Informaticiens nord-coréens : fermes de PC perquisitionnées

Les autorités américaines ont arrêté deux hommes et perquisitionné plus de 40 "fermes d'ordinateurs portables" présumées, dans le cadre d'une offensive contre les dispositifs permettant à des informaticiens nord-coréens de toucher des salaires versés par des entreprises américaines. Selon le département de la Justice des États-Unis, ces travailleurs ont utilisé des identités volées ou fabriquées de toutes pièces pour décrocher des postes en télétravail dans plus de 70 sociétés américaines.

Une ferme d'ordinateurs portables est un domicile ou un autre lieu situé aux États-Unis où des ordinateurs fournis par l'employeur restent allumés et connectés en permanence. Les travailleurs basés à l'étranger peuvent ainsi s'y connecter à distance tout en donnant l'impression de se trouver dans le pays.

Deux hommes en détention après un acte d'accusation dans l'Ohio

Michael James Bostelle, originaire de Pennsylvanie, et Juan Cecilio Pena Carrillo, originaire du Texas, ont été arrêtés en vertu d'un acte d'accusation déposé dans l'Ohio. Ils sont poursuivis pour fraude électronique, blanchiment d'argent et usurpation d'identité. Le même acte d'accusation vise dix accusés basés en Chine. Deux autres accusés n'ont pas été nommés publiquement, leur identité restant sous scellés.

Selon le parquet, le système a fonctionné de 2019 jusqu'à juillet 2025 environ. Pendant cette période, les deux hommes et leurs complices auraient reçu des ordinateurs portables que les entreprises victimes avaient remis à leurs prétendus employés. Ils y installaient des logiciels d'accès à distance, puis transféraient les salaires, soit environ 3 millions de dollars, vers des comptes contrôlés par la Corée du Nord.

Les entreprises touchées opèrent dans la santé, les communications, la distribution et l'industrie. Elles sont réparties dans 17 États et dans le district de Columbia.

Opération Lonestar Roundup

Parallèlement, des agents du FBI au Texas ont perquisitionné plus de 40 fermes d'ordinateurs portables présumées entre le 21 et le 25 septembre. Cette action, baptisée Operation Lonestar Roundup, a permis de saisir environ 187 ordinateurs portables et commutateurs KVM. Les commutateurs KVM (keyboard, video, mouse, soit clavier, écran, souris) permettent à une seule personne de piloter plusieurs ordinateurs à partir d'un même ensemble de périphériques.

Ryan Raybould, procureur fédéral pour le district nord du Texas, a déclaré que l'affaire dépassait la simple fraude.

"Il s'agit d'un régime étranger hostile qui infiltre des entreprises américaines grâce à des identités volées et à des points d'accès clandestins à l'intérieur même de nos frontières. Chaque ferme d'ordinateurs portables que nous démantelons coupe une source de revenus sur laquelle le gouvernement nord-coréen compte pour financer des programmes d'armement qui menacent la stabilité mondiale", a-t-il affirmé.

CrowdStrike a aidé le FBI à démanteler l'opération. L'entreprise de sécurité américaine suit les travailleurs nord-coréens et ceux qui les aident sous le nom de "Famous Chollima".

Dans un billet de blog, CrowdStrike a expliqué pourquoi ces fermes sont si importantes pour le groupe. Selon elle, elles résolvent des problèmes "physiques, financiers et juridiques" que les agents ne peuvent pas facilement gérer depuis l'étranger. Sans une personne sur le sol américain, souligne l'entreprise, les travailleurs ne pourraient pas recevoir et configurer le matériel de l'employeur, contourner les contrôles antifraude fondés sur la géolocalisation, ni franchir les étapes de vérification d'identité qui séparent les candidats d'un véritable emploi.

Complices rémunérés et menaces d'extorsion

Le FBI a publié un avis au public le même jour. Il y indique que la plupart des noms et adresses fournis par ces travailleurs aux employeurs appartiennent à de vraies personnes. Certains agents ont obtenu des postes donnant accès à des données personnelles sensibles. Ils ont volé ces données pour les utiliser dans leurs combines et, dans des cas isolés, ont tenté de faire chanter les personnes concernées.

Le bureau précise également que les travailleurs rémunèrent de plus en plus d'Américains pour les aider. Ces complices apparaissent à la caméra, passent des entretiens d'embauche, valident de fausses identités, cèdent leurs comptes de réseaux sociaux ou de réseaux professionnels, ou expédient des colis. Selon le FBI, les agents "ciblent stratégiquement les personnes en difficulté financière".

"Ces actes sont illégaux, et y participer expose les individus à l'attention des forces de l'ordre", a averti le FBI.

L'agence a aussi décrit des comportements plus agressifs. Après leur licenciement, certains travailleurs ont envoyé des menaces de mort à leurs anciens responsables et à leurs familles. D'autres ont menacé de divulguer des données de l'entreprise s'ils n'étaient pas payés. Le FBI estime que 85 à 90 % de l'argent gagné par ces travailleurs revient au gouvernement nord-coréen.

Une liste d'affaires qui s'allonge

Ces arrestations s'ajoutent à une série de poursuites engagées aux États-Unis contre des personnes ayant soutenu ces dispositifs. En novembre 2025, cinq hommes ont reconnu avoir aidé des informaticiens nord-coréens à se faire embaucher dans des entreprises américaines. En avril 2026, deux hommes du New Jersey ont été condamnés respectivement à neuf ans et à près de huit ans de prison pour leur rôle dans un système ayant rapporté 5 millions de dollars à la Corée du Nord.

Des chercheurs ont par ailleurs signalé que des travailleurs soupçonnés d'être nord-coréens se sont aventurés au-delà de l'informatique, vers des postes dans la vente, le marketing et la santé.

Notre analyse

Cette affaire montre que le problème des télétravailleurs nord-coréens repose sur des personnes présentes dans le pays ciblé. Les travailleurs peuvent falsifier des noms et des CV depuis l'étranger, mais ils ont toujours besoin de quelqu'un pour brancher un ordinateur, réceptionner un colis ou s'asseoir devant une webcam. Le réseau de complices locaux constitue donc le maillon faible, et le FBI semble concentrer ses efforts sur lui, à l'image d'autres affaires récentes visant des réseaux de mules financières qui font circuler les produits d'activités criminelles.

Pour les employeurs, il s'agit d'une menace interne qui commence dès le recrutement. Elle s'inscrit dans une tendance plus large où les attaquants placent leurs propres agents au sein des organisations au lieu de s'introduire de l'extérieur. Les menaces signalées contre d'anciens responsables laissent penser que licencier un travailleur suspect ne suffit pas forcément à écarter le danger.

Reste à voir si cette extension vers la vente, le marketing et la santé poussera les entreprises à appliquer des contrôles d'identité plus stricts à des postes qui n'étaient jusqu'ici pas considérés comme sensibles.