美國司法部與聯邦調查局於二零二六年十月十三日公布「Operation Lonestar Roundup」等協調行動，搗破北韓政權關聯的遠端資訊科技詐聘網絡；CrowdStrike 同步以「FAMOUS CHOLLIMA」命名該對手並說明技戰法。行動於德州搜查逾四十處已知或疑似「筆電農場」，全案檢獲約一百八十七部筆記型電腦與 KVM 裝置，起訴文件指詐騙波及逾七十家美國企業、為海外 IT 人員帶來約三百萬美元收益。來源真實性已核對司法部新聞稿與 CrowdStrike 官方網誌。

對香港與亞洲企業而言，重點不在單一國家敘事，而在遠端招聘、外判與裝置寄送流程是否可被偽造身分與境內協助者繞過；任何開放遠端工程師或經中介入職的機構，都應把筆電寄送地址、視訊核身與遠端管理工具納入日常資安管控。

司法部／CrowdStrike：搗破北韓關聯「FAMOUS CHOLLIMA」遠端IT詐聘——德州逾四十處筆電農場、檢獲約一百八十七部裝置；波及逾七十家美企、涉款約三百萬美元

美國司法部（Department of Justice）二零二六年十月十三日發布新聞稿，宣布針對朝鮮民主主義人民共和國（北韓）政府透過遠端資訊科技（IT）工作為政權籌資的一系列協調行動，包括起訴、兩名美國籍被告被捕，以及在德州執行代號「Operation Lonestar Roundup」的搜查。聯邦調查局（FBI）於九月二十一日至二十五日期間，在德州逾四十處已知或疑似作為「筆電農場」（laptop farms）的住宅採取行動；整次行動合共檢獲約一百八十七部筆記型電腦與 KVM（鍵盤、視訊、滑鼠）裝置。同日，CrowdStrike 發布網誌，指其 Counter Adversary Operations 團隊於九月下旬與 FBI 合作，協助搗破由北韓關聯對手「FAMOUS CHOLLIMA」在美國境內維運的多處筆電農場。本文已核對司法部官方新聞稿與 CrowdStrike 官方網誌之公開陳述，並改寫重點，避免複製全文。

一、核心事件：詐聘、筆電農場與政權收益

技術細節與公開數字

據司法部，俄亥俄北區聯邦檢察官辦公室起訴文件指，自二零一九年至約二零二五年七月，北韓 IT 人員以盜竊或偽造身分文件，配合虛擬私人網絡（VPN）與代理基礎設施，偽裝成在美國境內工作的美國人，申請並取得美國企業的遠端 IT 職位。他們依賴美國境內「協助者」（facilitators）在住宅接收、托管多部由受害企業發出的公司筆電——即所謂筆電農場——配置裝置、安裝遠端存取軟件，並把薪酬轉往北韓控制的帳戶。

同一起訴框架下，美國籍被告 Michael James Bostelle（賓夕法尼亞）與 Juan Cecilio Pena Carrillo（德州）被捕；起訴亦指控多名據報身在中國的共同被告。司法部指整案波及逾七十家美國僱主，為 IT 人員帶來約三百萬美元收益，並相信收益流向受制裁、由北韓控制的實體。受害企業涵蓋醫療、通訊、網絡支援、零售與製造業等，地理範圍包括俄亥俄、另外十六個州及哥倫比亞特區。

FBI 網絡犯罪部門助理局長 Brett Leatherman 在新聞稿引述中指，當局對十四人提出控罪、完成兩宗逮捕、檢獲近一百九十部裝置，並在德州逾四十處疑似筆電農場採取行動。CrowdStrike 則把該組北韓 IT 人員及其協助者稱為「Famous Chollima／FAMOUS CHOLLIMA」，並指筆電農場使對手得以偽裝成合法遠端員工、把非法薪酬輸送回政權，同時維持對受害機構的持續存取。

二、技戰法深度解析：為何「境內足跡」難破

CrowdStrike 指，FAMOUS CHOLLIMA 必須先取得僱主發放的筆電；因以欺詐或盜竊身分受僱，難以直接把裝置寄到境外基地，故在入職流程中用多種欺騙手法，把硬件導向筆電農場地址。公開描述包括：偽報筆電失竊以觸發補發並改寄農場、輪換住宅地址以遮蓋最終目的地、聲稱臨時搬遷以中途改道，以及透過 IT 人才中介入職，使終端客戶裝置在中介不知情下被轉送。

裝置到達農場後，協助者會安裝硬件與軟件組合以啟用遠端操控。CrowdStrike OverWatch 觀察到對手試圖隱藏遠端監控與管理（RMM）工具的使用；自二零二六年五月起，更出現偽造裝置雜湊（例如令視訊擷取卡看起來像網路攝影機）的手法，並在多個受害機構重用同一偽裝裝置識別，顯示對手正刻意迴避防守方追蹤的指標。農場內網絡基礎設施亦被發現在多個並行假身分之間共享識別碼，反映規模與協調程度。

CrowdStrike 解釋，筆電農場同時解決對手難以從海外輕易處理的三類問題：實體（收貨與配置）、金融（繞過地理位置與「認識你的客戶」控制）與法律（租用美國境內地址與身分足跡）。司法部亦警告，北韓遠端 IT 人員愈來愈轉向招募美國協助者，以對抗私營部門偵測與執法；部分情況甚至把整份工作再分包給第三方外籍人士。新聞稿並列出多個據稱用於相關活動的電郵帳戶，呼籲僱主納入指標清單。

四、日常應用場景

1. 開發者與技術團隊

對工程與資安團隊而言，重點是把「遠端入職」視為攻擊面：公司筆電寄送地址是否與身分證明住址一致、入職後是否立即出現 AnyDesk、Astrill VPN、OBS Studio、PiKVM 等 CrowdStrike 點名的遠端運算／串流工具、裝置硬體指紋是否異常，以及同一視訊擷取／網路攝影機識別是否跨專案重現。日誌與端點遙測應能區分「員工在美國住宅辦公」與「裝置被 KVM 農場托管、由境外操作」。

2. 企業與隱私敏感行業

司法部與 CrowdStrike 均指受害面橫跨醫療、金融、能源、航空航天、網絡安全、國防工程與政府科技等。對這些行業，詐聘不只是薪酬詐欺，更可能帶來持久網絡存取、資料外洩甚或勒索。招聘、外包與供應商管理應同步提高：背景調查、視訊核身與證件比對、禁止不相符的寄送地址，以及對中介轉介候選人做同等盡職審查。

3. 一般用戶

一般求職者與自由工作者亦可能成為身分盜用受害者。司法部指相關詐騙損害美國人的身分，並向多個政府機構提交虛假資料。公眾宜留意個人證件與線上求職帳戶是否被盜用，並對異常的「代收公司筆電」或「代管遠端工作」邀約保持警惕。

4. 香港與亞洲市場視角

香港企業廣泛使用跨境遠端工程、人才中介與雲端協作。即使本案以美國執法為主舞台，技戰法——偽造身分、VPN 偽裝地理位置、境內協助者托管公司裝置——同樣適用於任何以遠端方式交付源碼或生產存取的組織。亞洲僱主若以英語遠端招聘或經中介引入「美國／海外」工程師，應假設對手可能利用時差、視訊深偽與裝置農場繞過粗疏的核身流程，並把端點管控、零信任與遙測納入外判合約條款。

五、專業評價與潛在考量

優勢

• 司法部與 CrowdStrike 同日公開、數字相互可對照（七十多家企業、約一百八十七部裝置、逾四十處德州據點、約三百萬美元），可驗證性高。
• 把威脅從「抽象的國家駭客」落到可操作的招聘與裝置物流控制，對企業資安與人力資源都有即時參考價值。
• CrowdStrike 明確指出打擊效果可能局部且短暫，避免過度樂觀，有助讀者設定合理期望。

需要留意的地方

• 起訴與投訴書內容在判決前僅屬指控；被告在依法證明有罪前推定無罪。
• CrowdStrike 亦直言：單次搗毀農場對對手整體能力影響有限，對手幾乎肯定會繼續演變手法；指標（電郵、Persona）高度短暫，不能只靠靜態黑名單。
• 不應把所有遠端員工或特定族裔／國籍求職者污名化；防守應建基於流程與技術控制，而非籍貫標籤。

結語

「FAMOUS CHOLLIMA」筆電農場案顯示：當公司把生產環境放進可寄送的筆電，而招聘又依賴視訊與文件核身時，國家級對手可以用境內協助者租賃一層「合法美國足跡」，同時完成騙薪與滲透。對香港讀者，這是一堂關於遠端交付、外判與雲端邊界的逼真教材——核對寄送地址、硬體指紋與遠端工具，往往比事後追回薪酬更關鍵。

若企業需要把遠端團隊、雲端負載與端點防護一併加固，可參考 YSK Limited 的雲端遷移與網絡安全服務（刊明 99.99% SLA）：https://ysk.hk/services/cloud-security 。在自建監控或內網閘道場景，亦可評估開源面板 YSK Server v1.1.28（https://ysk.hk/products/ysk-server）與合約優先的全端支架 YSK Kit v1.5.0（https://ysk.hk/products/ysk-kit）；若要在可控環境跑本地模型輔助資安分流，可留意 YSK Omni v1.0.4（https://ysk.hk/products/ysk-omni）。查詢：WhatsApp +852 6160 4242／[email protected]。

參考來源

• U.S. Department of Justice, Office of Public Affairs, “Justice Department Announces Coordinated Actions to Combat North Korean Remote IT Worker Schemes Affecting More than 70 U.S. Companies,” 2026-10-13: https://www.justice.gov/opa/pr/justice-department-announces-coordinated-actions-combat-north-korean-remote-it-worker
• CrowdStrike, “U.S. Government Disrupts FAMOUS CHOLLIMA Operation with CrowdStrike Assistance,” 2026-10-13: https://www.crowdstrike.com/en-us/blog/fbi-disrupts-famous-chollima-operation-with-crowdstrike-assistance/