De Verenigde Staten hebben laptop farms ontmanteld in het kader van een operatie tegen een langdurig IT-worker fraudepatroon dat gekoppeld is aan Noord-Korea. Het Amerikaanse Openbaar Ministerie heeft in totaal 14 personen aangeklaagd en daarbij naar eigen zeggen ongeveer 187 computers in beslag genomen. Het onderzoek richtte zich op een systeem waarbij zogenoemde remote IT workers met nepidentiteiten werden aangenomen door grote bedrijven.
Volgens de aanklacht speelde de opzet grofweg van 2019 tot juli 2025. De actie omvatte tevens invallen die plaatsvonden tussen 21 en 25 september 2026 in Texas, gericht op meer dan 40 laptop farms.
Wat zijn laptop farms en waarom vormen ze een risico?
Een laptop farm is in essentie een infrastructuur waarin apparaten op één of meer locaties worden gehost, terwijl het lijkt alsof medewerkers op legitieme wijze vanuit de Verenigde Staten werken. In dit geval werd die “VS-footprint” ingezet om remote arbeid geloofwaardig te laten overkomen bij werkgevers.
De kern van het probleem is dat bedrijven hierdoor werk kunnen toewijzen aan personen die zich presenteren als lokale IT-professionals, terwijl de echte controle en identiteit niet klopt. Dat vergroot de kans op fraude, maar ook op het misbruiken van bedrijfsprocessen, omdat de werkomgeving en communicatie op afstand kunnen plaatsvinden met gebruik van werkgever- of bedrijfseigendommen.
DoJ: 14 verdachten en een scheme dat meer dan 70 werkgevers raakte
Het DoJ stelt dat de aangeklaagden een gezamenlijke samenzwering vormden die meer dan 70 Amerikaanse bedrijven trof. De aanklacht noemt onder meer draadfraude (wire fraud conspiracy), witwassen (money laundering conspiracy), en samenspanning rond identiteitsdiefstal, inclusief verzwaarde varianten.
Onder de aangeklaagden bevinden zich zowel Amerikaanse burgers als personen met de nationaliteit van China. De twee Amerikaanse verdachten, Carrillo en Bostelle, zijn volgens het bericht aangehouden. De overige verdachten blijven volgens de aanklacht “op vrije voeten”.
Een extra Amerikaanse naam wordt genoemd in de beschrijving van de zaak: Trey Michael Nolte. Deze persoon wordt genoemd in de aanklacht, maar werd niet apart aangeklaagd.
Van shell company tot remote IT werk: hoe de fraude werd opgezet
Volgens de stukken draaide het netwerk rond een “shell company” die softwareontwikkeling claimde. De bedoeling was volgens het bericht niet zozeer om echt werk te leveren, maar om het fraudepatroon te faciliteren en geloofwaardigheid te creëren.
De aanpak was daarnaast niet beperkt tot één land of één route. De opzet beschrijft dat de IT workers werden gekoppeld aan werkgevers in de VS, waarna een deel van het salaris terugvloeit naar het regime. Daarmee werd economische opbrengst ingezet om bredere militaire doelen te financieren, aldus de aanklacht.
Inval in Texas: meer dan 40 laptop farms getroffen
De Amerikaanse autoriteiten zeggen dat de operatie leidde tot het ontmantelen van meer dan 40 laptop farms in Texas. De invallen vonden plaats over meerdere dagen in september 2026.
Naast het in beslag nemen van computers, beschrijft het bericht de bredere bedoeling van de actie: het onderbreken van een inkomstenbron en het verstoren van een zich ontwikkelende cyberdreiging. Tegelijk waarschuwen onderzoekers en beveiligingspartijen dat het effect waarschijnlijk vooral lokaal en tijdelijk is.
Hoe laptop farms misleiding versterken tijdens onboarding
Een securitybedrijf dat indicatoren onderzocht die verband zouden houden met nep-IT workers, stelt dat de dreigingsactoren verschillende technieken inzetten om werkgever-apparatuur naar laptop farm-adressen te sturen zodra de onboarding begon.
Een voorbeeld dat wordt genoemd, is het indienen van frauduleuze politierapporten om te bewerkstelligen dat werkgever-laptops vervangen worden en vervolgens bij farm-adressen terechtkomen. Daarbij zouden adressen worden geroteerd om de uiteindelijke bestemming te verbergen.
Andere tactieken die in het bericht terugkomen: last-minute relocations om apparaten halverwege de verzending om te leiden, en het inzetten van rollen via IT-staffingbedrijven. Dat zou de redirect naar farm-infrastructuur kunnen laten gebeuren zonder dat de staffingpartij het door heeft.
Door hash-spoofing ogen tools als iets anders
Het bericht noemt ook een modernere stap: sinds ten minste mei 2026 zouden aanvallers device hashes hebben gespoof, zodat hardwareonderdelen anders konden lijken dan ze in werkelijkheid zijn. Als illustratie wordt genoemd dat een device zó kan worden nagemaakt dat het lijkt op een webcam-achtig onderdeel, bijvoorbeeld door een video capture card na te bootsen.
Het doel hiervan is volgens de beschrijving het gebruik van tools te maskeren en detectie te ontwijken. Daardoor wordt het voor werkgevers lastiger om op basis van apparatuursignalen vast te stellen dat er iets niet klopt.
FBI-waarschuwing: steeds meer freelancers en extra lagen via facilitators
Parallel aan het DoJ-traject publiceerde de FBI een waarschuwing over de bredere werkwijze. Daarbij staat centraal dat de operatie vaker werkt met facilitators en in sommige gevallen complete jobs laat uitvoeren door freelancers in regio’s buiten de VS, waaronder Zuid-Azië en West-Afrika.
De FBI beschrijft bovendien dat IT-workers in westerse bedrijven niet alleen zelf opereren, maar ook werk uitbesteden aan derde partijen tegen een fractie van het totale salaris. Ook zouden IT-workers vervolgens weer lokale freelancers inhuren om te helpen met sollicitaties, onboarding en het voeren van interviews namens de echte “kandidaat”.
Daarnaast wordt in het bericht melding gemaakt van het gebruik van identiteit(en) van facilitators zonder toestemming om meer banen binnen te halen dan vooraf was afgesproken.
Nepverhalen, gestolen profielen en druk om betalingen af te dwingen
Een terugkerend element in de beschrijving zijn de verzonnen achtergronden die IT-workers gebruiken om geloofwaardigheid op te bouwen. Zo worden voorbeelden genoemd als claims dat zij Chinese of Oost-Aziatische nationaliteiten zijn die tijdelijk in de VS aanwezig moeten zijn, of dat ze Oost-Europeanen zijn die door de situatie rond de oorlog in Oekraïne zijn gedwongen te verhuizen.
De FBI noemt ook gevallen waarbij dreiging met fysiek geweld tegen voormalige managers en hun families werd ingezet om betalingen af te dwingen. Dat wijst erop dat de dreiging volgens de onderzoekers niet alleen fraude is op papier, maar ook in praktijk kan escaleren.
Tot slot wordt besproken dat identiteiten niet alleen voor sollicitaties worden gebruikt. Er zouden ook sociale media-accounts, professionele profielen en online identiteiten zijn misbruikt om aanvragen te voorzien van een schijn van authenticiteit.
Wat betekent dit voor werkgevers en IT-securityteams?
Het ontmantelen van laptop farms kan de directe instroom van frauduleuze “remote medewerkers” vertragen, maar het bericht benadrukt dat dreigingsactoren zich doorgaans blijven aanpassen. Daarom is het voor organisaties verstandig om hun processen rond onboarding en verificatie opnieuw onder de loep te nemen.
Concreet helpt het om aandacht te besteden aan hoe werkgever-apparatuur wordt verwerkt, wie adressen kan wijzigen tijdens verzending, en welke signalen wijzen op een afwijkende route tussen aanvraag, onboarding en echte inzet. Ook is het belangrijk om te beoordelen of verificatie niet enkel op identiteit is gebaseerd, maar ook op gedrag, toegang en de herkomst van gebruikte accounts en werkstation-telemetrie.
Als inspiratie voor het aanscherpen van verificatieprocessen past ook dit onderwerp goed: deepfake readiness drill: test uw verificatieprocessen. Daarmee kunt u oefenen met hoe manipulatie van signalen realistische controles kan ondermijnen.
Gerelateerd: wanneer security ook supply chain en werkplekmaterie raakt
Deze zaak laat zien hoe sterk “process security” en werkplekbeveiliging samenkomen met identiteits- en remote-toegangsvragen. Wie wil weten hoe misbruik in de keten kan ontstaan, kan zich daarnaast verdiepen in ander materiaal over werkplek- en securityvernieuwing, zoals Werkplek AI-beveiliging: Harmonic haalt $50 miljoen op. Dat ondersteunt het bredere beeld: organisaties moeten niet alleen patchen, maar ook voorkomen dat hun systemen en processen misleid worden.
Conclusie: laptop farms ontmanteld, maar de dreiging evolueert
Met de aanklachten, de inbeslagnames en de invallen is een duidelijk onderdeel van de operatie geraakt. Tegelijk waarschuwen experts dat dit soort netwerken snel kan blijven doorontwikkelen: als één route wordt afgesloten, worden nieuwe manieren gevonden om apparaten, identiteiten en remote werksituaties geloofwaardig te laten lijken.
Voor bedrijven betekent dit dat extra aandacht nodig is voor onboarding, device tracking, verificatie van identiteit en het tegengaan van misleiding rond verzending en werktoegang. Alleen zo kan de organisatie de impact van toekomstige varianten van laptop farms ontmanteld-achtige operaties beperken.
Bron: https://thehackernews.com/2026/10/us-shuts-down-over-40-laptop-farms.html
