De term laptop farms duikt steeds vaker op in analyses van cyber- en fraudeconstructies. In een recente handhavingsactie in de Verenigde Staten is duidelijk geworden hoe zo’n opzet werkt: met behulp van Amerikaanse tussenpersonen en technische maskering zouden Noord-Koreaanse “IT-workers” banen bij westerse organisaties hebben verkregen, terwijl de daadwerkelijke werkzaamheden plaatsvonden via gestalde bedrijfs-laptops. Het doel was niet alleen om remote werk te verkrijgen, maar ook om dat werk geloofwaardig te laten lijken voor werkgevers.
In dit artikel lees je wat er volgens de aanklacht en de waarschuwingen van FBI en CrowdStrike achter de laptop farms schuilgaat, welke signalen organisaties kunnen meenemen, en waarom een ‘identity in depth’-benadering helpt om dit type fraude beter te detecteren.
Wat is er gebeurd rond laptop farms?
Twee Amerikaanse verdachten zijn gearresteerd in een nieuwe rechtshandhavingsoperatie tegen een frauduleus “IT worker”-schema. Het gaat om Michael James Bostelle (Pennsylvania) en Juan Cecilio Pena Carrillo (Texas). Volgens de vierdelige aanklacht zouden zij – samen met medeplichtigen – Noord-Koreaanse IT-workers illegaal aan remote werk bij Amerikaanse bedrijven hebben geholpen.
De fraude zou over meerdere jaren hebben gespeeld, naar verluidt vanaf 2019 tot en met juli 2025. In die periode zouden de betrokkenen meer dan 3 miljoen dollar aan frauduleuze opbrengsten hebben gegenereerd.
Hoe de opzet remote banen mogelijk maakte
Een kernonderdeel van de aanpak was het “hosting en configureren” van laptops die door Amerikaanse slachtoffers waren uitgegeven. Met andere woorden: de laptops kwamen van echte werkgevers, maar werden op locaties buiten de werkelijke woon- of werkplek van de personen ingezet. Daardoor ontstond het beeld dat de IT-workers vanuit de Verenigde Staten werkten.
Volgens de beschrijving in de aanklacht gebruikten de IT-workers en hun facilitators onder meer valse identiteiten en infrastructuur voor VPN en proxy. Daarmee werd hun echte locatie verhuld. Het gevolg: de betrokkenen zouden vervolgens in dienst zijn getreden bij meer dan 70 Amerikaanse bedrijven.
Die bedrijven zouden actief zijn in uiteenlopende sectoren, waaronder communicatie- en cyber support, gezondheidszorg, productie en retail. Dat benadrukt dat de constructie niet beperkt was tot één type organisatie, maar breed werd ingezet.
Van werving tot ‘werkruimte’: wat maakt laptop farms effectief?
Volgens CrowdStrike, dat de campagne koppelt aan de naam Famous Chollima, werkt het vooral omdat de tegenstander meerdere drempels tegelijk omzeilt: de fysieke aanwezigheid, het financiële plaatje en de juridische controle. Laptop farms zijn daarin volgens CrowdStrike een sleutelcomponent, omdat ze vanuit het buitenland een “US footprint” kunnen nabootsen.
In de praktijk wordt dat volgens de analyse bereikt met verschillende vormen van misleiding rond het versturen en vervangen van apparatuur. Voorbeelden die CrowdStrike noemt:
- Het indienen van frauduleuze politierapporten over gestolen laptops om vervanging af te dwingen.
- Het claimen van een plotselinge verhuis om zendingen om te leiden.
- Het roteren via meerdere adressen om patronen te doorbreken.
- Het inzetten van IT-staffing firms tijdens het wervingsproces, waardoor apparaten stilletjes naar een laptop farm kunnen worden doorgestuurd.
Op de farms worden vervolgens hardware en software geïnstalleerd waarmee IT-workers op afstand toegang krijgen. Dat is essentieel: de werkgever ziet in de regel applicatie- en toegangsactiviteit, terwijl de werkelijke controle en uitvoering via de gestalde opstelling verlopen.
Nieuwe verdedigingslagen, nieuwe tegenmaatregelen
Organisaties hebben de afgelopen tijd maatregelen genomen om dit soort fraude en remote access misbruik beter te herkennen. Daarop past Famous Chollima zich aan. CrowdStrike meldt dat de aanpak is verschoven naar technieken om detectie moeilijker te maken, zoals:
- Het verstoppen van remote access tools.
- Het spoofen van device hashes.
- Het gebruik van dezelfde device-identifiers bij meerdere organisaties en rollen (persona’s).
De strategie blijft dus niet statisch: naarmate controlemethoden verbeteren, veranderen de signalen die door de tegenpartij worden gebruikt.
FBI: identiteitsfraude detecteren met ‘identity in depth’
Naast arrestaties richt de FBI zich ook op bewustwording bij organisaties en het publiek. De FBI beschrijft dat IT-workers steeds vaker facilitators inschakelen om het spoor te verdoezelen. Daarbij kunnen zowel betrokkenen die weten wat er gebeurt als personen die onbewust meewerken een rol spelen bij het verkrijgen van werk in de VS.
De FBI noemt verschillende diensten die IT-workers (via betaling of druk) van Amerikanen kunnen vragen, bijvoorbeeld:
- Op camera verschijnen tijdens gesprekken.
- Deelnemen aan jobinterviews of meetings.
- Meewerken aan verificatie van identiteiten.
- Toegang geven tot persoonlijke social media of professionele netwerkkonten.
- Pakketten ontvangen of versturen.
- Meewerken aan procedures zoals urinetests of vingerafdrukken.
- Ervoor zorgen dat werk-gerelateerde apparaten verbonden blijven met internet vanuit woonadressen.
De FBI stelt dat organisaties IT-workers betrouwbaarder moeten herkennen door meerdere, samenhangende gedragingen te bekijken in plaats van op één losse regel te vertrouwen. In dat kader introduceert de FBI het concept ‘identity in depth’.
‘Identity in depth’ draait volgens de FBI om gelaagde toegangscontroles, detecties en doorlopende identiteitsverificatie gedurende het volledige traject van werving tot werkuitvoering. In plaats van uitsluitend “filters” te gebruiken die gemakkelijk omzeilbaar zijn, helpt het om op geaggregeerde signalen af te gaan.
De boodschap is daarbij praktisch: veel signalen kunnen op zichzelf zwak zijn, maar samen vormen ze een sterkere aanwijzing voor identiteitsfraude. De FBI noemt daarnaast dat IT-workers doorgaans patronen vertonen zoals frequent gebruik van remote desktop en RMM-software, het downloaden van apps die niet direct aansluiten op de rol, (bijna altijd) datalekexfiltratie en het rouleren van bankrekeningen en adressen. Ook zouden verificatiedocumenten worden vervalst bij identiteitsovername.
Operation Lonestar Roundup: doorzoekingen en in beslag genomen apparatuur
Naast de strafrechtelijke onderdelen van de zaak werd ook een bredere operatie uitgevoerd, genaamd Operation Lonestar Roundup. Daarbij doorzocht de FBI in Texas 40 locaties die werden verdacht van het runnen van laptop farms voor IT-workers. In totaal zouden 187 laptops en KVM-apparaten in beslag zijn genomen die werden gebruikt om fraude te plegen.
Zo’n verstoring kan de directe capaciteit van de tegenpartij beperken. Tegelijk waarschuwt CrowdStrike dat de impact naar verwachting beperkt blijft, omdat de onderliggende verdienlogica en het aanpassingsvermogen van de campagne blijven bestaan.
Waarom dit breder gaat dan één campagne
Een opvallend aspect van de analyses is dat de activiteit sector-onafhankelijk lijkt. CrowdStrike beschrijft dat de slachtoffers die zijn geïdentificeerd via de clusters die in deze operatie zijn verstoord, lopen van aerospace en energie tot financiële dienstverlening, gezondheidszorg en zelfs cybersecurity en defensie- engineering.
Voor organisaties betekent dat: je kunt dit niet wegzetten als “iets dat alleen in één specifieke branche speelt”. Als remote werk, staffingprocessen en device provisioning dezelfde patronen volgen, is de kans op misbruik vergelijkbaar.
Praktische aandachtspunten voor je organisatie
Hoewel de details van interne controles per bedrijf verschillen, kun je uit deze zaak enkele concrete richtlijnen halen voor het verhogen van de weerbaarheid rond laptop farms en identiteitsfraude:
- Combineer signalen: kijk niet alleen naar één afwijking, maar naar opeenvolgende gedragingen door het traject heen.
- Verifieer doorlopend: identiteitschecks moeten doorlopen wanneer toegang wordt uitgebreid of wanneer nieuwe activiteiten opduiken.
- Besteed aandacht aan device-afhandeling: wees extra alert bij omleiding van zendingen, discussies over vervanging en inconsistenties in apparaatidentificatie.
- Let op remote access patronen: ongebruikelijke combinaties van RMM/remote tools en app-download gedrag verdienen extra onderzoek.
- Train recruiters en IT-teams: als facilitators ingezet worden voor interviews, camera/meeting- aanwezigheid of verificatie, raakt het ook aan HR- en onboardingprocessen.
Door access controls te koppelen aan identiteitsverificatie en detectie, wordt het lastiger voor aanvallers om met één zwakke schakel de hele keten te omzeilen.
Meer lezen: relevante beveiligingscontext
Als je wilt zien hoe identiteits- en toegangsvraagstukken ook in andere incidenten terugkomen, kan deze achtergrond nuttig zijn:
- AI-gedreven privilege escalatie: runtime identity
- Bring Your Own Agent: controle via identiteit
- Microsoft Patch Tuesday 1.413 fixes: dit moet je doen
Deze artikelen focussen niet direct op laptop farms, maar ondersteunen wel het bredere thema: security wordt robuuster wanneer je toegang, identiteit en detectie in samenhang bekijkt.
Conclusie
Laptop farms zijn een effectieve methode om remote werk te faciliteren via gestalde bedrijfs-laptops, verhullingstechnieken en misleiding rond identiteit. De recente aanklacht en de waarschuwingen van FBI en CrowdStrike laten zien dat het probleem niet alleen technisch is, maar ook organisatorisch: onboarding, verificatie, device provisioning en monitoring moeten samen werken.
Wie ‘identity in depth’ praktisch toepast—met gelaagde controles en doorlopende verificatie—maakt het voor fraudeurs aanzienlijk lastiger om zwakke signalen te benutten. Tegelijk blijft de boodschap van CrowdStrike overeind: verstoringen kunnen helpen, maar echte veerkracht vraagt om detectie die kan meebewegen met nieuwe tegenmaatregelen.
Bron: https://www.securityweek.com/us-arrests-two-in-crackdown-on-north-korean-it-worker-laptop-farms/
