住宅電腦網路成國安調查目標
聯邦探員於9月21日至25日期間搜索德州40多處住宅，並查扣約187台筆記型電腦及其他電子設備，調查涉嫌北韓求職詐欺案。當局表示，北德州查獲逾100台設備，達拉斯與沃斯堡一帶的住宅被用作據點，讓海外工作者假扮美國員工。
目錄
這項名為「孤星圍捕行動」（Operation Lone Star Roundup）的行動，鎖定表面上看似平常的遠距工作背後的實體支援網絡。檢察官表示，美國協助者從雇主處接收電腦，安裝設備或軟體，讓海外人員得以遠端存取，並協助將薪資轉入由北韓特工控制的帳戶。
負責德州北區聯邦檢察官辦公室的美國檢察官萊恩・雷博爾德（Ryan Raybould）表示，相關收入用於支持朝鮮民主主義人民共和國的核武與彈道飛彈計畫。他引述美國財政部估算指出，規模更大的北韓IT人員計畫在2024會計年度創造逾8億美元收入。
各方報導對查扣行動期間的刑事程序說法不一。週二記者會的相關報導指出，預計將起訴協助者，但當時尚未宣布逮捕任何人。另有報導稱，司法部10月13日發布公告，表示兩名美國人遭逮捕，並有一份起訴書指控十名在中國活動的人士。這些說法不應被視為一份已完全釐清、前後一致的程序紀錄。
這項區別很重要：查扣行動顯示當局已破壞疑似基礎設施；刑事指控則列明針對特定人士的指控。遭查扣的電腦或起訴書，都不能證明被告有罪。
探員在德州查扣的設備
全州查扣總數在部分報導中描述為逾185台設備；較詳盡的報導則列為187台。兩種數字並不矛盾。至於搜索地點，各方說法則從約40處到40多處住宅不等。
設備包括筆記型電腦，以及俗稱KVM設備的鍵盤、視訊和滑鼠切換器。這類設備可讓操作人員從另一地點控制電腦的鍵盤輸入、顯示畫面和滑鼠。搭配遠端存取軟體使用時，可讓海外人員操作安置在美國住宅內的公司電腦。
當局未公開德州房產地址，只表示設備集中在達拉斯與沃斯堡附近，並稱該地區的大型就業市場是容易遭利用的部分原因。區域查扣數量的報導也略有差異，有的稱約100台，有的則稱逾100台。
負責聯邦調查局（FBI）達拉斯外勤辦公室的特別探員羅斯洛克（R. Joseph Rothrock）說明這些硬體為何對調查人員如此重要：
每查扣一台筆記型電腦，就可能代表有一家企業聘用了朝鮮民主主義人民共和國（DPRK）的IT人員。
這是潛在受影響範圍的估算，不是已確認的雇主數量。187台設備中也包括筆記型電腦以外的設備，且多台電腦可能屬於同一家公司。因此，不能直接把查扣設備總數換算成受害企業總數。
筆電農場如何讓海外工作者看似身在美國
據稱，這類安排在雇主寄出電腦前就已開始。工作者使用盜用或偽造身分應徵遠距IT職缺，其他參與者則協助通過招募查核。企業以為自己聘用的是一名位於美國的合法員工後，便會將設備寄到由協助者控制的地址。
協助者隨後代管筆記型電腦並設定遠端存取。虛擬私人網路（VPN）和代理伺服器可協助掩蓋連線者的位置。VPN會透過另一個連線轉送網路流量；代理伺服器則充當中介。這兩種工具本身並不違法，但當局稱該網絡利用它們隱瞞工作者的身分和所在地。
即使實際操作電腦的人身在海外，接在德州住宅網路中的筆記型電腦，仍可讓雇傭安排看起來像是本地聘用。當地地址、雇主提供的電腦和隱蔽連線共同營造出這種假象。
各方對工作者實際所在地的說法不一。部分描述稱他們人在北韓；起訴書相關報導則指出，操作者以中國為據點，並概括稱工作者位於海外。這項涉嫌計畫不應被理解為要求每位工作者都親自在北韓境內。
德州調查延續了當局先前對全球IT人員詐騙案的調查，包括利用假身分及美國中間人取得海外薪資。此次行動進一步揭露住宅基礎設施如何讓這類工作得以進行。
美國協助者涉嫌不只處理電腦
調查人員描述的協助者不只是提供地方擺放筆電，也參與招募、身分查核和薪資處理。部分人士涉嫌收取薪資，再將款項轉入由北韓工作者控制的帳戶；另有人允許他人使用自己的姓名和個人資料，藉此分得收益。
羅斯洛克說明當局正在調查的各種協助方式，並指出盜用不知情人士的身分，與由知情人士提供身分之間的差異：
他們可能會盜用毫不知情的美國人身分，以取得美國IT工作者的職位，」羅斯洛克說。「在其他情況下，他們會付錢請人提供身分或執行其他任務，包括代為面試、驗證盜用的身分、寄送包裹、代管筆記型電腦，以及完成藥物檢測或指紋採集。
上述涉嫌行為顯示，調查人員為何不只檢視網路連線。代替應徵者參加面試，或代為完成實體審查的人，可能協助海外應徵者通過單靠軟體無法規避的查核。
雷博爾德表示，明知情況仍代管設備的人將面臨起訴。他的警告並不能定論任何特定人士是否知情或具有犯罪意圖，這些都必須在相關刑事程序中透過證據證明。
逮捕報導點名兩名美國人及十名在中國活動的操作者
描述司法部10月13日公告的報導指出，遭逮捕的美國人是來自賓夕法尼亞州的麥可・詹姆斯・博斯特爾（Michael James Bostelle），以及來自德州的胡安・塞西利奧・佩納・卡里略（Juan Cecilio Pena Carrillo）。報導稱，兩人因涉嫌參與該求職計畫，面臨電信詐欺、洗錢和身分竊盜等指控。
同一批報導列出十名在中國活動、遭到起訴的參與者：孫勝明（Sun Sheng Ming）、裴立光（Pei Li Guang）、翁守成（Weng Shou Cheng）、韓國斌（Han Guo Bin）、王建軍（Wang Jian Jun）、盛長坤（Sheng Zhang Kun）、張偉平（Zhang Wei Ping）、張麗萍（Zhang Li Ping）、余陽（Yu Yang）和金龍（Jin Long）。
據報導，起訴書指稱，中國的操作者指揮佩納・卡里略、泰・麥可・諾爾特（Tey Michael Nolte）及至少另外四名美國人。諾爾特雖被列入起訴書，但未遭起訴。據稱，他招募、管理並訓練博斯特爾及其他美國參與者。名字出現在起訴書中，不等於遭列為被告。
上述報導稱，涉嫌詐欺影響逾70家美國企業、侵害25名美國人的身分，為海外IT工作者帶來至少300萬美元收入，並導致多項不實資料提交給多個美國政府機關。報導未列出所有受影響雇主，也未說明哪些機關收到相關資料。
據相關報導，媒體未能立即聯繫上博斯特爾和佩納・卡里略的律師置評；報導也未提及諾爾特是否回應。這些指控尚未經證實，而相關報導也未釐清上述逮捕與北德州記者會所稱即將提出的起訴，在程序上的關係。
兩筆金額反映不同規模
8億美元和300萬美元這兩個數字不應合併計算。雷博爾德估算的逾8億美元，指的是規模更大的北韓IT人員計畫在2024會計年度的收入；至少300萬美元的指控，則是指起訴書相關報導所述的求職計畫。
財政部估算的描述也不盡相同。部分報導稱，逾8億美元被匯往北韓；其他報導則將這筆金額描述為計畫創造的收入。賺取的收入和轉出的款項是不同指標，因此在未進一步釐清前，不應把這個數字說成有精確紀錄的匯款總額。
官員也表示，工作者估計會將85%至90%的收入匯往北韓。依此說法，每賺取100美元，約有10至15美元未匯出。這有助說明涉嫌的款項處理方式，但不能據此確定德州調查中每筆薪資的實際分配情況。
這項財務指控說明了檢察官為何認為本案不只是求職詐欺。當局表示，美國薪資成為受制裁政府及其武器計畫的資金來源。相關報導並未追查德州個別薪資款項是否用於購買特定武器。
企業系統存取權帶來另一種安全風險
成功以詐欺手法取得職位，可能帶來的不只是薪水。雷博爾德表示，取得公司筆記型電腦的存取權，也可能成為進入企業系統、通訊和金融平台的管道。實際風險範圍取決於各職位所獲授的權限。
網路安全公司CrowdStrike表示，該公司提供情報和技術分析以支援FBI，並以「著名赤練」（Famous Chollima）追蹤這個網絡。法院聲請文件的描述也指出，一家大型網路安全公司以此名稱標記這個威脅組織。這是追蹤用的名稱，不是另外一項刑事指控。
CrowdStrike表示，在遭瓦解的行動中被辨識出的機構，涵蓋航太、能源、金融服務、醫療保健、網路安全、國防工程及政府科技等領域。這顯示敏感產業可能面臨廣泛風險，但不代表每個受影響機構都發生資料外洩。
該公司描述了用來轉移雇主設備的手法。部分操作者涉嫌謊報筆記型電腦遭竊，以取得寄往其他地點的替代設備；另有人藉口突然搬家，或透過人力派遣公司取得職位，讓電腦得以在派遣公司不知情下被轉往其他地點。
這些細節串起招募詐術與實體筆電農場：工作者不只需要一個獲雇主接受的身分，也必須設法把雇主提供的電腦送到網絡控制的地點。當局尚未公開德州行動中資料遭存取或竊取的完整清單。
調查範圍擴及德州搜索行動以外
根據法院紀錄的相關描述，FBI辨識出11個涉嫌與求職詐欺有關的Google帳戶。調查人員要求取得各帳戶自建立至10月8日的資料，包括用戶資訊、地址、電話號碼、連線時間、IP位址，以及付款和帳單紀錄。
據報導，德州北區聯邦法院於10月9日下令Google在十天內提供紀錄。依此期限推算，資料提交期限為10月19日。相關報導並未確認Google是否已完成提交。
主要日期如下：
- 9月21日至25日：FBI搜索德州40多處住宅並採取相關行動。
- 10月8日：要求調取的11個Google帳戶紀錄涵蓋期間截止。
- 10月9日：據報導，法院下令Google在十天內提供帳戶紀錄。
- 10月13日：相關行動公告及刑事程序報導所載日期。
官員也表示，路易斯安那州、內華達州、肯塔基州和俄亥俄州出現類似活動。CrowdStrike稱，更大規模的瓦解行動包括在俄亥俄州逮捕兩人，但未公布其身分或所涉罪名。德州行動公告未提及這些逮捕，因此不應逕自認定這兩人與遭點名的兩名美國人是不同或相同的對象。
雇主收到的建議，以及仍未明朗之處
雷博爾德和羅斯洛克呼籲雇主使用E-Verify，並在招募遠距工作者時要求提供多種身分證明文件。E-Verify會將就業資格資料與政府紀錄比對。這能處理招募流程的一部分，但涉嫌利用替身代為面試和遠端操控筆記型電腦的情況顯示，實際工作者的身分是另一項需要關注的問題。
當局鼓勵認為自己受到影響的企業和個人向FBI通報。當局未公布完整雇主名單、遭搜索的住宅地址，也未完整說明遭截留或追回的薪資金額。
調查仍在進行。描述北德州簡報會的報導未提供後續起訴、聽證或審判日期。逮捕人數及預計提出指控的說法相互矛盾，因此各項公告之間的確切關係仍未釐清。
CrowdStrike提醒，關閉筆電農場可能主要只會讓遭移除基礎設施的地區活動減緩，不太可能長期終止整個行動。查扣行動顯示當局能中斷當地設備網絡，但不能證明所有相關工作者、身分、帳戶或協助者都已被查明。
重點整理
- 探員於9月下旬搜索德州40多處住宅，查扣約187台筆記型電腦及其他設備。
- 當局表示，北德州查獲逾100台設備，但有一則報導稱數量約為100台。
- 涉嫌的筆電農場讓海外工作者遠端控制設置於美國住宅的雇主電腦，營造人在美國工作的假象。
- 各方報導對刑事程序的說法不一，從預告即將提出起訴，到宣布逮捕兩名美國人並起訴十名在中國活動的人士。
- 起訴書相關報導稱，受影響企業逾70家、25名美國人的身分遭侵害，收入至少300萬美元。
- 逾8億美元的估算指的是規模更大的北韓IT人員計畫，並非只有德州查扣行動涉及的金額。
- 調查人員要求取得11個Google帳戶的紀錄，調查仍在進行中。
