Il contesto delle infiltrazioni nordcoreane nel lavoro remoto

Negli ultimi anni la pratica di assumere programmatori e specialisti IT in remoto è diventata una prassi consolidata nelle grandi aziende statunitensi. La possibilità di attingere a talenti senza vincoli geografici ha spinto molte imprese a cercare candidati con curriculum impeccabili e, talvolta, con un accento locale perfetto. Tuttavia, dietro alcuni di questi profili si nascondono agenti del regime di Pyongyang, il cui unico obiettivo è raccogliere divise e informazioni per il governo nordcoreano.

Questa attività di infiltrazione non è nuova: le autorità statunitensi ne sono al corrente da diversi anni, ma solo recentemente hanno iniziato a mettere in atto operazioni su larga scala per smantellare le strutture che consentono questi furti. Il caso più eclatante è l’“Operazione Lonestar Roundup”, condotta dal FBI e dal Dipartimento di Giustizia, che ha portato al sequestro di centinaia di laptop e dispositivi KVM.

Le “granjas” di laptop

Secondo il New York Times, nel solo mese di settembre il FBI ha registrato più di 40 abitazioni in Texas sospettate di ospitare le cosiddette “granjas di portatili”. In queste case, un unico host può conservare decine o centinaia di laptop, collegati a reti VPN che attribuiscono loro un’indirizzo IP texano. Questo “mini centro di dati” permette agli infiltrati di apparire come dipendenti locali, pur operando da remoto da Pyongyang.

Il rapporto del Dipartimento di Giustizia riporta che l’operazione ha portato al sequestro di 187 laptop e dispositivi KVM, tutti utilizzati da “impiegati” nordcoreani e dai loro collaboratori per percepire stipendi elevati da aziende americane ignare della frode.

Dimensione economica e legale delle frodi

Le indagini del Dipartimento di Giustizia hanno identificato 14 persone coinvolte in un complesso schema di infiltrazione: due cittadini statunitensi arrestati, dieci sospetti residenti in Cina e due individui con identità segrete. Tra il 2019 e luglio 2025, gli infiltrati si sono spacciati per dipendenti statunitensi, truffando più di 70 aziende per un totale di circa 3 milioni di dollari.

Il caso più noto è quello di Christina Chapman, condannata a otto anni e sei mesi di carcere per aver aiutato a infiltrare ingegneri nordcoreani in 309 aziende statunitensi, sottraendo oltre 17 milioni di dollari al regime di Pyongyang.

Nel 2024, Matthew Knoot è stato arrestato a Nashville per gestire una delle “granjas” di laptop. A giugno 2025 il Dipartimento di Giustizia aveva già registrato 29 granjas in 16 stati, dimostrando la portata nazionale dell’attività.

Il ruolo dell’intelligenza artificiale

Il rapporto sulle minacce di CrowdStrike 2025 indica che più di 320 aziende sono state vittime di questi schemi di frode d’identità, segnando un incremento del 220 % rispetto all’anno precedente. Gli operatori nordcoreani sfruttano l’intelligenza artificiale per creare curriculum falsi, superare interviste usando tecniche di faceswap che modificano aspetto, voce e lingua dei candidati.

Adam Meyers di CrowdStrike ha sottolineato che il numero medio di nuovi casi è di due al giorno nel mese più recente, evidenziando una crescita sia in frequenza che in complessità delle operazioni.

Rete di complici e modalità operative

Il FBI avverte che la rete di complici in Occidente sta crescendo. Agenti del governo nordcoreano contattano individui disposti a partecipare a colloqui, fornire campioni di urina o impronte digitali per superare i controlli di sicurezza aziendali. Questi “couch‑surfers” agiscono da facciata, presentandosi in videoconferenza o in sede per legittimare l’impiego dei veri infiltrati.

Secondo un rapporto del Dipartimento del Tesoro degli Stati Uniti, ogni informatico nordcoreano può guadagnare fino a 300 000 dollari all’anno**. Moltiplicato per l’intera rete, il flusso di denaro può raggiungere “diversi centinaia di milioni di dollari”, destinati al Ministero della Difesa di Pyongyang e ai programmi missilistici.

Brett Leatherman del FBI ha dichiarato: “Ogni lavoro infiltrato finanzia un programma di missili nucleari e balistici”. La stessa infrastruttura serve anche a gruppi di hacker a servizio del governo sudcoreano, creando una doppia minaccia: finanziamento di armi e attività di cybercrime.

Altri casi di frode finanziaria

Nel 2025 il FBI ha attribuito a Pyongyang il furto di 1,5 miliardi di dollari dalla piattaforma di criptovalute Bybit, dimostrando come le “granjas” possano fungere da punto di partenza per attacchi più ampi.

Le autorità statunitensi hanno quindi intensificato le operazioni di contrasto, collaborando con agenzie internazionali, fornendo linee guida alle imprese per verificare l’autenticità dei candidati e promuovendo l’uso di sistemi di autenticazione multi‑fattore.

Prospettive future e consigli per le aziende

Con l’aumento dell’uso dell’IA per generare identità sintetiche, le aziende devono adottare misure più rigorose:

    • Implementare verifiche biometriche avanzate, includendo riconoscimento facciale e analisi della voce.
    • Richiedere documentazione originale e controlli incrociati con database governativi.
    • Monitorare costantemente le attività di rete dei dipendenti remoti, soprattutto per anomalie di geolocalizzazione.
    • Formare il personale HR a riconoscere segnali di frodi digitali, come incongruenze nei curriculum o risposte troppo perfette.

In conclusione, l’Operazione Lonestar Roundup ha svelato l’enorme scala di un fenomeno che combina cyber‑crime, spionaggio e finanza illecita. Il continuo sviluppo di tecnologie IA rende più difficile distinguere i falsi dai veri professionisti, ma la cooperazione tra agenzie di sicurezza, aziende e esperti di cybersecurity rappresenta l’unica via per contenere questa minaccia globale.