Kuzey Koreli IT Çalışanları: ABD'de Laptop Çiftliği Operasyonu, 187 Cihaza El Konuldu

Selam arkadaşlar,

Uzaktan çalışma yaygınlaştıkça "çalışanınız gerçekten iddia ettiği kişi mi?" sorusu bir İK sorusu olmaktan çıkıp güvenlik sorusuna dönüştü. ABD Adalet Bakanlığı (DOJ), 13 Ekim 2026'da Kuzey Kore'nin uzaktan IT çalışanı planlarına karşı koordineli bir operasyonun sonuçlarını açıkladı: 14 kişiye suçlama, iki tutuklama, Teksas'ta 40'tan fazla adreste arama ve yaklaşık 187 bilgisayar cihazına el koyma. Operasyonun adı "Operation Lonestar Roundup".

Konuda Anlatılacaklar

1. Kuzey Kore'nin uzaktan IT çalışanı planı nedir?
   
2. "Laptop çiftliği" ne demek?
   
3. Ohio iddianamesi: 70'ten fazla şirket, 3 milyon dolar
   
4. Operation Lonestar Roundup: Teksas'taki aramalar
   
5. Cihazları çiftliğe yönlendirme yöntemleri
   
6. Şirketler için tespit ve önleme önerileri
   
7. Kaynaklar
   

Plan Nedir?

DOJ'un açıklamasına göre Kuzey Koreli IT çalışanları, çalınmış ya da sahte kimlik belgeleri, VPN ve proxy altyapısı kullanarak ABD'li şirketlerde uzaktan pozisyonlara başvuruyor ve işe alınıyor. Amaç, kendilerini ABD'de yaşayan ve çalışan kişiler gibi göstermek. Kazanılan maaşlar, yaptırım altındaki Kuzey Kore rejimine aktarılıyor.

DOJ Ulusal Güvenlik Bölümü'nden Başsavcı Yardımcısı John A. Eisenberg'e göre rejim bu gelirleri, ABD'yi ya da müttefiklerini hedef alabilecek silahların geliştirilmesi dahil çeşitli yasa dışı amaçlar için kullanıyor. DOJ'un açıklamasında, daha önceki uyarılarda bu çalışanların veri çaldığı ve şantaj yaptığı vakalara da değiniliyor.

BleepingComputer'a göre bu faaliyetin arkasındaki grup CrowdStrike tarafından Famous Chollima (diğer adıyla WageMole) olarak izleniyor ve sadece maaş geliri değil, bazı durumlarda işverenin ağına sızarak hassas veri çalma, zararlı yazılım yerleştirme ya da kripto para elde etme girişimleriyle de biliniyor.

"Laptop Çiftliği" Ne Demek?

Plan, ABD'deki yardımcılar (facilitator) olmadan işlemiyor. DOJ'a göre bu kişiler, mağdur şirketlerin yeni "çalışanlarına" gönderdiği dizüstü bilgisayarları kendi evlerinde teslim alıyor, kuruyor, üzerlerine uzaktan erişim yazılımı yüklüyor ve kazançları Kuzey Kore kontrolündeki hesaplara aktarıyor. Bu evlere laptop çiftliği deniyor.

Şirketin bakış açısından durum tamamen normal görünüyor: Laptop ABD'deki bir ev adresinde, ABD IP adresinden bağlanıyor. Ama klavyenin başındaki kişi binlerce kilometre uzakta, uzaktan erişim aracıyla bu cihazı kullanıyor. Aramalarda el konulan cihazlar arasında dizüstü bilgisayarların yanında KVM (klavye, video, fare) cihazlarının da bulunması, bu çiftliklerin sadece cihaz deposu değil, uzaktan kullanım için kurulmuş düzenekler olduğunu gösteriyor.



Ohio İddianamesi: 70'ten Fazla Şirket, 3 Milyon Dolar

DOJ'a göre Ohio Kuzey Bölgesi Savcılığı, iki ABD vatandaşının tutuklandığını duyurdu: Pennsylvania'dan Michael James Bostelle ve Teksas'tan Juan Cecilio Pena Carrillo. Suçlamalar dört maddelik bir iddianamede elektronik dolandırıcılık (wire fraud), kara para aklama ve kimlik hırsızlığı.

İddianameye göre:

• Plan 2019'dan Temmuz 2025 civarına kadar sürdü.
  
• 70'ten fazla ABD'li işvereni etkiledi.
  
• IT çalışanlarına yaklaşık 3 milyon dolar gelir sağladı; bu gelirin yaptırım altındaki Kuzey Kore kontrolündeki kuruluşlara gönderildiği değerlendiriliyor.
  
• Mağdurlar arasında sağlık, iletişim, siber destek, perakende ve üretim sektörlerinden şirketler var; Ohio dahil 17 eyalette ve Washington D.C.'de.
  

İddianame ayrıca Çin merkezli 10 kişiyi de suçluyor; iki sanığın kimliği gizli tutuluyor. Böylece toplam suçlanan kişi sayısı 14'e ulaşıyor. DOJ'un hatırlattığı gibi bunlar şu aşamada iddia; sanıklar suçları kanıtlanana kadar masum kabul ediliyor.

Operation Lonestar Roundup

DOJ'a göre FBI, 21-25 Eylül tarihleri arasında Teksas'ta laptop çiftliği olduğu bilinen ya da şüphelenilen 40'tan fazla konutta arama ve diğer işlemleri gerçekleştirdi. Operasyonun tamamında yaklaşık 187 dizüstü bilgisayar ve KVM cihazına el konuldu. Operasyonu Teksas Kuzey Bölgesi Savcılığı, FBI Dallas Saha Ofisi ve FBI Siber Bölümü yürüttü.

FBI Siber Bölümü'nden Brett Leatherman, operasyonda özel sektörle yakın koordinasyonun merkezi bir rol oynadığını vurguladı. BleepingComputer'a göre CrowdStrike bu tür operasyonların etkisinin sınırlı kalabileceğini kabul ediyor, ama Lonestar Roundup'ı Famous Chollima'nın ABD'deki altyapısını çökertmeye yönelik daha geniş bir çabanın başlangıcı olarak görüyor.

Cihazlar Çiftliğe Nasıl Yönlendiriliyor?

Savunma açısından en faydalı kısım burası. BleepingComputer'ın aktardığına göre CrowdStrike, Kuzey Koreli çalışanların şirket laptoplarını kimlik belgesindeki adres yerine çiftliğe ulaştırmak için şu yöntemleri kullandığını tespit etti:

• Sahte hırsızlık bildirimiyle yedek cihazın çiftlik adresine gönderilmesini sağlamak
  
• Son varış noktasını gizlemek için farklı ev adresleri arasında dönüşümlü kullanım
  
• Son dakika taşınma bahanesiyle sevkiyatı yolda başka adrese yönlendirmek
  
• Bazen sahip oldukları IT personel tedarik rollerini kötüye kullanarak sevkiyatları gizlice yönlendirmek
  

CrowdStrike'a göre kamuoyunda artan farkındalık, bu operatörleri cihaz tanımlayıcılarını taklit etmeye ve hatta aynı tanımlayıcıları farklı mağdur kuruluşlarda yeniden kullanmaya itmiş. DOJ ise FBI'ın yeni kamu duyurusuna (PSA) atıfla Kuzey Koreli çalışanların artık daha fazla ABD'li yardımcı işe aldığını, bu kişilere daha geniş görevler verdiğini ve bazı durumlarda işlerin tamamını üçüncü ülke vatandaşlarına taşere ettiğini belirtiyor.

DOJ'un Paylaştığı Göstergeler

DOJ, soruşturmada tespit edilen bazı sahte e-posta hesaplarını paylaştı ve işverenleri bunları kendi tespit göstergelerine eklemeye çağırdı. İK ve güvenlik ekipleri başvuru ve işe alım kayıtlarında bu adresleri arayabilir:

Örneğin İK sisteminizden dışa aktarılmış bir başvuru listesinde arama yapmak için (dosya adını kendi ortamınıza göre değiştirin):



Şirketler İçin Tespit ve Önleme Önerileri

Kaynaklardaki bilgilerden ve genel iyi uygulamalardan derlediğim öneriler:

İşe alım aşamasında:

• Kimlik doğrulamayı güçlendirin; mümkünse en az bir görüşmeyi canlı ve kamerası açık yapın.
  
• Kimlik belgesindeki adres ile cihaz teslimat adresi arasındaki farkları sorgulayın.
  
• Referansları kendi bulduğunuz iletişim kanallarından teyit edin.
  

Cihaz sevkiyatında:

• Son dakika adres değişikliklerini ve "kayboldu/çalındı" bildirimiyle gelen yedek cihaz taleplerini ek onaya bağlayın; CrowdStrike'ın listelediği yöntemlerin çoğu tam bu noktayı hedefliyor.
  
• IT personel tedarik firmalarıyla çalışıyorsanız sevkiyat süreçlerini de denetleyin.
  

Uç nokta ve ağ tarafında:

• Şirket cihazlarında onaylanmamış uzaktan erişim yazılımlarını tespit edip engelleyin.
  
• Kullanıcının bağlandığı konumu, saat dilimini ve çalışma desenini, beyan ettiği konumla karşılaştırın.
  
• Aynı cihaz tanımlayıcısının farklı kullanıcılar ya da kuruluşlarla ilişkili görünmesi gibi anomalilere dikkat edin.
  

Windows uç noktalarda kurulu programları listeleyip yaygın uzaktan erişim araçlarını aramak için basit bir örnek (PowerShell, yönetici olarak):
Bu araçların varlığı tek başına kötü niyet göstermez; ama şirket politikanızda onaylı değilse incelenmeli.

FBI'ın 13 Ekim'de yayımladığı yeni kamu duyurusu, tespit için ayrıntılı rehberlik içeriyor; ABD dışındaki şirketlerin de göz atmasında fayda var. Bu plan ABD'ye özgü değil: BleepingComputer'ın belirttiği gibi bu operatörler dünya genelinde şirketlerde teknoloji işleri arıyor.

Türkiye'den yurt dışına freelance ya da uzaktan çalışan çok arkadaşımız var; işverenler tarafındaki bu sıkılaşma meşru uzaktan çalışanları da etkileyecek gibi. Sizin şirketiniz uzaktan işe alımda kimlik doğrulamayı nasıl yapıyor? Yorumlarda konuşalım.

Kaynaklar

• U.S. Department of Justice - Justice Department Announces Coordinated Actions to Combat North Korean Remote IT Worker Schemes Affecting More than 70 U.S. Companies (13 Ekim 2026): https://www.justice.gov/opa/pr/justice-d...-it-worker
  
• BleepingComputer - FBI raids DPRK IT worker laptop farms in Texas, US nationals arrested (14 Ekim 2026): https://www.bleepingcomputer.com/news/se...-arrested/
  
• SecurityWeek - US Arrests Two in Crackdown on North Korean IT Worker Laptop Farms (14 Ekim 2026): https://www.securityweek.com/us-arrests-...top-farms/
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).