Durante años, la República Popular Democrática de Corea ha llevado a cabo una estrategia llamada «falsa entrevista de trabajo», en la que agentes del régimen se hacen pasar por candidatos para infiltrarse en empresas occidentales. Este fenómeno fue puesto de relieve por los hackers Mauro Eldritch y Heiner García en la conferencia DEF CON 34, un evento destacado en el ámbito de ciberseguridad que se celebró en Las Vegas.
La presentación, titulada «¡Sonreí, te estamos filmando! Streaming desde una granja de laptops de trabajadores de Norcorea», reveló cómo lograron grabar estas entrevistas de trabajo de un actor de amenazas conocido como Famous Chollima, una agrupación vinculada a Corea del Norte.
Existen múltiples casos documentados que evidencian esta problemática. Por ejemplo, en 2024, la empresa estadounidense KnowBe4 contrató a un ingeniero remoto que resultó ser un trabajador norcoreano. Asimismo, el exchange de criptomonedas Kraken identificó irregularidades en su proceso de entrevistas, optando por continuar la contratación para estudiar las tácticas norcoreanas.
Uno de los incidentes más destacados implicó a 300 empresas estadounidenses que inadvertidamente contrataron a trabajadores extranjeros asociados con el régimen norcoreano. La operación utilizaba identidades estadounidenses robadas y contaba con una granja de computadoras en Arizona, lo que facilitaba la ejecución de estas tácticas.
Eldritch, que lidera el Quetzal Team, y García, fundador de NorthScan, se hicieron pasar por facilitadores para ayudar a los norcoreanos a conseguir empleo. Durante esta fase, construyeron una granja de computadoras falsa y proporcionaron entornos controlados, grabando el proceso de reclutamiento y las técnicas de los potenciales empleados.
En una segunda etapa, crearon una startup ficticia que supuestamente ofrecía servicios a grandes inversores de criptomonedas, facilitando la incorporación de varios agentes norcoreanos bajo un esquema de confianza. Esto les permitió observar cómo configuraban computadoras, verificaban identidades y utilizaban VPN para ocultar su ubicación.
Los investigadores aplicaron técnicas de inteligencia de fuentes abiertas (OSINT) para reconstruir la infraestructura que sostenía la operación, descubriendo una red de empresas e identidades falsas, así como maniobras relacionadas con visas laborales estadounidenses.
Los hallazgos revelaron coincidencias en los métodos de reclutamiento, el lenguaje utilizado y la actividad en plataformas como GitHub y Telegram. Eldritch destacó que estos indicios, considerados en conjunto, evidencian una única operación de infiltración.
Famous Chollima ha estado activo desde al menos 2018 y se especializa en obtener empleos remotos bajo identidades falsas, con el fin de desviar ingresos hacia el régimen norcoreano. Además del fraude laboral, sus operadores pueden instalar malware y comprometer sistemas.
Los investigadores concluyeron que el procedimiento de contratación y las herramientas utilizadas coinciden con operaciones atribuibles a Famous Chollima. Aunque el objetivo inmediato de estos trabajadores es cobrar salarios en divisas extranjeras para enviar al régimen, la complejidad de la operación va más allá de una simple estafa.
Fuente: Pdn
