בין 21 ל-25 בספטמבר נכנסו סוכני FBI ליותר מ-40 בתים פרטיים בטקסס, ובכמעט כולם מצאו את אותה תמונה: ערימת מחשבים ניידים של חברות אמריקאיות, מחוברים לחשמל ולאינטרנט, ולידם מתגים שמאפשרים להקליד בהם ולראות את המסך שלהם מרחוק. העובדים שהמחשבים האלה הוקצו להם לא גרו בטקסס. הם לא גרו בארה"ב בכלל.

מה קרה

משרד המשפטים האמריקאי הודיע ביום שלישי על 14 נאשמים ועל תפיסת כ-187 מחשבים ניידים ואביזרי שליטה מרחוק. שניים מהנאשמים, אמריקאים, נעצרו, והיתר, לפי כתב האישום תושבי סין, נמצאים מחוץ להישג יד. ההאשמות הן מרמה, הלבנת כספים וגניבת זהות. הפרשה התנהלה לפי המסמכים מ-2019 ועד יולי 2025, נגעה בכ-70 חברות אמריקאיות ברחבי המדינה והכניסה כשלושה מיליון דולר.

המנגנון פשוט ממה שהוא נשמע. אנשים שיושבים בצפון קוריאה מתקבלים לעבודה בחברות טכנולוגיה מערביות בעזרת זהויות גנובות או מומצאות, עובדים מרחוק דרך VPN ותוכנות שליטה, ומעבירים חלק גדול מהשכר למשטר, שנמצא תחת סנקציות ולא יכול להעסיק אותם בגלוי. מה שחסר להם זה נוכחות אמריקאית אמיתית, וזה מה שהאמריקאים מכרו להם: הם אירחו בבית את המחשבים שהמעסיק שלח, התקינו עליהם תוכנת גישה מרחוק, פתחו חשבונות בנק והעבירו את הכסף הלאה, תמורת עמלה. למקומות האלה קוראים בתעשייה laptop farms, חוות לפטופים, ואת הקבוצה שמפעילה אותם מכנים Famous Chollima.

חברת האבטחה CrowdStrike, שעוקבת אחרי הקבוצה מאפריל 2025, מתארת גם איך המחשבים מגיעים לחווה ולא לכתובת שרשומה במסמכי הזהות: דיווחי גניבה כוזבים שמייצרים משלוח חלופי, החלפת כתובות מגורים כדי לטשטש את היעד הסופי, הודעה על מעבר דירה באמצע משלוח, ולפעמים עבודה דרך חברות השמה שמאפשרת להסיט ציוד של לקוח קצה בלי שחברת ההשמה תדע. CrowdStrike עצמה מעריכה שהפשיטה תאט את הפעילות רק באזורים שבהם נסגרו החוות.

למה זה חשוב לכם

אין בכתב האישום הזה חברה ישראלית, והחיבור לכאן הוא בתבנית ולא במקרה עצמו. התפקיד שהאמריקאים מילאו מגויס דרך הצעות שמגיעות גם לישראלים: תשלום נוח על אירוח ציוד בבית, קבלת חבילות בכתובת שלכם, או העברת כספים דרך חשבון הבנק הפרטי. בדרך כלל לא מספרים לכם מי בצד השני, וזה גם לא עוזר, כי מי שנעצר בטקסס לא פרץ לשום מערכת. הוא החזיק מחשבים בסלון והעביר כסף, ועל זה הוא מואשם בהלבנת כספים ובגניבת זהות. החברות שהועסקו בהן לא גילו את זה שנים, כך שגם מעסיק ישראלי שמגייס מפתחים מרחוק צריך להניח שבדיקת זהות על בסיס מסמכים שנשלחו במייל היא לא בדיקה.

מה עושים?

אם מישהו מציע לכם כסף על אירוח ציוד בבית, על קבלת מחשבים או חבילות בכתובת שלכם או על העברת כספים דרך החשבון שלכם, סרבו, גם אם הסיפור נשמע תקין ואפילו אם ההצעה הגיעה ממכר. זה בדיוק התפקיד שהוביל לכתב אישום פדרלי בטקסס.

בדקו הצעות עבודה שמגיעות אליכם מצד שלישי. חברה שמבקשת מכם לשמש כתובת למשלוחים, או שמשלמת לפני שעשיתם עבודה, היא לא מעסיק.

אם אתם מגייסים לעבודה מרחוק, השוו את הזהות שבמסמכים לשיחת וידאו חיה עם אותו אדם, ושימו לב לבקשה לשנות כתובת משלוח של ציוד מיד אחרי הקבלה לעבודה. זה הסימן המובהק בפרשה הזאת.

חשד להצעה כזאת, או לשימוש בזהות שלכם, מדווחים למוקד 119 של מערך הסייבר הלאומי.

מה שצפון קוריאה קנתה בטקסס זה לא מחשבים. זאת כתובת אמיתית ושם של אדם אמיתי, והם היו זמינים להשכרה.