Quaranta abitazioni perquisite in Texas, 187 laptop e dispositivi sequestrati, due americani arrestati e dieci cittadini cinesi incriminati: il 13 ottobre 2026 il Dipartimento di Giustizia USA ha annunciato lo smantellamento di una delle più grandi “fattorie di laptop” mai scoperte, il cuore logistico con cui lavoratori IT nordcoreani si spacciano da anni per dipendenti americani. Dietro l’operazione, ribattezzata informalmente dai media “Lonestar Roundup”, si muove Famous Chollima, il cluster di attività tracciato da CrowdStrike che negli ultimi due anni ha infiltrato oltre cento aziende statunitensi per finanziare, con gli stipendi rubati, i programmi sanzionati di Pyongyang.

Un’indagine lampo con radici lunghe anni

Tra il 21 e il 25 settembre 2026 l’FBI ha condotto perquisizioni in più di 40 immobili residenziali in Texas, individuati come basi logistiche — le cosiddette laptop farm — dove venivano fisicamente ospitati i computer aziendali destinati a dipendenti “remoti” che in realtà operavano dalla Corea del Nord o da basi di appoggio in Cina. L’annuncio ufficiale è arrivato martedì 13 ottobre. Dalle abitazioni sono stati recuperati 187 laptop e altri dispositivi, inclusi apparati KVM (keyboard-video-mouse) usati per pilotare da remoto le macchine come se l’operatore fosse fisicamente davanti alla tastiera.

Gli arresti hanno riguardato due cittadini statunitensi, Michael James Bostelle (Pennsylvania) e Juan Cecilio Pena Carrillo (Texas), accusati di wire fraud, money laundering e identity theft. Nell’atto d’accusa compare anche Tey Michael Nolte, che secondo gli investigatori avrebbe reclutato e addestrato i complici americani, mentre dal lato cinese sono stati incriminati dieci individui, tra cui Sun Sheng Ming e Jin Long, descritti come i coordinatori che dirigevano da remoto l’intera operazione. Il DOJ ha definito la frode “massiva”: più di 70 aziende statunitensi colpite, l’identità di almeno 25 cittadini americani rubata e utilizzata, e un giro d’affari di almeno 3 milioni di dollari generato per gli operatori nordcoreani oltreconfine.

Come funziona lo schema: furto d’identità su scala industriale

Il meccanismo, documentato dal DOJ e confermato da CrowdStrike (che ha supportato le indagini dell’FBI), segue uno schema ormai consolidato ma raffinato nel tempo. I facilitatori americani — spesso reclutati online con la promessa di un compenso mensile per “ospitare” un computer aziendale — prestano la propria identità per superare i controlli HR e i processi KYC dei datori di lavoro. Una volta ottenuta l’assunzione da remoto, il laptop aziendale viene spedito all’indirizzo del facilitatore, che lo configura con software di accesso remoto e lo “nasconde” dai controlli di sicurezza dell’azienda, prima di cederne il controllo effettivo all’operatore nordcoreano.

Per sviare i team di sicurezza che richiedono la restituzione o la sostituzione dei dispositivi, gli operatori hanno fatto ricorso a tecniche di diversione sorprendentemente semplici: denunce false di furto del laptop per farsi inviare un dispositivo sostitutivo altrove, dichiarazioni di trasferimento imminente, o l’uso di agenzie di staffing come tramite inconsapevole per instradare l’hardware verso indirizzi controllati dai facilitatori. I proventi del lavoro — stipendi regolari pagati da aziende americane convinte di aver assunto un connazionale — vengono infine fatti confluire, attraverso catene di conti e wallet, verso entità collegate al governo nordcoreano.

Dentro l’operazione: i settori colpiti e le tracce lasciate

Le aziende infiltrate da Famous Chollima nell’ambito di questa specifica campagna, secondo CrowdStrike, appartengono principalmente ai settori aerospaziale, energetico, finanziario, sanitario, della cybersecurity, dell’ingegneria della difesa e della tecnologia governativa — una selezione che non è casuale: sono gli ambiti in cui l’accesso privilegiato a reti e dati sensibili ha un valore che va ben oltre il semplice stipendio mensile. Le disruption di fine settembre hanno colpito diverse farm attive, ma CrowdStrike avverte che l’effetto sarà probabilmente limitato alle infrastrutture smantellate: gli operatori si adattano rapidamente, e l’indagine resta aperta.

Una volta ottenuto l’accesso come dipendenti regolari, gli operatori mantengono un profilo basso — svolgendo il minimo indispensabile per non destare sospetti — mentre tentano l’esfiltrazione di dati tramite repository Git, SharePoint e OneDrive. Per il controllo remoto delle macchine, CrowdStrike ha osservato un uso ricorrente di strumenti RMM legittimi ma non autorizzati dalle policy aziendali: RustDesk, AnyDesk, TinyPilot, VS Code Dev Tunnels e Google Chrome Remote Desktop. Un segnale distintivo per i team di detection è la ricorrenza di sessioni RMM autenticate con le stesse credenziali aziendali ma originate da un numero elevato di indirizzi IP diversi — un pattern che, combinato con anomalie identity-side rilevate da strumenti come Falcon Identity Protection, ha permesso al team OverWatch di CrowdStrike di risalire a ulteriori persone fittizie.

Non è un caso isolato

Questa operazione si inserisce in una serie di interventi delle autorità USA contro lo stesso fenomeno: nel giugno 2025 il DOJ aveva già perquisito 29 laptop farm sospette in 16 Stati, in un caso collegato al furto di informazioni tecniche soggette a controllo export da un contractor della difesa californiano. Ancora prima, nel maggio 2024, un’indagine aveva rivelato tentativi di infiltrazione IT presso l’ICE e la Federal Protective Service, falliti solo per l’impossibilità di superare i controlli biometrici richiesti dalle agenzie federali. Il quadro che emerge è quello di un programma statale strutturato, resiliente ai singoli colpi subiti e capace di riorganizzarsi rapidamente attorno a nuove identità e nuove infrastrutture logistiche.

Due righe per i difensori

• Rafforzare i controlli di identità in fase di assunzione remota: videocolloqui dal vivo non registrabili, verifica incrociata di documenti e indirizzo di spedizione dell’hardware, controlli su cambi di indirizzo a ridosso dell’onboarding.
• Monitorare l’uso di strumenti RMM non approvati (RustDesk, AnyDesk, TinyPilot, VS Code Dev Tunnels, Chrome Remote Desktop) su endpoint assegnati a personale remoto.
• Correlare segnali identity, endpoint e cloud: sessioni multiple con le stesse credenziali da IP geograficamente incoerenti sono un indicatore ad alta affidabilità se letto insieme ad altri segnali.
• Limitare e auditare gli accessi di nuovi dipendenti remoti a repository Git, SharePoint e OneDrive nei primi mesi di attività.
• Coordinare HR e security team: la frode nasce quasi sempre nel processo di assunzione, non nell’exploit tecnico.

Indicatori operativi riportati nelle indagini

# Strumenti RMM osservati nelle intrusioni Famous Chollima
RustDesk
AnyDesk
TinyPilot
VS Code Dev Tunnels
Google Chrome Remote Desktop

# Pattern comportamentali da monitorare
- Sessioni RMM con credenziali corporate da IP multipli e incoerenti geograficamente
- Richieste di spedizione hardware a indirizzi diversi da quello di assunzione
- Denunce di furto/smarrimento del laptop aziendale a breve distanza dall'onboarding
- Accessi bulk a Git / SharePoint / OneDrive da account neo-assunti
- Performance lavorativa minima ma costante, priva di escalation o iniziativa

L’operazione texana dimostra che il fenomeno dei lavoratori IT nordcoreani non è più un rischio marginale per le grandi tech company della Silicon Valley, ma una minaccia trasversale che tocca difesa, energia e sanità, con un impatto diretto sul finanziamento dei programmi di armamento sanzionati di Pyongyang. Le aziende che assumono personale IT da remoto dovrebbero considerare questo vettore non come un’anomalia HR, ma come un vero rischio di sicurezza nazionale.