一句话总结： 朝鲜 IT 人员利用盗来的身份和 AI 换脸照片，被公司录用为远程员工。公司发的笔记本电脑会寄给一名同伙，由同伙让它在这份工作所在的地点保持在线：这就是"笔记本电脑农场"。亚利桑那州的一名女子 Christina Chapman 就在家里经营过一个：超过 90 台笔记本电脑被查扣，309 家美国企业受骗，这个骗局为她和朝鲜带来了超过 1700 万美元。她被判处 102 个月监禁。2026 年 9 月，FBI 搜查了得克萨斯州 40 多处住宅。应对办法：不止一次在镜头前见到候选人，并让对方手持证件，同时留意远程桌面工具。
面试
FBI："North Korean IT workers have been observed using artificial intelligence and face-swapping technology during video job interviews to obfuscate their true identities."（据观察，朝鲜 IT 人员在视频求职面试中使用人工智能和换脸技术来掩盖真实身份。）
身份本身是盗来的。微软威胁情报（Microsoft Threat Intelligence）："North Korean IT workers appear to conduct identity theft and then use AI tools like Faceswap to move their pictures over to the stolen employment and identity documents."（朝鲜 IT 人员似乎会先盗用身份，再用 Faceswap 之类的 AI 工具，把自己的照片移到盗来的工作证明和身份证件上。）
笔记本电脑被寄往美国民宅
还是微软："Once hired, the remote workers direct company laptops and hardware to be sent to the address of the accomplice. The accomplice then either runs a laptop farm that provides the laptops with an internet connection at the geo-location of the role or forwards the items internationally."（一旦被录用，这些远程员工会让公司把笔记本电脑和硬件寄到同伙的地址。随后，同伙要么经营一个笔记本电脑农场，让这些电脑在该职位所在的地理位置联网，要么把这些物品转寄到国外。）
亚利桑那州的一栋房子
其中一个案子是 Christina Chapman 的。根据美国司法部的新闻稿（由美国国税局刑事调查处 IRS-CI 发布）："Chapman operated a 'laptop farm' where she received and hosted computers from the U.S. companies at her home, deceiving the companies into believing that the work was being performed in the United States."（Chapman 经营着一个"笔记本电脑农场"，在家中接收并托管来自美国公司的电脑，让这些公司误以为工作是在美国境内完成的。）
规模："More than 90 laptops were seized from Chapman's home following the execution of a search warrant in October 2023."（2023 年 10 月执行搜查令后，从 Chapman 家中查扣了 90 多台笔记本电脑。）
309 家企业，1700 万美元
"The case involved one of the largest North Korean IT worker fraud schemes charged by the Department of Justice, with 68 identities stolen from victims in the United States and 309 U.S. businesses and two international businesses defrauded."（此案涉及美国司法部起诉过的规模最大的朝鲜 IT 人员诈骗案之一：从美国受害者那里盗取了 68 个身份，309 家美国企业和两家外国企业受骗。）
钱经过她的手："Chapman received and forged payroll checks in the names of the stolen identities used by the IT workers and received IT workers' wages through direct deposit from U.S. companies into her U.S. financial accounts."（Chapman 以 IT 人员所用的被盗身份的名义接收并伪造工资支票，还通过美国公司的直接存款，把 IT 人员的工资收进她在美国的金融账户。）
总计："The scheme generated more than $17 million in illicit revenue for Chapman and for the Democratic People's Republic of Korea (DPRK or North Korea)."（这个骗局为 Chapman 和朝鲜民主主义人民共和国（DPRK，即朝鲜）带来了超过 1700 万美元的非法收入。）
并不是每台笔记本电脑都留在她的架子上："Chapman also shipped 49 laptops and other devices supplied by U.S. companies to locations overseas, including multiple shipments to a city in China on the border with North Korea."（Chapman 还把美国公司提供的 49 台笔记本电脑和其他设备运往海外，其中有多批寄往中国一座与朝鲜接壤的城市。）
102 个月
"An Arizona woman was sentenced today to 102 months in prison for her role in a fraudulent scheme that assisted North Korean Information Technology (IT) workers posing as U.S. citizens and residents"（亚利桑那州一名女子今天被判处 102 个月监禁，原因是她在一项诈骗计划中的角色：这项计划协助冒充美国公民和居民的朝鲜信息技术（IT）人员）。
还在继续
2026 年 10 月 13 日，美国司法部通报："Between Sept. 21 and Sept. 25, the FBI conducted searches and other law enforcement action at over 40 residences in Texas known to be, or suspected of operating as, laptop farms."（9 月 21 日至 9 月 25 日，FBI 在得克萨斯州 40 多处已知或涉嫌作为笔记本电脑农场运作的住宅进行了搜查和其他执法行动。）
被发现后，他们就勒索
FBI："After being discovered on company networks, North Korean IT workers have extorted victims by holding stolen proprietary data and code hostage until the companies meet ransom demands."（在公司网络上被发现后，朝鲜 IT 人员会扣住窃取的专有数据和代码作为人质来勒索受害者，直到公司满足赎金要求。）
补救办法
- 不止一次在镜头前。 微软："Ensure the potential employee is seen on camera during multiple video telecommunication sessions."（确保在多次视频通话中都能在镜头前看到应聘者本人。）
- 把证件举到镜头前。 微软："During video verification, request individuals to physically hold driver's licenses, passports, or identity documents up to camera."（在视频验证时，要求对方亲手把驾照、护照或身份证件举到镜头前。）
- 留意远程桌面工具。 FBI："Monitor and investigate unusual network traffic, to include remote connections to devices or the installation/presence of prohibited remote desktop protocols or software."（监控并调查异常的网络流量，包括对设备的远程连接，或者被禁止的远程桌面协议或软件的安装和存在。）
给托管者的警告
2025 年 6 月，FBI 网络部门的 Brett Leatherman 说："Let the actions announced today serve as a warning: if you host laptop farms for the benefit of North Korean actors, law enforcement will be waiting for you."（让今天宣布的行动成为一个警告：如果你为朝鲜行为者托管笔记本电脑农场，执法部门会等着你。）
来源
- FBI，PSA 250123: North Korean IT Workers Conducting Data Extortion，2025 年 1 月 23 日
- Microsoft Threat Intelligence，Jasper Sleet: North Korean remote IT workers' evolving tactics to infiltrate organizations，2025 年 6 月 30 日
- IRS-CI（美国司法部新闻稿），Arizona woman sentenced for $17M information technology worker fraud scheme that generated revenue for North Korea，2025 年 7 月 24 日
- 美国司法部，打击朝鲜远程 IT 人员的全国协调行动，2025 年 6 月 30 日
- 美国司法部，涉及 70 多家美国公司的协调行动，2026 年 10 月 13 日
视频用代码制作动画，脚本在 AI 辅助下撰写；上面每个数字都对照来源核实过。示意部分：人脸和身份证件（并非真人）、画面故障的面试、那栋房子和里面的架子，以及远程桌面图标。本文讲的是风险和补救办法，不是这些人员如何连接。视频为英文。视频用 Shotloop 制作：我做的免费 Mac 应用，用代码做科普短视频，一个镜头一个镜头地改。