Titelbild: Polizei Pjöngjang, Beispielbild, Pixabay
Das FBI hat mit Unterstützung des Cybersicherheitsunternehmens CrowdStrike eine weit verzweigte nordkoreanische Betrugsoperation zerschlagen, die unter dem Codenamen FAMOUS CHOLLIMA läuft und amerikanische Unternehmen systematisch infiltriert hat. Wie das US-Justizministerium am 13. Oktober 2026 mitteilte und wie internationale Medien von der New York Times über Reuters bis zur südkoreanischen Nachrichtenagentur Yonhap berichteten, durchsuchten Ermittler im Rahmen der „Operation Lonestar Roundup“ Ende September mehr als 40 Wohnungen in Texas und beschlagnahmten rund 187 Laptops sowie sogenannte KVM-Geräte. Zwei US-Bürger wurden festgenommen, insgesamt 14 Personen angeklagt.
Im Zentrum der Aktion standen sogenannte Laptop-Farms: US-amerikanische Helfer empfingen Firmencomputer, die eigentlich an die angeblichen Remote-Mitarbeiter gehen sollten, und richteten sie so ein, dass nordkoreanische IT-Arbeiter aus dem Ausland – häufig über China – die Geräte steuern konnten. Die Operative hatten sich mit gestohlenen oder gefälschten Identitäten, VPN-Verbindungen und Proxy-Infrastruktur als amerikanische Arbeitnehmer ausgegeben und so Stellen bei mehr als 70 Unternehmen in den Bereichen Gesundheitswesen, Kommunikation, Einzelhandel, Fertigung, Cybersicherheit, Luft- und Raumfahrt sowie Verteidigungstechnik ergattert. Die Löhne, die Schätzungen zufolge bei diesem konkreten Netzwerk etwa drei Millionen Dollar betrugen, flossen größtenteils an das nordkoreanische Regime und dienten der Finanzierung von Waffen- und Raketenprogrammen.
CrowdStrike, das einzige private Unternehmen, das aktiv an der Operation beteiligt war, hatte die Infrastruktur von FAMOUS CHOLLIMA über Monate hinweg analysiert. Die Counter-Adversary-Operations-Teams des Anbieters identifizierten zwischen April 2025 und Juni 2026 verdächtige Personas, technische Indikatoren und US-basierte Computer. In einem Blog-Beitrag beschrieb CrowdStrike, wie die Angreifer Arbeitgeber täuschten: Sie reichten gefälschte Diebstahlsanzeigen ein, um Ersatzgeräte an Farm-Adressen schicken zu lassen, gaben plötzliche Umzüge vor oder nutzten Personalvermittlungsfirmen, um die Hardware unbemerkt umzuleiten. Seit Mai 2026 beobachteten die Analysten zudem, dass die Gruppe Gerätekennungen spoofte, etwa indem sie Video-Capture-Karten als Webcams tarnte und dieselben Identifikatoren über mehrere Opferorganisationen hinweg wiederverwendete.
Internationale Berichterstattung unterstreicht die strategische Dimension. Die New York Times sprach von einer der bislang größten Maßnahmen gegen einen zentralen Einnahmekanal Nordkoreas, mit dem das Land internationale Sanktionen umgeht. Reuters berichtete detailliert über die Anklagen gegen die beiden Amerikaner Michael James Bostelle und Juan Cecilio Pena Carrillo sowie gegen zehn in China ansässige Mitangeklagte. Die australische IT-Nachrichtenplattform iTnews und die britische IT Pro betonten, dass die Störung zwar wichtig sei, FAMOUS CHOLLIMA aber voraussichtlich rasch neue Methoden entwickeln werde. Yonhap News Agency in Seoul stellte die Aktion in den Kontext der anhaltenden nordkoreanischen Bemühungen, Devisen für das Atom- und Raketenprogramm zu beschaffen.
US-Beamte und CrowdStrike sind sich einig, dass Laptop-Farms für die Gruppe essenziell bleiben, weil sie physische Präsenz, finanzielle Abwicklung und rechtliche Tarnung ermöglichen, die aus dem Ausland kaum zu bewerkstelligen wären. Die jüngste Razzia gilt daher als Auftakt einer breiteren Kampagne. Das FBI hat parallel eine öffentliche Warnung herausgegeben und Unternehmen aufgefordert, zusätzliche Indikatoren zu prüfen. Ob die Operation langfristig die Einnahmen des Regimes spürbar drosseln kann, bleibt abzuwarten – die Anpassungsfähigkeit von FAMOUS CHOLLIMA, so die übereinstimmende Einschätzung von Behörden und Sicherheitsfirmen, ist hoch.
