Falsos reclutadores norcoreanos infectan 30.000 equipos con pruebas técnicas
WaterPlum usa ofertas de empleo falsas para colar troyanos en las máquinas de los candidatos y robar credenciales, criptomonedas y documentos de identidad
Una campaña de reclutadores falsos vinculada a Corea del Norte ha infectado más de 30.000 dispositivos y ha robado más de 10 millones de dólares, según el aviso conjunto que agencias policiales y de ciberseguridad de Australia, Alemania, Japón y Estados Unidos actualizaron el jueves. El grupo, al que siguen bajo el nombre WaterPlum, también ha comprometido más de 7.000 carteras de criptomonedas. Los fondos acabaron financiando al régimen de Pyongyang.
El esquema es el reverso del fraude más conocido de Corea del Norte, el de colocar trabajadores de TI falsos dentro de empresas occidentales. Aquí son los propios atacantes los que se hacen pasar por reclutadores. Sus objetivos: diseñadores web, ingenieros y especialistas en criptomonedas y Web3. Todo empieza con una oferta de trabajo que nunca existió.
Un test de código que no era un test de código
En algún punto del supuesto proceso de selección, la víctima recibe un archivo con la excusa de una prueba técnica o un ejercicio de programación. Al abrirlo, se instala una puerta trasera en su equipo. A partir de ahí los operadores despliegan troyanos de acceso remoto (RAT) y ladrones de información, con los que mantienen acceso persistente a credenciales y datos sensibles mucho después de que la falsa entrevista haya terminado.
La parte incómoda para las empresas llega más tarde. Si el candidato acaba consiguiendo un empleo legítimo, esa máquina comprometida puede convertirse en la vía de entrada a los sistemas corporativos. WaterPlum usa el acceso para llevarse propiedad intelectual, credenciales, contenido del portapapeles, pulsaciones de teclas, datos de carteras de criptomonedas y documentos de identidad que después sirven para suplantar a las víctimas.
"Los documentos de identidad robados pueden ser usados por trabajadores norcoreanos de TI para suplantar a las víctimas y generar divisas", recoge el aviso. "Las credenciales robadas pueden aprovecharse para exfiltrar activos cripto, datos personales, secretos comerciales, etc., de los empleadores, clientes o contrapartes de las víctimas".
Las agencias atribuyen a estos métodos al menos 10,71 millones de dólares en robos, con los beneficios canalizados hacia Pyongyang.
El negocio paralelo mueve más. Se calcula que unos 100.000 trabajadores norcoreanos de TI están empleados o buscando trabajo en todo el mundo, algunos con la ayuda de granjas de portátiles que simulan que el remoto está en el país donde le contrataron. El fraude reporta al régimen de Kim Jong Un más de 500 millones de dólares al año.
Las señales de alarma son reconocibles: currículos con formación y experiencia difíciles de sostener en una entrevista, negativas repetidas a verse en persona, interrupciones raras en el vídeo, voces de fondo o peticiones de pago en criptomonedas. Algunos candidatos usan software de intercambio de cara por IA, que deja artefactos visibles en la llamada y les lleva a apagar la cámara a los pocos minutos.
Para quien sospeche que ha contratado a uno de estos trabajadores, el aviso es contundente: abrir una investigación forense completa y dar por hecho que las credenciales y otros datos sensibles ya están comprometidos. El proceso de selección se ha convertido en superficie de ataque, y no solo para quien contrata: cualquiera que ejecute una prueba técnica en su equipo personal está abriendo ese equipo a quien la envió.
