Hacker de crachá: como norte-coreanos se infiltraram em empresas dos EUA

Christina Chapman parecia uma americana comum tentando se destacar na cultura da agitação. Em postagens em sua conta no TikTok, que cresceu para mais de 100 mil seguidores, ela falava sobre sua vida agitada trabalhando em casa com clientes do ramo de informática e sobre o livro que havia começado a escrever. Ela postava sobre causas políticas liberais, suas refeições e suas viagens para ver sua banda pop japonesa favorita. E não fazia ideia de que estaria trabalhando para a Coreia do Norte.

Mas, na realidade, a mulher de 50 anos estava operando uma “fazenda de laptops“, enchendo sua casa com computadores que permitiam que norte-coreanos aceitassem empregos como trabalhadores de tecnologia nos EUA e recebessem ilegalmente US$ 17,1 milhões em salários de mais de 300 empresas americanas, de acordo com promotores federais.

Fazendeiros de laptops

Em um vídeo de junho de 2023, ela disse que não tinha tido tempo de preparar seu próprio café da manhã naquela manhã — “meus clientes estão enlouquecendo”, disse ela. Em seguida, ela descreve a tigela de açaí e o smoothie de piña colada que comprou.

Enquanto fala, pelo menos 10 laptops abertos são visíveis nas prateleiras atrás dela, com suas ventoinhas zumbindo audivelmente, com mais dispositivos nas laterais.

Chapman foi uma das cerca de várias dezenas de “fazendeiros de laptops” que surgiram nos EUA como parte de um golpe para se infiltrar em empresas americanas e lucrar com a Coreia do Norte, que enfrenta uma crise financeira. Pessoas como Chapman normalmente operam dezenas de laptops destinados a serem usados ​​por trabalhadores remotos legítimos que vivem nos EUA.

Identidade americana roubada

O que os empregadores — e muitas vezes os próprios fazendeiros — não percebem é que os trabalhadores são norte-coreanos que vivem no exterior, mas usam identidades americanas roubadas.

Assim que conseguem um emprego, eles se articulam com alguém como Chapman, que pode fornecer algum tipo de disfarce americano — aceitando entregas do computador, configurando as conexões online e ajudando a facilitar os pagamentos.

Enquanto isso, os norte-coreanos acessam os laptops do exterior todos os dias por meio de um software de acesso remoto.

Chapman conseguiu a posição após receber uma solicitação no LinkedIn para “ser o rosto americano” de uma empresa que contratava profissionais de TI estrangeiros, de acordo com documentos judiciais. Não há indícios de que ela soubesse que estava trabalhando com norte-coreanos.

FBI

O FBI afirma que o golpe, de forma mais ampla, envolve milhares de trabalhadores norte-coreanos e gera centenas de milhões de dólares por ano para o país. “Essa é uma porcentagem significativa da economia deles”, disse Gregory Austin, chefe de seção do FBI.

Com as sanções internacionais congelando os fluxos de dinheiro, a Coreia do Norte se tornou criativa em sua busca por dinheiro. Hackers norte-coreanos roubaram mais de US$ 6 bilhões em criptomoedas, de acordo com a empresa de análise de blockchain Chainalysis.

Com o uso de laptops para fins de mineração, eles viraram a economia gig de cabeça para baixo e encontraram maneiras engenhosas de enganar empresas e fazer com que recebessem seus salários.

Empregos e salários

Isso está se tornando um problema cada vez maior para empresas que utilizam trabalhadores remotos, disse Adam Meyers, vice-presidente sênior da CrowdStrike.

A empresa de segurança cibernética identificou recentemente cerca de 150 casos de trabalhadores da Coreia do Norte em redes de clientes e identificou fazendas de laptops em pelo menos oito estados.

Os trabalhadores, geralmente especialistas em tecnologia, são treinados em programas de educação técnica da Coreia do Norte.

Alguns permanecem na Coreia do Norte, enquanto outros se espalham para países como China ou Rússia — para esconder sua conexão com a Coreia do Norte e se beneficiar de uma internet mais confiável — antes de tentar a sorte como profissionais de TI para empresas ocidentais.

Às vezes, eles são péssimos funcionários e são rapidamente demitidos. Outros permanecem no cargo por meses ou até anos.

“Esses profissionais de TI da Coreia do Norte são perfeitamente capazes de manter empregos com salários na casa dos seis dígitos em empresas americanas e, às vezes, podem ter vários desses empregos”, disse Austin, do FBI.

Eles trabalham para praticamente qualquer setor imaginável que utilize trabalho remoto. Uma empresa de segurança cibernética descobriu há dois anos que havia contratado nove trabalhadores norte-coreanos — todos por meio de agências de recrutamento, de acordo com documentos judiciais. Dois deles se conectavam todas as manhãs por meio da fazenda de laptops de Chapman.

O que querem os golpistas?

Às vezes, os funcionários que na verdade são da Coreia do Norte parecem roubar dados para espionagem ou para pedir resgate.

No final do ano passado, Ryan Goldberg, gerente de resposta a incidentes da empresa de segurança cibernética Sygnia, recebeu um laptop que foi devolvido a um cliente — uma empresa de ciências biológicas — depois que o FBI invadiu uma fazenda de laptops na Costa Leste.

Assim que o MacBook inicializou, ele ficou impressionado com o que viu: uma série de sete programas personalizados, projetados para burlar antivírus e firewalls, dando aos norte-coreanos uma brecha praticamente indetectável para a rede corporativa.

Um programa permitia que eles espionassem reuniões do Zoom.

Outros podiam ser usados ​​para baixar dados confidenciais sem serem detectados.

“A maneira como eles estavam usando o controle remoto foi algo que nunca tínhamos visto antes”, disse Goldberg. “Eles realmente pensaram fora da caixa para agir.”

Mas primeiro, eles precisam recrutar um americano para possibilitar o acesso.

Como funciona

Os espiões da Coreia do Norte começam enviando milhares de solicitações a pessoas em sites de emprego, como LinkedIn, Upwork e Fiver, dizem os investigadores. Sua ampla rede frequentemente captura pessoas em momentos de necessidade financeira — pessoas como Chapman, que recebeu a mensagem do LinkedIn em março de 2020.

Chapman, uma ex-garçonete e massagista que morava em uma pequena cidade ao norte de Minneapolis, havia concluído um treinamento intensivo de programação naquela época, na esperança de se tornar desenvolvedora web. Não estava dando certo. Em 21 de janeiro de 2021, ela implorou por ajuda para encontrar um lugar para morar em uma postagem emotiva no TikTok.

“Moro em um trailer. Não tenho água encanada; não tenho um banheiro que funcione. E agora não tenho aquecimento”, disse ela. “Estou com muito medo. Não sei o que fazer.”

Documentos judiciais afirmam que Chapman começou a trabalhar com os norte-coreanos por volta de outubro de 2020 e seu envolvimento cresceu progressivamente. Em janeiro de 2023, ela se mudou para o Arizona e ganhou uma renda suficiente para se mudar para uma casa de quatro quartos que dividia com uma colega de quarto em Phoenix, com um quintal para seus chihuahuas, incluindo Henry, Serenity e Bearito.

Chapman era uma faz-tudo para seus “clientes”. Ela ajudava a enviar os formulários fiscais W-2 falsificados ou outros documentos de verificação quando eram contratados. Os laptops da empresa eram enviados para o endereço dela. Ela os desempacotava, instalava um software de acesso remoto e os ligava para que os norte-coreanos pudessem se conectar. Ela garantia que as conexões funcionassem sem problemas e ajudava a solucionar quaisquer problemas. Post-its nos computadores identificavam a empresa e o funcionário a quem supostamente pertenciam.

Em abril de 2022, um trabalhador que acabara de ser contratado como americano, usando o pseudônimo “Max”, enviou uma mensagem a Chapman sobre um formulário I-9, usado para comprovar a elegibilidade de um funcionário para trabalhar nos EUA.

“Por favor, envie o formulário I-9 assinado à mão até o final do dia”, escreveu ele. “A empresa enviou uma mensagem novamente. Você poderia me ajudar hoje?”

“Sim. Enviarei hoje”, escreveu Chapman. “Fiz o possível para copiar sua assinatura.”

“Haha. Obrigado”, respondeu ele.

Os dispositivos nem sempre ficavam em sua casa. Ela enviou 49 laptops, tablets e outros computadores para o exterior, muitos para Dandong, uma cidade chinesa na fronteira com a Coreia do Norte.

Às vezes, ela recebia cheques de pagamento em casa, os assinava e depositava no banco, e depois transferia os fundos para outra conta após receber uma parte, de acordo com documentos judiciais.

Falhas das empresas

Um dos feitos mais notáveis ​​dos norte-coreanos é a maneira como eles utilizam trabalhadores temporários para burlar quase todos os controles que as corporações conseguem implementar para detectá-los.

“Eles perceberam que é muito fácil contratar pessoas para fazer qualquer coisa“, disse Taylor Monahan, pesquisador de segurança da empresa de criptomoedas MetaMask, que faz parte de uma comunidade fechada de investigadores que estudam os teletrabalhadores norte-coreanos. “Eles simplesmente conhecem o sistema muito bem.”

Além de fazendas de laptops vindas da Coreia do Norte, eles contratam representantes americanos para simplesmente fornecer um endereço postal para receber encomendas ou contracheques, ou para entregar seus próprios documentos de identidade aos norte-coreanos.

Outros passam por “verificações de presença” — fingindo ser o funcionário real sempre que o empregador precisa que liguem uma câmera. Eles contratam pessoas para criar contas legítimas em plataformas freelances que são então entregues aos norte-coreanos.

IA muda aparência

Em um dado momento, os norte-coreanos usaram inteligência artificial generativa para alterar a aparência durante entrevistas de emprego online.

Mas quando os entrevistadores descobriram uma maneira fácil de detectar isso — pedir aos entrevistados que acenassem com a mão na frente do rosto, uma ação que causava falhas no software de IA — os norte-coreanos começaram a contratar pessoas com conhecimento em tecnologia para se sair bem nas entrevistas, disse Monahan.

Golpe no imposto de renda da Coreia do Norte

“O golpe também cria problemas para americanos desavisados, cujas informações pessoais são roubadas para conseguir empregos”, disse Meyers, da CrowdStrike.

Normalmente, os norte-coreanos deduzem o valor mínimo do imposto de renda, deixando a pessoa cuja identidade roubaram com uma responsabilidade tributária, disse ele.

A fazenda de laptops de Chapman “criou falsas responsabilidades fiscais para mais de 35 cidadãos americanos”, disseram os promotores em documentos judiciais.

Para as empresas que empregam os norte-coreanos, seus dados estão em risco — e os trabalhadores que Chapman ajudou conseguiram empregos em “uma das cinco maiores redes de televisão e empresas de mídia nacionais, uma empresa de tecnologia de ponta do Vale do Silício, uma fabricante aeroespacial e de defesa, uma icônica montadora americana de automóveis, uma rede de varejo de luxo e uma das empresas de mídia e entretenimento mais reconhecidas do mundo”, de acordo com seu indiciamento.

Chapman ajudou um trabalhador, chamado “Marcus”, a se preparar para um emprego remoto que havia conseguido em uma “marca de roupas americanas clássicas com sede na Califórnia por meio de uma agência de recrutamento de TI.

Seis meses depois de começar a trabalhar, Marcus estava baixando dados de seu empregador e enviando-os para um computador na Nigéria.

Fim de linha

As postagens de Chapman no TikTok aumentaram em 2023. Ela descreveu sua vida profissional em uma delas, dizendo que teve mais uma manhã agitada. “Começo às 5h30, vou direto para o meu escritório, que fica ao lado do meu quarto, e começo a atender meus clientes. Negócios de informática”, disse ela. “Já é quase meio-dia e só agora estou conseguindo comer.”

Em outra publicação em maio, ela desembrulhou um anel verde de US$ 72 em seu quintal. “Esta é a primeira joia que compro com instruções de cuidado”, disse ela. Naquela noite, ela e sua colega de quarto saíram para assistir a uma apresentação de Shakespeare, com atores bêbados.

Em agosto, ela viajou para o Canadá e o Japão para ver sua boy band japonesa favorita. No mesmo mês, ela trocou mensagens com vários trabalhadores no exterior sobre seus formulários I-9.

“No futuro, espero que vocês encontrem outras pessoas para fazer seus I-9s físicos. Estes são documentos federais. Eu os enviarei para vocês, mas peçam para outra pessoa fazer a papelada. Posso ir para a prisão por falsificar documentos federais”, escreveu ela, de acordo com seu indiciamento.

Os norte-coreanos consideravam Chapman tão prestativa que, dois meses depois, quando ficaram frustrados com outro suposto operador de uma fazenda de laptops na Virgínia, pediram que o operador enviasse o dispositivo para a casa dela.

Em 27 de outubro de 2023, o FBI invadiu a fazenda de laptops de Chapman e encontrou mais de 90 computadores.

Sua empreitada secreta havia terminado. Em dezembro, ela estava quase sem dinheiro e enfrentava sérias acusações federais. Mas ocultava as coisas para seus “queridinhos”, o nome que dava aos seus seguidores no TikTok.

“Perdi meu emprego no final de outubro e não recebi meu salário no mês passado”, disse ela. “Mesmo tendo me candidatado a pelo menos três ou quatro empregos todos os dias, ainda não encontrei nada.”

Com o passar dos meses, ela tentou vender livros de colorir na Amazon. Abriu uma loja no Etsy. Criou uma conta no GoFundMe para arrecadar dinheiro para o aluguel.

Em agosto de 2024, mudou-se para um abrigo para moradores de rua em Phoenix. “Voltarei em breve”, disse ela em seu último TikTok, postado em outubro. “Tem sido uma montanha-russa e tanto.” Ela continua morando em um abrigo, disse seu advogado.

Em fevereiro último, ela se declarou culpada das acusações de fraude eletrônica, roubo de identidade e lavagem de dinheiro. Seus ganhos totais somaram pouco menos de US$ 177 mil. Segundo os termos do acordo de delação premiada, ela pode pegar uma pena máxima de pouco mais de nove anos de prisão. Sua sentença está prevista para 16 de julho.

Traduzido do inglês por InvestNews

Presented by