Buscas a quintas de computadores no Texas apreendem 187 dispositivos numa alegada fraude de emprego informático norte-coreana

Redes informáticas residenciais tornam-se alvo de segurança nacional

Agentes federais realizaram buscas em mais de 40 residências no Texas entre 21 e 25 de setembro e apreenderam cerca de 187 computadores portáteis e outros dispositivos eletrónicos, no âmbito de uma investigação a uma alegada fraude de emprego perpetrada por norte-coreanos. Foram recuperados mais de 100 dispositivos no Norte do Texas, onde as autoridades afirmaram que residências na região de Dallas e Fort Worth serviam de bases a trabalhadores no estrangeiro que se faziam passar por empregados norte-americanos.

A operação, denominada Operation Lone Star Roundup, visou uma rede de apoio físico por detrás de empregos remotos aparentemente comuns. Os procuradores afirmam que facilitadores norte-americanos recebiam computadores dos empregadores, instalavam equipamento ou software que permitia o acesso a partir do estrangeiro e ajudavam a encaminhar salários para contas controladas por operacionais norte-coreanos.

O procurador federal Ryan Raybould, que dirige o gabinete do procurador do Distrito Norte do Texas, afirmou que as receitas financiam os programas nucleares e de mísseis balísticos da República Popular Democrática da Coreia. Atribuiu ao Departamento do Tesouro dos EUA a estimativa de que o programa mais vasto de trabalhadores informáticos norte-coreanos gerou mais de 800 milhões de dólares no ano fiscal de 2024.

Os relatos divergem quanto aos processos penais associados às apreensões. Relatos de uma conferência de imprensa na terça-feira afirmaram que se esperava a acusação de facilitadores norte-americanos e que não tinham sido anunciadas detenções. Outros relatos, relativos a um anúncio do Departamento de Justiça datado de 13 de outubro, afirmaram que dois norte-americanos tinham sido detidos e que uma acusação formal visava dez pessoas radicadas na China. Estas descrições não devem ser entendidas como um relato processual único e plenamente conciliado.

Esta distinção é importante: as apreensões documentam a interrupção de infraestruturas suspeitas, enquanto as acusações formais expõem alegações contra pessoas específicas. Nem a apreensão de um computador nem uma acusação formal provam a culpa.

O que os agentes apreenderam no Texas

O total de apreensões em todo o estado é descrito em alguns relatos como superior a 185 dispositivos e, em relatos mais pormenorizados, como sendo de 187. Os números são compatíveis, não contraditórios. As descrições dos locais das buscas variam entre cerca de 40 locais e mais de 40 residências.

O equipamento incluía computadores portáteis e dispositivos de teclado, vídeo e rato, habitualmente designados por equipamento KVM. Estes dispositivos podem permitir que um operador controle, a partir de outro local, o teclado, o ecrã e o rato de um computador. Em conjunto com software de acesso remoto, podem permitir que alguém no estrangeiro opere um computador de uma empresa instalado numa residência norte-americana.

As autoridades não divulgaram as moradas das propriedades no Texas. Referiram uma concentração na região de Dallas e Fort Worth e atribuíram, em parte, a exposição da zona à dimensão do seu mercado de trabalho. Os relatos também divergem ligeiramente quanto ao número de dispositivos apreendidos na região, descrevendo-o como cerca de 100 ou mais de 100.

R. Joseph Rothrock, agente especial responsável pelo gabinete do FBI em Dallas, explicou a importância do equipamento para os investigadores:

Cada computador portátil apreendido representa potencialmente uma empresa que contratou um trabalhador informático da RPDC.

Trata-se de uma medida da exposição potencial, não de uma contagem confirmada de empresas distintas. Os 187 dispositivos incluíam equipamento que não eram computadores portáteis, e vários computadores poderiam pertencer à mesma empresa. Por isso, não é possível converter diretamente o total de dispositivos apreendidos no número de empresas lesadas.

Como uma quinta de computadores faz um trabalhador no estrangeiro parecer estar nos EUA

O alegado esquema começa antes de um empregador enviar um computador. Os trabalhadores candidatam-se a cargos remotos na área informática recorrendo a identidades roubadas ou falsas, enquanto outros participantes ajudam a ultrapassar as verificações de contratação. Depois de uma empresa acreditar que contratou um funcionário legítimo nos Estados Unidos, envia o equipamento para uma morada controlada por um facilitador.

O facilitador aloja então o computador portátil e configura o acesso remoto. As redes privadas virtuais, ou VPN, e os servidores proxy ajudam a dissimular a localização de quem se liga. Uma VPN encaminha o tráfego da Internet através de outra ligação; um proxy funciona como intermediário. Nenhuma destas ferramentas é, por si só, criminosa, mas as autoridades afirmam que esta rede as usava para ocultar as identidades e a localização dos trabalhadores.

Um computador portátil ligado fisicamente no Texas pode fazer com que a relação laboral pareça doméstica, mesmo quando a pessoa que o opera está no estrangeiro. A morada local, o computador do empregador e a ligação dissimulada contribuem, em conjunto, para essa aparência.

Os relatos divergem quanto à localização dos próprios trabalhadores. Algumas descrições situam-nos na Coreia do Norte, enquanto os relatos relativos à acusação formal identificam operadores radicados na China e referem trabalhadores no estrangeiro de forma mais abrangente. Não se deve entender que o alegado esquema exigia que todos os trabalhadores estivessem fisicamente na Coreia do Norte.

A investigação no Texas dá seguimento ao escrutínio anterior da fraude global de trabalhadores informáticos, incluindo o recurso a identidades falsas e a intermediários norte-americanos para obter remunerações no estrangeiro. Esta operação apresenta uma imagem pormenorizada das infraestruturas residenciais que podem viabilizar esses empregos.

Alegadamente, os facilitadores norte-americanos tratavam de mais do que computadores

Os investigadores descreveram os facilitadores como participantes nos processos de contratação, verificação de identidade e gestão de pagamentos, e não apenas como pessoas que disponibilizavam espaço para os computadores portáteis. Alguns terão recebido salários e transferido dinheiro para contas controladas por trabalhadores norte-coreanos. Outros terão permitido que os seus nomes e dados pessoais fossem utilizados em troca de uma parte das receitas.

Rothrock descreveu o leque de apoios que as autoridades estavam a investigar, incluindo a diferença entre identidades roubadas a pessoas alheias ao esquema e identidades cedidas por participantes voluntários:

Podem usar identidades roubadas a norte-americanos que desconhecem o que se passa para conseguir empregos nos EUA para trabalhadores informáticos», afirmou Rothrock. «Noutros casos, pagam a pessoas para usarem as suas identidades ou realizarem outras tarefas, incluindo comparecer em entrevistas, verificar identidades roubadas, enviar encomendas, alojar computadores portáteis e fazer testes de despistagem de drogas ou recolhas de impressões digitais.

Estas atividades alegadas mostram por que razão os investigadores estão a analisar mais do que as ligações à Internet. Um substituto numa entrevista ou alguém que realize um controlo presencial pode ajudar um candidato no estrangeiro a passar verificações que não podem ser contornadas apenas com software.

Raybould afirmou que as pessoas que tivessem alojado o equipamento sabendo do que se tratava seriam alvo de ação penal. O aviso não determina o conhecimento ou a intenção de nenhuma pessoa em particular, que teriam de ser demonstrados através de provas nos processos penais em causa.

Relatos de detenções identificam dois norte-americanos e dez operadores na China

Os relatos relativos ao anúncio do Departamento de Justiça de 13 de outubro identificam os norte-americanos detidos como Michael James Bostelle, da Pensilvânia, e Juan Cecilio Pena Carrillo, do Texas. Afirmam que os homens enfrentam acusações, entre outras, de fraude eletrónica, branqueamento de capitais e roubo de identidade, relacionadas com o alegado esquema de emprego.

Os mesmos relatos identificam dez participantes acusados e radicados na China: Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang e Jin Long.

Segundo informações divulgadas, uma acusação formal alega que operadores na China dirigiam Pena Carrillo, Tey Michael Nolte e pelo menos outros quatro norte-americanos. Nolte foi mencionado na acusação, mas não foi acusado. Alegadamente, recrutou, geriu e formou Bostelle e outros participantes norte-americanos. Ser mencionado numa acusação formal não equivale a ser arguido.

Estes relatos afirmam que a alegada fraude afetou mais de 70 empresas norte-americanas, comprometeu as identidades de 25 norte-americanos, gerou pelo menos 3 milhões de dólares para trabalhadores informáticos no estrangeiro e levou ao envio de informações falsas a várias agências governamentais dos EUA. Não identificam todas as empresas afetadas nem especificam que agências receberam essas informações.

Segundo esses relatos, não foi possível contactar de imediato os advogados de Bostelle e Pena Carrillo para obter comentários. Não foi noticiada qualquer resposta de Nolte. As alegações continuam por provar, e os relatos não esclarecem a relação processual entre estas detenções e o anúncio, na conferência de imprensa no Norte do Texas, de que seriam apresentadas acusações formais.

Os valores em causa dizem respeito a escalas diferentes

Os valores de 800 milhões e 3 milhões de dólares não devem ser somados. A estimativa de Raybould, superior a 800 milhões de dólares, diz respeito ao programa mais vasto de trabalhadores informáticos norte-coreanos no ano fiscal de 2024. A alegação de pelo menos 3 milhões de dólares refere-se ao esquema de emprego descrito nos relatos sobre a acusação formal.

As descrições da estimativa do Departamento do Tesouro também variam. Algumas afirmam que foram enviados mais de 800 milhões de dólares para a Coreia do Norte; outras descrevem esse valor como receitas geradas pelo programa. As receitas obtidas e o dinheiro transferido são medidas diferentes, pelo que o valor não deve ser apresentado como um total de transferências documentado com precisão sem esclarecimentos adicionais.

As autoridades afirmaram também que os trabalhadores enviavam para a Coreia do Norte uma estimativa de 85% a 90% dos seus rendimentos. Segundo essa descrição, por cada 100 dólares ganhos, ficariam cerca de 10 a 15 dólares fora do montante enviado. Isto ilustra a alegada estrutura de pagamentos, mas não permite determinar a distribuição de cada salário na investigação do Texas.

A alegação financeira explica por que razão os procuradores consideram o caso mais do que uma fraude de emprego. As autoridades afirmam que os salários norte-americanos se tornam uma fonte de financiamento para um governo sujeito a sanções e para os seus programas de armamento. Os relatos não estabelecem uma ligação entre pagamentos salariais específicos no Texas e a aquisição de determinadas armas.

O acesso às empresas cria um risco de segurança distinto

Uma contratação fraudulenta bem-sucedida pode proporcionar mais do que um salário. Raybould afirmou que o acesso aos computadores portáteis das empresas também poderia abrir uma porta de entrada para sistemas empresariais, comunicações e plataformas financeiras. A dimensão do risco dependeria das permissões associadas a cada cargo.

A CrowdStrike, empresa de cibersegurança que afirmou ter fornecido informações e análises técnicas em apoio ao FBI, acompanha a rede sob a designação Famous Chollima. Uma descrição de um pedido apresentado ao tribunal também refere que uma importante empresa de cibersegurança atribuiu esse nome ao grupo de ameaças. Trata-se de uma designação de acompanhamento, não de uma acusação penal distinta.

A CrowdStrike afirmou que as organizações identificadas nas operações interrompidas incluíam empresas dos setores aeroespacial, energético, dos serviços financeiros, da saúde, da cibersegurança, da engenharia de defesa e da tecnologia governamental. Esta diversidade revela uma potencial exposição em setores sensíveis, mas não demonstra que todas as organizações afetadas tenham perdido dados.

A empresa descreveu táticas usadas para redirecionar o equipamento dos empregadores. Alegadamente, alguns operacionais apresentaram falsas participações à polícia, dizendo que os computadores portáteis tinham sido roubados, para que fossem enviados equipamentos de substituição para outros locais. Outros alegaram ter-se mudado inesperadamente ou obtiveram empregos através de empresas de recrutamento, o que permitia redirecionar os computadores sem o conhecimento dessas empresas.

Estes pormenores ligam o engano no recrutamento às quintas de computadores: um trabalhador precisa tanto de uma identidade aceite como de uma forma de fazer chegar o computador do empregador a um local controlado pela rede. As autoridades não divulgaram um inventário completo dos dados acedidos ou roubados na operação no Texas.

A investigação vai além das buscas no Texas

Segundo uma descrição dos autos judiciais, o FBI identificou 11 contas Google alegadamente ligadas a fraude de emprego. Os investigadores pediram informações sobre cada conta desde a respetiva criação até 8 de outubro, incluindo dados dos subscritores, moradas, números de telefone, horários de ligação, endereços IP e registos de pagamentos e faturação.

Segundo informações divulgadas, um tribunal federal do Distrito Norte do Texas emitiu, a 9 de outubro, uma ordem que obrigava a Google a fornecer os registos no prazo de dez dias. Esse intervalo aponta para 19 de outubro como prazo indicado para a entrega. Os relatos não confirmam que a Google tenha concluído a entrega.

As principais datas divulgadas são:

• 21 a 25 de setembro: buscas do FBI e ações relacionadas em mais de 40 residências no Texas.
• 8 de outubro: fim do período abrangido pelo pedido de registos de 11 contas Google.
• 9 de outubro: data da ordem judicial, segundo relatos, que determinou que a Google fornecesse os registos das contas no prazo de dez dias.
• 13 de outubro: data associada aos relatos sobre o anúncio da operação e os processos penais relacionados.

As autoridades referiram também atividades semelhantes no Louisiana, no Nevada, no Kentucky e no Ohio. A CrowdStrike afirmou que a operação mais abrangente incluiu duas detenções no Ohio, mas não identificou os detidos nem as acusações. O anúncio do Texas não abordou essas detenções, pelo que não se deve presumir que sejam distintas ou idênticas às detenções dos dois norte-americanos identificados.

O que foi recomendado aos empregadores e o que continua por esclarecer

Raybould e Rothrock recomendaram aos empregadores que utilizassem o E-Verify e exigissem várias formas de identificação ao contratar trabalhadores remotos. O E-Verify compara informações sobre a elegibilidade para trabalhar com registos governamentais. Esta medida aborda uma parte do processo de contratação, enquanto a alegada utilização de substitutos em entrevistas e de computadores portáteis controlados remotamente demonstra que a identidade da pessoa que executa o trabalho é uma questão distinta.

As autoridades incentivaram empresas e pessoas que considerem ter sido afetadas a comunicar informações ao FBI. Não divulgaram uma lista completa de empregadores, as moradas das residências onde foram realizadas buscas nem um apuramento completo dos salários desviados ou recuperados.

A investigação continua em curso. Nos relatos sobre a sessão informativa no Norte do Texas, não foram indicadas datas para novas acusações formais, audiências ou julgamentos. As descrições contraditórias das detenções e das acusações que se esperava apresentar deixam por esclarecer a relação exata entre os anúncios.

A CrowdStrike alertou que o encerramento das quintas de computadores provavelmente abrandaria a atividade sobretudo nos locais onde as infraestruturas fossem removidas, sem pôr fim duradouro à operação mais ampla. As apreensões mostram que as autoridades conseguem interromper a rede local de equipamento. Não demonstram que todos os trabalhadores, identidades, contas ou facilitadores a ela associados tenham sido identificados.

Principais pontos

• Os agentes realizaram buscas em mais de 40 residências no Texas, no final de setembro, e apreenderam cerca de 187 computadores portáteis e outros dispositivos.
• As autoridades afirmaram que foram recuperados mais de 100 dispositivos no Norte do Texas, embora um relato tenha indicado cerca de 100.
• As alegadas quintas permitiam que trabalhadores no estrangeiro controlassem computadores dos empregadores instalados em casas norte-americanas e aparentassem trabalhar nos EUA.
• Os relatos divergem entre o anúncio de que seriam apresentadas acusações formais e a notícia de duas detenções de norte-americanos e de acusações contra dez pessoas radicadas na China.
• Os relatos sobre a acusação formal referem mais de 70 empresas afetadas, 25 identidades norte-americanas comprometidas e receitas de pelo menos 3 milhões de dólares.
• A estimativa superior a 800 milhões de dólares diz respeito ao programa mais vasto de trabalhadores informáticos norte-coreanos, não apenas às apreensões no Texas.
• Os investigadores pediram registos de 11 contas Google e a investigação continua em curso.