Các cuộc đột kích vào cơ sở máy tính tại Texas thu giữ 187 thiết bị trong vụ việc bị cáo buộc liên quan đến tuyển dụng lao động công nghệ thông tin Triều Tiên

Mạng lưới máy tính tại nhà trở thành mục tiêu an ninh quốc gia

Các đặc vụ liên bang khám xét hơn 40 nhà dân tại Texas từ ngày 21 đến 25 tháng 9 và thu giữ khoảng 187 máy tính xách tay cùng các thiết bị điện tử khác trong cuộc điều tra cáo buộc gian lận tuyển dụng lao động Triều Tiên. Hơn 100 thiết bị được thu hồi tại Bắc Texas, nơi nhà chức trách cho biết các căn nhà quanh khu vực Dallas và Fort Worth được dùng làm căn cứ cho những lao động ở nước ngoài giả danh nhân viên Mỹ.

Chiến dịch mang tên Operation Lone Star Roundup nhắm vào mạng lưới hỗ trợ tại chỗ đứng sau những công việc từ xa có vẻ bình thường. Công tố viên cho biết các cá nhân hỗ trợ người Mỹ nhận máy tính từ nhà tuyển dụng, lắp đặt thiết bị hoặc phần mềm cho phép truy cập từ nước ngoài và giúp chuyển tiền lương vào các tài khoản do các đặc vụ Triều Tiên kiểm soát.

Công tố viên Liên bang Ryan Raybould, người đứng đầu Văn phòng Công tố Khu vực Bắc Texas, cho biết nguồn thu này hỗ trợ các chương trình hạt nhân và tên lửa đạn đạo của Cộng hòa Dân chủ Nhân dân Triều Tiên. Ông dẫn ước tính của Bộ Tài chính Mỹ rằng chương trình lao động công nghệ thông tin rộng hơn của Triều Tiên tạo ra hơn 800 triệu USD trong năm tài chính 2024.

Các bản tin có thông tin khác nhau về các thủ tục hình sự đi kèm việc thu giữ thiết bị. Theo tường thuật về cuộc họp báo hôm thứ Ba, các cáo trạng đối với những người hỗ trợ là công dân Mỹ dự kiến sẽ được đưa ra và chưa có vụ bắt giữ nào được công bố. Một số tường thuật khác về thông báo của Bộ Tư pháp đề ngày 13 tháng 10 cho biết hai người Mỹ đã bị bắt và một cáo trạng truy tố mười người có trụ sở tại Trung Quốc. Không nên xem những tường thuật này là một bản mô tả thủ tục duy nhất đã được đối chiếu đầy đủ.

Sự phân biệt này quan trọng: việc thu giữ thiết bị ghi nhận hành động triệt phá cơ sở hạ tầng bị nghi vấn, trong khi cáo trạng nêu ra các cáo buộc đối với những cá nhân cụ thể. Máy tính bị thu giữ hay cáo trạng đều không chứng minh một người có tội.

Những gì đặc vụ thu giữ trên khắp Texas

Một số bản tin mô tả tổng số thiết bị bị thu giữ trên toàn bang là hơn 185, trong khi các bản tin chi tiết hơn nêu con số 187. Hai số liệu này tương thích chứ không mâu thuẫn. Mô tả về các địa điểm bị khám xét dao động từ khoảng 40 địa điểm đến hơn 40 nhà dân.

Thiết bị gồm máy tính xách tay và bộ bàn phím, màn hình và chuột, thường gọi là thiết bị KVM. Các thiết bị này có thể cho phép người vận hành điều khiển bàn phím, màn hình và chuột của máy tính từ một địa điểm khác. Khi được sử dụng cùng phần mềm truy cập từ xa, chúng có thể giúp một người ở nước ngoài vận hành máy tính của công ty đặt tại một căn nhà ở Mỹ.

Nhà chức trách không công bố địa chỉ các bất động sản tại Texas. Họ cho biết thiết bị tập trung quanh Dallas và Fort Worth, đồng thời cho rằng khu vực này dễ bị ảnh hưởng một phần do có thị trường việc làm lớn. Các bản tin cũng có chênh lệch nhỏ về số thiết bị thu giữ trong khu vực, mô tả con số này là khoảng 100 hoặc hơn 100 thiết bị.

R. Joseph Rothrock, đặc vụ phụ trách văn phòng FBI tại Dallas, giải thích vì sao phần cứng này quan trọng với các nhà điều tra:

Mỗi máy tính xách tay bị thu giữ có thể tương ứng với một công ty đã tuyển dụng lao động công nghệ thông tin của CHDCND Triều Tiên.

Đây là thước đo mức độ phơi nhiễm tiềm tàng, không phải số lượng nhà tuyển dụng riêng biệt đã được xác nhận. Trong số 187 thiết bị có cả những loại không phải máy tính xách tay, và nhiều máy tính có thể thuộc về cùng một công ty. Vì vậy, không thể quy đổi trực tiếp tổng số thiết bị bị thu giữ thành số công ty nạn nhân.

Cách một cơ sở máy tính giúp lao động ở nước ngoài giả như đang làm việc trong nước

Mô hình bị cáo buộc bắt đầu trước khi nhà tuyển dụng gửi máy tính. Người lao động ứng tuyển vào các vị trí công nghệ thông tin từ xa bằng danh tính bị đánh cắp hoặc giả mạo, trong khi những người khác hỗ trợ vượt qua các bước kiểm tra tuyển dụng. Sau khi công ty tin rằng mình đã tuyển một nhân viên hợp pháp tại Mỹ, công ty gửi thiết bị đến địa chỉ do người hỗ trợ kiểm soát.

Người hỗ trợ sau đó lưu giữ máy tính xách tay và thiết lập quyền truy cập từ xa. Mạng riêng ảo, hay VPN, và máy chủ proxy giúp che giấu vị trí của người kết nối. VPN định tuyến lưu lượng internet qua một kết nối khác; proxy đóng vai trò trung gian. Bản thân hai công cụ này không phải là bất hợp pháp, nhưng nhà chức trách cho biết mạng lưới này đã sử dụng chúng để che giấu danh tính và nơi ở của người lao động.

Một máy tính xách tay được kết nối thực tế tại Texas có thể khiến thỏa thuận tuyển dụng trông như diễn ra trong nước, dù người vận hành ở nước ngoài. Địa chỉ tại địa phương, máy tính của nhà tuyển dụng và kết nối được che giấu phối hợp với nhau để tạo ra vẻ ngoài đó.

Các bản tin khác nhau về địa điểm của chính những người lao động. Một số mô tả họ ở Triều Tiên, trong khi các tường thuật về cáo trạng xác định người vận hành có trụ sở tại Trung Quốc và mô tả khái quát hơn về lao động ở nước ngoài. Không nên hiểu rằng mô hình bị cáo buộc đòi hỏi tất cả người lao động phải có mặt thực tế tại Triều Tiên.

Cuộc điều tra tại Texas tiếp nối sự chú ý trước đó đối với vụ lừa đảo lao động công nghệ thông tin toàn cầu, trong đó có việc sử dụng danh tính giả và người trung gian tại Mỹ để nhận tiền lương từ nước ngoài. Chiến dịch này cung cấp thêm bức tranh chi tiết về cơ sở hạ tầng tại nhà giúp những công việc đó khả thi.

Những người hỗ trợ tại Mỹ bị cáo buộc làm nhiều hơn việc giữ máy tính

Các nhà điều tra mô tả những người hỗ trợ là người tham gia vào tuyển dụng, xác minh danh tính và xử lý thanh toán, chứ không chỉ cho mượn chỗ đặt máy tính xách tay. Một số người bị cáo buộc nhận tiền lương rồi chuyển vào các tài khoản do lao động Triều Tiên kiểm soát. Những người khác cho phép sử dụng tên và thông tin cá nhân của mình để đổi lấy một khoản tiền.

Rothrock mô tả phạm vi hỗ trợ mà nhà chức trách đang điều tra, trong đó có sự khác biệt giữa danh tính bị đánh cắp từ những người không hay biết và danh tính do những người sẵn lòng cung cấp:

Họ có thể dùng danh tính bị đánh cắp của những người Mỹ không hay biết để xin việc trong lĩnh vực công nghệ thông tin tại Mỹ", Rothrock nói. "Trong những trường hợp khác, họ trả tiền cho người khác để sử dụng danh tính của họ hoặc thực hiện các việc khác, bao gồm tham gia phỏng vấn thay, xác minh danh tính bị đánh cắp, gửi bưu kiện, lưu giữ máy tính xách tay, làm xét nghiệm ma túy hoặc lấy dấu vân tay.

Những hoạt động bị cáo buộc này cho thấy vì sao các nhà điều tra đang xem xét nhiều hơn các kết nối internet. Một người tham gia phỏng vấn thay hoặc người thực hiện bước sàng lọc trực tiếp có thể giúp ứng viên ở nước ngoài vượt qua những khâu kiểm tra mà chỉ phần mềm không thể qua mặt.

Raybould cho biết những người cố ý lưu giữ thiết bị sẽ bị truy tố. Lời cảnh báo của ông không xác định được nhận thức hay ý định của bất kỳ cá nhân cụ thể nào; những yếu tố đó cần được chứng minh bằng chứng cứ trong các thủ tục hình sự liên quan.

Các tường thuật về vụ bắt giữ nêu tên hai người Mỹ và mười người vận hành tại Trung Quốc

Các bản tin về thông báo ngày 13 tháng 10 của Bộ Tư pháp xác định hai người Mỹ bị bắt là Michael James Bostelle ở Pennsylvania và Juan Cecilio Pena Carrillo ở Texas. Theo các bản tin này, hai người đối mặt với các cáo buộc gồm gian lận qua mạng viễn thông, rửa tiền và đánh cắp danh tính liên quan đến mô hình tuyển dụng bị cáo buộc.

Các bản tin tương tự nêu tên mười người tham gia bị truy tố có trụ sở tại Trung Quốc: Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang và Jin Long.

Theo cáo trạng, những người vận hành tại Trung Quốc chỉ đạo Pena Carrillo, Tey Michael Nolte và ít nhất bốn người Mỹ khác. Nolte được nêu tên trong cáo trạng nhưng không bị truy tố. Người này bị cáo buộc tuyển dụng, quản lý và đào tạo Bostelle cùng những người Mỹ khác tham gia. Việc được nêu tên trong cáo trạng không đồng nghĩa với việc là bị cáo.

Các bản tin cho biết vụ gian lận bị cáo buộc ảnh hưởng đến hơn 70 công ty Mỹ, xâm phạm danh tính của 25 người Mỹ, tạo ra ít nhất 3 triệu USD cho lao động công nghệ thông tin ở nước ngoài và khiến thông tin sai lệch được nộp cho nhiều cơ quan chính phủ Mỹ. Các bản tin không nêu tên tất cả nhà tuyển dụng bị ảnh hưởng hay cho biết thông tin đó được gửi đến những cơ quan nào.

Theo các bản tin này, chưa thể liên hệ ngay với luật sư của Bostelle và Pena Carrillo để xin bình luận. Không có thông tin về phản hồi từ Nolte. Các cáo buộc chưa được chứng minh, và các bản tin không làm rõ mối liên hệ về mặt thủ tục giữa những vụ bắt giữ này với thông báo tại cuộc họp báo ở Bắc Texas rằng các cáo trạng sẽ sớm được đưa ra.

Các con số về tiền thể hiện những quy mô khác nhau

Không nên gộp con số 800 triệu USD và 3 triệu USD. Ước tính hơn 800 triệu USD của Raybould nói đến chương trình lao động công nghệ thông tin rộng hơn của Triều Tiên trong năm tài chính 2024. Cáo buộc về ít nhất 3 triệu USD liên quan đến mô hình tuyển dụng được mô tả trong các tường thuật về cáo trạng.

Các mô tả về ước tính của Bộ Tài chính cũng khác nhau. Một số nói hơn 800 triệu USD đã được chuyển đến Triều Tiên; số khác mô tả đây là doanh thu do chương trình tạo ra. Doanh thu kiếm được và số tiền được chuyển đi là hai thước đo khác nhau, vì vậy không nên trình bày con số này như tổng số tiền chuyển đi được ghi nhận chính xác nếu chưa có giải thích thêm.

Quan chức cũng cho biết người lao động được ước tính gửi 85% đến 90% thu nhập về Triều Tiên. Theo tỷ lệ này, cứ mỗi 100 USD kiếm được thì khoảng 10 đến 15 USD nằm ngoài số tiền được chuyển về. Điều đó minh họa cơ cấu thanh toán bị cáo buộc, nhưng không xác lập cách phân chia của mọi khoản lương trong cuộc điều tra tại Texas.

Cáo buộc tài chính lý giải vì sao công tố viên xem vụ việc không chỉ là gian lận tuyển dụng. Nhà chức trách cho rằng tiền lương tại Mỹ trở thành nguồn tài trợ cho một chính phủ bị trừng phạt và các chương trình vũ khí của chính phủ này. Các bản tin không truy vết những khoản lương cụ thể tại Texas đến các thương vụ mua vũ khí riêng lẻ.

Quyền truy cập của doanh nghiệp tạo ra một nguy cơ an ninh riêng

Một vụ tuyển dụng gian lận thành công có thể mang lại nhiều hơn tiền lương. Raybould cho biết quyền truy cập vào máy tính xách tay của công ty cũng có thể tạo lối vào các hệ thống kinh doanh, thông tin liên lạc và nền tảng tài chính. Mức độ rủi ro tùy thuộc vào quyền hạn được cấp cho từng công việc.

CrowdStrike, công ty an ninh mạng cho biết đã cung cấp thông tin tình báo và phân tích kỹ thuật hỗ trợ FBI, theo dõi mạng lưới này dưới tên Famous Chollima. Một mô tả về hồ sơ xin lệnh của tòa án cũng cho biết một công ty an ninh mạng lớn đặt tên nhóm đe dọa này như vậy. Đây là nhãn theo dõi, không phải một cáo buộc hình sự riêng biệt.

CrowdStrike cho biết các tổ chức được xác định trong những chiến dịch bị triệt phá gồm doanh nghiệp trong lĩnh vực hàng không vũ trụ, năng lượng, dịch vụ tài chính, chăm sóc sức khỏe, an ninh mạng, kỹ thuật quốc phòng và công nghệ chính phủ. Phạm vi này cho thấy nguy cơ ảnh hưởng đến nhiều ngành nhạy cảm, nhưng không chứng minh rằng mọi tổ chức bị ảnh hưởng đều mất dữ liệu.

Công ty mô tả các thủ đoạn chuyển hướng thiết bị của nhà tuyển dụng. Một số người vận hành bị cáo buộc nộp báo cáo giả với cảnh sát, nói rằng máy tính xách tay bị đánh cắp để được gửi máy thay thế đến nơi khác. Những người khác viện lý do đột ngột chuyển nhà hoặc nhận việc thông qua các công ty tuyển dụng, nhờ đó máy tính được chuyển hướng mà các công ty này không hay biết.

Những chi tiết này nối liền hành vi gian dối trong tuyển dụng với các cơ sở máy tính: người lao động cần cả danh tính được chấp nhận lẫn cách đưa máy tính của nhà tuyển dụng đến địa điểm do mạng lưới kiểm soát. Nhà chức trách chưa công bố danh mục đầy đủ về dữ liệu đã bị truy cập hoặc đánh cắp trong chiến dịch tại Texas.

Cuộc điều tra mở rộng ra ngoài các cuộc khám xét tại Texas

Theo mô tả hồ sơ tòa án, FBI xác định 11 tài khoản Google bị cáo buộc có liên quan đến gian lận tuyển dụng. Các nhà điều tra yêu cầu thông tin về từng tài khoản kể từ khi tạo lập đến ngày 8 tháng 10, bao gồm thông tin người đăng ký, địa chỉ, số điện thoại, thời gian kết nối, địa chỉ IP, hồ sơ thanh toán và hóa đơn.

Theo thông tin được tường thuật, một tòa án liên bang tại Khu vực Bắc Texas ban hành lệnh ngày 9 tháng 10, yêu cầu Google cung cấp hồ sơ trong vòng mười ngày. Khoảng thời gian đó tương ứng với hạn cung cấp được nêu là ngày 19 tháng 10. Các bản tin không xác nhận Google đã hoàn tất việc cung cấp hồ sơ.

Các mốc thời gian chính được tường thuật:

• Ngày 21 đến 25 tháng 9: FBI khám xét và tiến hành các hoạt động liên quan tại hơn 40 nhà dân ở Texas.
• Ngày 8 tháng 10: Kết thúc thời gian được yêu cầu cung cấp hồ sơ của 11 tài khoản Google.
• Ngày 9 tháng 10: Tòa án được cho là đã ra lệnh yêu cầu Google cung cấp hồ sơ tài khoản trong vòng mười ngày.
• Ngày 13 tháng 10: Ngày được nêu trong các bản tin về thông báo chiến dịch và các thủ tục hình sự liên quan.

Quan chức cũng mô tả hoạt động tương tự tại Louisiana, Nevada, Kentucky và Ohio. CrowdStrike cho biết chiến dịch triệt phá trên diện rộng bao gồm hai vụ bắt giữ ở Ohio, nhưng không nêu danh tính những người bị bắt hay các cáo buộc đối với họ. Thông báo về Texas không đề cập những vụ bắt giữ này, vì vậy không nên mặc định rằng họ hoàn toàn khác hoặc trùng với hai người Mỹ bị nêu tên.

Những gì nhà tuyển dụng được khuyến cáo và những điều chưa rõ

Raybould và Rothrock khuyến nghị nhà tuyển dụng sử dụng E-Verify và yêu cầu nhiều hình thức giấy tờ tùy thân khi tuyển lao động từ xa. E-Verify đối chiếu thông tin về điều kiện làm việc với hồ sơ của chính phủ. Biện pháp này xử lý một khâu trong quy trình tuyển dụng, trong khi việc bị cáo buộc sử dụng người tham gia phỏng vấn thay và máy tính xách tay được điều khiển từ xa cho thấy việc xác định ai thực sự làm công việc là mối quan ngại riêng.

Nhà chức trách khuyến khích các doanh nghiệp và cá nhân cho rằng mình bị ảnh hưởng cung cấp thông tin cho FBI. Họ không công bố danh sách đầy đủ các nhà tuyển dụng, địa chỉ nhà dân bị khám xét hay bảng kê toàn bộ tiền lương bị chiếm đoạt hoặc thu hồi.

Cuộc điều tra vẫn đang tiếp diễn. Các bản tin về cuộc họp báo ở Bắc Texas không đưa ra ngày dự kiến cho các cáo trạng, phiên điều trần hay phiên tòa tiếp theo. Những tường thuật trái ngược về các vụ bắt giữ và cáo buộc dự kiến khiến mối liên hệ chính xác giữa các thông báo vẫn chưa được làm rõ.

CrowdStrike lưu ý rằng việc đóng cửa các cơ sở máy tính có thể chủ yếu làm chậm hoạt động tại những nơi cơ sở hạ tầng bị dỡ bỏ, thay vì chấm dứt lâu dài toàn bộ chiến dịch. Việc thu giữ thiết bị cho thấy nhà chức trách có thể làm gián đoạn mạng lưới thiết bị tại địa phương. Tuy nhiên, điều đó không chứng minh rằng tất cả lao động, danh tính, tài khoản hay người hỗ trợ có liên quan đều đã bị phát hiện.

Điểm chính

• Đặc vụ khám xét hơn 40 nhà dân tại Texas vào cuối tháng 9 và thu giữ khoảng 187 máy tính xách tay cùng các thiết bị khác.
• Nhà chức trách cho biết hơn 100 thiết bị được thu hồi tại Bắc Texas, dù một bản tin nêu con số khoảng 100.
• Các cơ sở bị cáo buộc giúp lao động ở nước ngoài điều khiển máy tính của nhà tuyển dụng đặt tại nhà ở Mỹ và tạo vẻ ngoài như đang làm việc trong nước.
• Các bản tin khác nhau giữa thông tin sẽ sớm có cáo trạng và thông báo về hai người Mỹ bị bắt cùng mười người có trụ sở tại Trung Quốc bị truy tố.
• Các tường thuật về cáo trạng mô tả hơn 70 công ty bị ảnh hưởng, danh tính của 25 người Mỹ bị xâm phạm và doanh thu ít nhất 3 triệu USD.
• Ước tính hơn 800 triệu USD liên quan đến chương trình lao động công nghệ thông tin rộng hơn của Triều Tiên, không chỉ riêng việc thu giữ thiết bị tại Texas.
• Các nhà điều tra yêu cầu hồ sơ của 11 tài khoản Google và cuộc điều tra vẫn đang tiếp diễn.