตัวตนปลอม หรือแม้แต่การส่งตัวอย่างปัสสาวะและลายนิ้วมือแทนพนักงานตัวจริง เพื่อรับมือกับภัยคุกคามนี้ FBI แนะนำให้องค์กรต่างๆ นำแนวทาง 'identity in depth' มาใช้ ซึ่งเป็นการตรวจสอบตัวตนหลายชั้นตลอดวงจรการจ้างงาน แทนการใช้กฎเกณฑ์ตรวจสอบแบบเดิมที่ข้ามผ่านได้ง่าย

สัญญาณอันตรายที่ควรเฝ้าระวัง ได้แก่ การใช้ซอฟต์แวร์รีโมทเดสก์ท็อปหรือ RMM, การเชื่อมต่อฮาร์ดแวร์ภายนอก, การดาวน์โหลดแอปที่ไม่เกี่ยวข้องกับงาน, การพยายามดึงข้อมูลออกจากระบบ (exfiltrate data) รวมถึงการเปลี่ยนบัญชีธนาคารและที่อยู่บ่อยครั้ง โดยควรเน้นการวิเคราะห์ข้อมูลพฤติกรรมเชิงความน่าจะเป็นเพื่อเพิ่มความยืดหยุ่นในการตรวจจับความแนบเนียนของคนงาน IT จากเกาหลีเหนือ