US-Justizministerium hebt Laptop-Farmen in Texas aus – zwei Festnahmen

Bei den Festgenommenen handelt es sich um Michael James Bostelle aus Pennsylvania und Juan Cecilio Pena Carrillo aus Texas. Ihnen werden Überweisungsbetrug (wire fraud), Geldwäsche und Identitätsdiebstahl zur Last gelegt. Die Staatsanwaltschaft sieht in ihnen zentrale, in den USA ansässige Bausteine des Systems. Zusätzlich wurden mehrere chinesische und nordkoreanische Staatsangehörige angeklagt. Ob die Anklagen und Festnahmen unmittelbar mit den Razzien in Texas zusammenhängen, ließ das Ministerium auf Anfrage offen.

Nach Darstellung der Ankläger halfen Bostelle und Pena einer Gruppe von Nordkoreanern dabei, von rund 70 US-Unternehmen in 17 Bundesstaaten mehr als drei Millionen US-Dollar zu erlangen. Betroffen waren unter anderem Organisationen aus dem Gesundheitswesen, der IT-Sicherheitsbranche, dem Einzelhandel und der Fertigung. Zwischen 2019 und 2026 sollen beide Laptops in ihren Wohnungen gehostet und den IT-Arbeitern zugleich dabei geholfen haben, gefälschte Ausweisdokumente zu beschaffen und zu verwenden – sowohl zur Erlangung von Anstellungen als auch zur Verifizierung von Bankkonten.

Große Teile der Anklageschrift drehen sich um den US-Bürger Trey Michael Nolte, der selbst nicht angeklagt wurde. Eine Begründung dafür nannte das DOJ nicht. Den Anklägern zufolge betrieb Nolte eine Briefkastenfirma, die das System ermöglichte: Er soll mit chinesischen und nordkoreanischen Staatsangehörigen kommuniziert, Bostelle angeworben, Pakete nach China verschickt, Arbeitslaptops von US-Unternehmen entgegengenommen und die Gehälter der IT-Arbeiter nach Nordkorea weitergewaschen haben.

„Nordkoreas Schurkenregime nutzt seine allgegenwärtigen IT-Arbeiter-Systeme, um Einnahmen für verschiedene illegale Zwecke zu erzielen, darunter die Entwicklung von Waffen, die letztlich gegen die Vereinigten Staaten oder ihre Verbündeten gerichtet sein könnten“, sagte John Eisenberg, stellvertretender Generalstaatsanwalt für nationale Sicherheit. „Diese Machenschaften bedrohen die Sicherheit der IT-Systeme und Daten der getäuschten US-Arbeitgeber und hinterlassen unzählige Opfer von Identitätsdiebstahl.“

Derartige Netzwerke haben in den vergangenen acht Jahren Millionenbeträge erwirtschaftet, indem sie US-Unternehmen mit gestohlenen oder gekauften Identitäten zur Einstellung vermeintlicher Remote-Fachkräfte für gut bezahlte IT-Stellen verleiteten. Die Einnahmen fließen an die nordkoreanische Regierung. Forscher haben darauf hingewiesen, dass sich mehrere Regierungsbehörden faktisch selbst finanzieren, indem sie eigene Gruppen von IT-Arbeitern beschäftigen. Viele dieser Arbeiter sitzen in China oder Russland; ein jüngerer Bericht der Vereinten Nationen fand zudem Hunderte nordkoreanische IT-Arbeiter in Laos, Kambodscha und weiteren Ländern.

Die nun bekannt gemachten Maßnahmen sind Teil einer länger laufenden Operation, mit der Laptop-Farmen in den USA zerschlagen und amerikanische Mittäter identifiziert werden sollen, die ihre Identitäten verkaufen oder Geräte in ihren Wohnungen betreiben. Im vergangenen Jahr durchsuchten US-Strafverfolger knapp 30 Laptop-Farmen in 16 Bundesstaaten. Mehrere Amerikaner wurden bereits verurteilt und zu mehrjährigen Haftstrafen verurteilt, weil sie Laptop-Farmen betrieben und mit Nordkoreanern zusammengearbeitet hatten.

Brett Leatherman, stellvertretender Direktor des FBI, erklärte, Nordkorea „setzt weiterhin Remote-IT-Arbeiter mit gestohlenen Identitäten ein, um amerikanische Unternehmen zu unterwandern und Einnahmen für das Regime und seine Waffenprogramme zu erzielen“. Das FBI veröffentlichte dazu eine neue öffentliche Warnmeldung, die die aktuellen Vorgehensweisen beschreibt.

Demnach unternimmt Nordkorea erhebliche Anstrengungen, um Gegenmaßnahmen von US-Unternehmen zu unterlaufen. Ganze Arbeitsaufträge werden inzwischen an Dritte in Südasien oder Westafrika untervergeben, zudem werden Helfer für ein breiteres Aufgabenspektrum angeworben. „Zusätzlich zur Remote-Arbeit engagieren [die Nordkoreaner] südasiatische oder westafrikanische Freiberufler, die beim Bewerben auf Stellen und bei der Einstellung helfen. [Sie] bezahlen diese Freiberufler dafür, sich in einem bestimmten Zeitraum manuell auf möglichst viele offene Stellen zu bewerben oder Vorstellungsgespräche in ihrem Namen zu führen“, heißt es in dem FBI-Hinweis. „Zunehmend erhalten Nordkoreaner Anstellungen bei westlichen Unternehmen und beauftragen dann Freiberufler, die Arbeitsaufgaben für einen Bruchteil des Gesamtgehalts zu erledigen. [Sie] vergeben beschäftigungsbezogene Remote-Arbeit an Dritt-Freiberufler, meist in Pakistan, Indien, Nigeria oder benachbarten Ländern.“

Gezielt angesprochen werden zudem einkommensschwache Amerikaner, denen einfache Gelegenheitsaufträge angeboten werden – etwa das Hosten von Laptops oder das Führen von Bewerbungsgesprächen für andere. Das FBI beobachtete, wie nordkoreanische IT-Arbeiter gezielt Orte auswählen, an denen sie Amerikaner erreichen, die „unter finanziellem Druck stehen“. Die Hintermänner geben sich typischerweise als chinesische oder ostasiatische Staatsangehörige aus, die vorübergehend eine US-Präsenz benötigen, oder als durch den russisch-ukrainischen Krieg vertriebene Osteuropäer.

Nordkoreaner zahlen laut FBI für ein wachsendes Spektrum an Dienstleistungen, um die eigene Beteiligung zu verschleiern: vor der Kamera zu erscheinen, an Vorstellungsgesprächen oder Besprechungen teilzunehmen, gefälschte Identitäten zu bestätigen, Zugang zu privaten Social-Media- oder Karrierenetzwerk-Konten zu gewähren, Pakete zu versenden, Urintests oder Fingerabdruckabgaben zu erledigen oder arbeitsbezogene Geräte aus Privatwohnungen heraus online zu halten.

Werden die Täter entdeckt, greifen sie laut FBI zu Drohungen mit körperlicher Gewalt, um Zahlungen zu erzwingen. Andere drohten damit, sensible Unternehmensdaten zu veröffentlichen, wenn keine hohen Einmalzahlungen erfolgen. „[Nordkoreaner] haben in den USA ansässige Helfer angeheuert, um persönlich bei geschädigten Unternehmen oder an den Wohnsitzen von Laptop-Farm-Betreibern zur Einschüchterung aufzutreten“, so das FBI. „Von [nordkoreanischen IT-Arbeitern] bezahlte Helfer haben auch persönlich Drohungen gegen Unternehmen ausgesprochen, die zugehörige Konten entfernt hatten.“

Darüber hinaus versuchen die Akteure laut der Warnmeldung, Identitäten zu nutzen, mit denen sich Stellen bewerben lassen, die eine US-Sicherheitsüberprüfung erfordern. IT-Arbeiter „zielen auf aktive Angehörige des US-Militärs, um Laptops hosten zu lassen“. Mindestens ein aktiver Angehöriger der US Army wurde bereits verurteilt, weil er seine Identität nordkoreanischen IT-Arbeitern überlassen hatte.