Trabalhadores de TI norte-coreanos usaram identidades roubadas de americanos para faturar US$ 3 milhões

A Justiça dos EUA anunciou ações coordenadas contra uma rede de longa data que infiltrava trabalhadores de TI norte-coreanos em empresas americanas sob identidade falsa. A operação, batizada de 'Lonestar Roundup' e conduzida entre 21 e 25 de setembro, resultou em buscas em mais de 40 residências no Texas, na prisão de dois cidadãos americanos e no indiciamento de 14 pessoas em dois processos distintos. Os agentes apreenderam aproximadamente 187 laptops e dispositivos KVM, evidência central do esquema. Ao todo, mais de 70 empresas em 17 estados e no Distrito de Columbia foram atingidas, em setores como saúde, telecomunicações, varejo, manufatura e suporte cibernético, com ganhos totais estimados em US$ 3 milhões ao longo de seis anos.

O golpe funciona como uma fraude de identidade aplicada ao processo de contratação remota: operadores norte-coreanos se candidatam a vagas de TI usando documentos e identidades roubadas ou fabricadas, apoiados por VPNs e servidores proxy que simulam presença física nos Estados Unidos durante entrevistas e testes técnicos. A peça que viabiliza a fraude no dia a dia são os facilitadores americanos, que recebem em casa os laptops corporativos enviados pelas empresas contratantes — as chamadas 'laptop farms' — e instalam softwares de acesso remoto para que o verdadeiro operador, na Coreia do Norte ou em território de apoio, controle a máquina como se fosse o funcionário contratado. Dispositivos KVM (keyboard-video-mouse) ajudam a simular atividade local e alternar entre múltiplas sessões de trabalho. Os facilitadores recebem uma fatia do salário, e o restante é remetido a entidades controladas pelo regime norte-coreano, que, segundo avaliações do governo americano, usa esses recursos para financiar programas de armas.

O caráter fraudulento do esquema não está apenas no uso de identidade roubada para obter emprego, mas também na cadeia de lavagem que disfarça o destino do dinheiro: pagamentos de folha roteados por contas intermediárias, aplicativos de pagamento e, em alguns casos, criptoativos, dificultando o rastreamento até a Coreia do Norte. Para as empresas vítimas, o dano vai além do calote na folha — inclui exposição de dados internos e risco de acesso indevido a sistemas sensíveis por um operador cuja identidade real é desconhecida e cuja lealdade está a serviço de um Estado hostil.

Os sinais de alerta identificados pelas autoridades e por times de RH e segurança incluem: histórico profissional com inconsistências que não se sustentam em verificação cruzada; candidatos ou funcionários que evitam sistematicamente videochamadas com câmera ligada ou que parecem ser a mesma pessoa em múltiplas entrevistas para vagas diferentes; pedidos para enviar o laptop corporativo a um endereço diferente do declarado na contratação; e contas de recebimento de salário que trocam com frequência ou passam por intermediários em vez de depósito direto verificável. O Departamento de Justiça chegou a divulgar uma lista de endereços de e-mail suspeitos para que empresas os incluam em filtros de triagem de candidatos.

Na prática, a prevenção passa por reforçar a verificação de identidade no processo de contratação remota — confirmação de documento com validação biométrica ao vivo, cruzamento de dados de emissão do número de segurança social com o histórico declarado, e exigência de assinatura no recebimento do equipamento no endereço cadastrado. Times de segurança corporativa também podem aplicar fingerprinting de dispositivo e monitoramento de rede para identificar padrões de acesso via VPN/proxy incompatíveis com o perfil declarado do funcionário, além de revisar alterações de conta de pagamento na folha como um gatilho de verificação adicional, não um trâmite automático.