一家美國國防承包商招了個程序員，干了三年才發(fā)現(xiàn)對方人在平壤。這不是諜戰(zhàn)片開場，是司法部剛結(jié)案的卷宗細節(jié)。

42歲的Kejia "Tony" Wang和39歲的Zhenxing "Danny" Wang本周被判刑，合計200個月。罪名是幫朝鮮IT工人偽造身份，滲透進100多家美國公司——其中不少是財富500強。

這案子最荒誕的部分在于：它完全依賴美國遠程辦公的基礎設施。公司主動寄電腦、開VPN賬號、按月打工資，騙子們只需要解決"人在哪里"這個信息缺口。

一張圖看懂：朝鮮碼農(nóng)的"美國上班"全鏈條

整個騙局可以拆解成四個環(huán)節(jié)，每個環(huán)節(jié)都精準利用了美國科技公司的管理漏洞。

【環(huán)節(jié)一：身份殼】

Tony Wang的核心工作是偷身份。法庭文件顯示，他至少搞到了80個美國公民的完整資料——社保號、地址、信用記錄。這些身份被分配給朝鮮程序員，用于通過背景調(diào)查。

美國公司招遠程員工時，背調(diào)通常外包給第三方。騙子們發(fā)現(xiàn)：只要身份資料齊全，系統(tǒng)不會驗證"申請人是否真的是這個人"。

更諷刺的是，部分受害者本身就是做身份驗證業(yè)務的。一家被滲透的國防承包商，主營業(yè)務包括網(wǎng)絡安全。

【環(huán)節(jié)二：設備農(nóng)場】

公司錄用"新員工"后，會寄送工作電腦。這些電腦被寄到Danny Wang等人運營的"laptop farm"——字面意義上的筆記本農(nóng)場。

一個農(nóng)場同時運轉(zhuǎn)數(shù)十臺設備，朝鮮程序員通過遠程桌面連接。IP地址顯示在美國某處，考勤系統(tǒng)記錄正常登錄，代碼提交時間分布合理。

法庭文件提到，僅這個團伙就操作了數(shù)百臺筆記本。 facilitators（ facilitators， facilitators，Tony Wang管著至少五個）的工作就是保持設備在線、處理硬件故障、應對偶爾的IT支持請求。

有個細節(jié)：當公司要求視頻開會時，facilitators會找替身出鏡，或者借口"攝像頭壞了"。多數(shù)公司遠程管理松散，這種借口能混過去。

【環(huán)節(jié)三：資金洗白】

Tony Wang在美國注冊了多家空殼公司，名義提供軟件開發(fā)服務。美國公司把工資打進這些賬戶，再被拆分成多筆轉(zhuǎn)賬流向海外。

三年間，這個網(wǎng)絡為朝鮮創(chuàng)造了500萬美元收入。Tony Wang和他的五個手下分到約70萬美元——司法部最終追繳了60萬，其中40萬已到賬。

對比很刺眼：朝鮮程序員實際到手的比例極低，大部分被平壤抽走。但對個體而言，這仍是制裁背景下罕見的美元收入來源。

【環(huán)節(jié)四：成本轉(zhuǎn)嫁】

騙局暴露后，受害公司的損失不止被騙的工資。司法部統(tǒng)計，100多家公司合計承擔了300萬美元額外成本——律師費、網(wǎng)絡取證、系統(tǒng)重建。

一家國防承包商的情況更麻煩：朝鮮程序員接觸過內(nèi)部代碼庫，安全審查必須假設"最壞情況"。這種隱性成本難以量化，但遠高于賬面損失。

遠程辦公的信任悖論

這案子2021年啟動，2024年收網(wǎng)，正好覆蓋美國科技業(yè)大規(guī)模遠程辦公的周期。疫情讓"不見面入職"成為常態(tài)，騙子們順勢完成了壓力測試。

他們的成功揭示了一個設計缺陷：遠程辦公系統(tǒng)驗證的是"設備在哪里"，而非"人是誰"。

當公司把筆記本寄到某個美國地址，看到美國IP登錄，默認信任鏈就建立了。背景調(diào)查驗證的是靜態(tài)數(shù)據(jù)（社保號、學歷），而非動態(tài)行為（打字節(jié)奏、代碼風格、視頻互動質(zhì)量）。

更深層的問題是成本結(jié)構(gòu)。100多家公司中招，說明個案金額小到不足以觸發(fā)警覺。單個朝鮮程序員的年薪可能8-12萬美元，在硅谷屬于中等偏下水平，不會進入高管復核流程。

直到某次安全審計、或者某個facilitator操作失誤，才會暴露。

朝鮮IT外包的產(chǎn)業(yè)化

美國官方反復強調(diào)：這類騙局的主要受益者是朝鮮政權(quán)。但卷宗細節(jié)顯示，運作方式已經(jīng)高度專業(yè)化。

朝鮮程序員不是隨機接單，而是被編入特定團隊。有人專攻前端，有人做后端，有人負責應付技術(shù)面試——面試也由facilitators安排的替身完成，或者提前錄音合成。

他們的產(chǎn)出質(zhì)量參差不齊。部分公司反饋"代碼還行"，另一些發(fā)現(xiàn)嚴重延期后選擇終止合同，但沒聯(lián)想到欺詐。

這種"低質(zhì)量混過去"的策略，本身是一種篩選：管理松散的公司會留用，嚴格的公司會自然淘汰，騙子無需額外成本。

Tony Wang的角色類似項目經(jīng)理，協(xié)調(diào)身份、設備、資金三條線。他的五個facilitators可能是獨立承包商，按接入設備數(shù)量或成功入職人數(shù)提成。

這種模式的可復制性令人擔憂。一個Tony Wang落網(wǎng)，不代表基礎設施消失。身份黑市、設備農(nóng)場、跨境支付通道都是模塊化組件。

企業(yè)端的防御盲區(qū)

受害公司的共同特征是什么？司法部沒公布完整名單，但從描述看，它們都具備三個條件：接受遠程入職、IT自主權(quán)限較高、背調(diào)外包且不復核。

國防承包商中招尤其值得注意。這類企業(yè)通常有安全許可要求，但許可審查針對的是"員工是否可信"，而非"員工是否真實存在"。

當騙子用真美國人的身份資料申請，審查系統(tǒng)看到的是清白記錄。生物識別環(huán)節(jié)的缺失——比如入職視頻驗證、實時動態(tài)檢測——成為關鍵突破口。

部分公司已經(jīng)開始修補。更嚴格的設備指紋追蹤、異常登錄行為分析、代碼提交模式比對，都被納入風控工具箱。

但這些措施增加摩擦。遠程辦公的核心賣點是"降低招聘地理限制"，過度驗證會抵消這一優(yōu)勢。企業(yè)需要在安全和效率之間重新找平衡點。

制裁與現(xiàn)實的裂縫

從朝鮮視角看，這是制裁體系下的理性選擇。IT服務不依賴實物出口，不需要穿越海上封鎖線，利潤率高且難以追蹤。

聯(lián)合國專家小組此前估計，朝鮮海外IT工人年收入總額可能達數(shù)億美元。本次案件的500萬美元只是冰山一角，且屬于運作相對粗糙、最終被查獲的部分。

更隱蔽的網(wǎng)絡可能從未暴露。它們使用更復雜的身份洗白、更分散的設備節(jié)點、更間接的資金路徑。

對個體程序員而言，參與這類計劃風險極高——不僅是法律風險，還包括朝鮮國內(nèi)的政治風險。但制裁擠壓下的經(jīng)濟壓力，讓這種冒險具備吸引力。

美國司法部的回應是加重刑罰。200個月刑期（約16.7年）針對的是組織者而非終端程序員，意在提高供應鏈成本。

但刑期威懾對跨國網(wǎng)絡效果有限。Tony Wang和Danny Wang是美國公民，容易被抓捕起訴。facilitators鏈條上的其他環(huán)節(jié)——身份販子、設備農(nóng)場運營者、海外資金接收方——很多位于司法管轄盲區(qū)。

技術(shù)中立性的邊界

這案子最尷尬的啟示或許是：遠程辦公技術(shù)本身沒有善惡，但它的設計假設（員工可信、身份可驗證、地理可追蹤）正在被系統(tǒng)性利用。

當科技公司推銷"全球人才無邊界"時，很少討論驗證成本該由誰承擔。背景調(diào)查公司按單收費，沒有動力提高檢測深度；企業(yè)HR追求招聘效率，不愿增加入職 friction；政府監(jiān)管滯后于技術(shù)濫用形態(tài)。

結(jié)果是，一個利用美國基礎設施為朝鮮創(chuàng)匯的網(wǎng)絡，運轉(zhuǎn)了三年才被發(fā)現(xiàn)。期間它完美融入了合法的遠程經(jīng)濟生態(tài)，甚至部分"員工"的代碼質(zhì)量通過了同行評審。

現(xiàn)在，100多家公司正在重新檢查它們的遠程員工名單。問題是：如果騙局可以做得更精細——更自然的視頻替身、更匹配身份背景的代碼風格、更分散的設備節(jié)點——現(xiàn)有檢測手段還能抓住什么？