La firma de ciberseguridad Huntress ha detectado al menos cinco trabajadores norcoreanos que lograron ser contratados en diferentes compañías durante este año, empleando métodos que la propia empresa calificó de «realmente sorprendentes». Estos individuos, vinculados al grupo famoso Chollima, solicitaron empleos en áreas de tecnologías de la información, ventas y salud a través de canales convencionales de reclutamiento, completaron los procesos habituales de incorporación y en varios casos hasta realizaron sus funciones con normalidad, enviando sus salarios de vuelta al régimen norcoreano.
Estos hallazgos surgen en un contexto de alarmante incremento de hackers norcoreanos que se infiltran en empresas de Estados Unidos y Europa, consolidando una campaña sistemática para obtener información sensible. A principios de agosto, la compañía Recorded Future reveló que el grupo conocido como PurpleDelta había creado al menos 22 identidades falsas para postularse a numerosos empleos vía plataformas de reclutamiento como LinkedIn y Upwork. Este grupo solicitaba hasta 60 puestos diariamente, logrando acceder a datos altamente valiosos, como propiedad intelectual, código fuente y comunicaciones internas, que luego utilizaban para favorecer los objetivos estatales de Corea del Norte.
Huntress explicó que existen ciertas señales que pueden indicar que un nuevo contratado es un criminal cibernético encubierto. Entre las principales alertas figuran el uso conjunto de VPNs, dispositivos PiKVM y Guermok, además de servicios web y extensiones de navegador diseñados para redirigir o grabar pantallas, audio y video. 
Detectados en plena acción
Los investigadores observaron varios indicios sospechosos, como el caso de dos supuestos nuevos trabajadores cuyas identificaciones fueron emitidas en la misma comisaría de policía con un día de diferencia, y con fotografías digitalizadas con apenas ocho minutos de diferencia en el mismo iPhone. En otra situación, se descubrió a un empleado que estaba utilizando en secreto un dispositivo remoto KVM basado en Raspberry Pi para controlar un portátil corporativo desde miles de kilómetros, incluso antes de que se instalara el software de seguridad de la empresa.
En otro ejemplo ocurrido en febrero, Huntress recibió el aviso de una empresa australiana que sospechaba que tres empleados norcoreanos simulaban ser chinos. La investigación confirmó que documentos almacenados en OneDrive de dos trabajadores seguían una convención común de nomenclatura, además de que sus pasaportes provenían del mismo lugar y fecha aproximada. También se detectaron notables semejanzas en facturas de electricidad y tarjetas de identidad residencial, y que los dos, presuntamente, vivían en la misma calle.
Un estudio de la infraestructura usada por estos perfiles —incluyendo direcciones IP, sistemas autónomos (ASN) y patrones geográficos de conexión— reveló que las cuentas se autenticaban desde varias IPs relacionadas con nodos de Astrill VPN. Además, utilizaban IPRoyal Proxy, un proveedor comercial legítimo de servicios de proxy, y WorkTitans B.V., una empresa de alojamiento ‘bulletproof’ que aparentemente fue objeto de una redada por el Servicio Fiscal y de Investigación de los Países Bajos (FIOD).
Necesidad de verificaciones de identidad más rigurosas
Según Huntress, el aumento de trabajadores falsos con el objetivo de infiltrarse en sectores tecnológicos obliga a las empresas a implementar controles de identidad mucho más estrictos. “La mitigación del riesgo que suponen empleados fraudulentos debe iniciarse en la etapa de entrevistas y continuar con rigurosas investigaciones del historial de los candidatos antes de su incorporación,” aconsejan desde Huntress.
“En caso de duda, realizar comprobaciones estándar del historial, buscar información en línea sobre el individuo y verificar cualquier experiencia laboral previa son pasos esenciales para detectar a empleados norcoreanos tratando de infiltrarse desde etapas tempranas en el proceso de selección.”
La amenaza que representa la contratación de empleados falsos vinculados a regímenes hostiles pone en evidencia la necesidad urgente de reforzar las medidas de seguridad y los protocolos de verificación en empresas de todo el mundo, especialmente en sectores sensibles como el tecnológico y sanitario.
