La República Popular Democrática de Corea ha desarrollado una táctica conocida como «falsa entrevista de trabajo». A través de esta estrategia, miembros del régimen se presentan como candidatos a empleos en empresas occidentales con el fin de obtener información valiosa o activos. En la reciente edición 34 de DEF CON, la más importante conferencia de ciberseguridad del mundo hacker, un colombiano y un argentino expusieron en vivo este fenómeno.
En los últimos años, se han documentado múltiples casos de esta práctica. Por ejemplo, en 2024, la empresa estadounidense KnowBe4, dedicada a la capacitación en ciberseguridad, contrató inadvertidamente a un ingeniero remoto que era, en realidad, un trabajador norcoreano. Un año después, el exchange de criptomonedas Kraken también detectó irregularidades en sus procesos de selección, optando por continuar las contrataciones para analizar las técnicas utilizadas por los norcoreanos.
Uno de los incidentes más notables involucró a 300 compañías estadounidenses que, sin darse cuenta, emplearon a trabajadores relacionados con Corea del Norte. Esta operación se sustentaba en identidades robadas y una granja de más de 90 computadoras controladas desde Arizona.
Presentación Impactante en DEF CON
Bajo el título «¡Sonreí, te estamos filmando! Streaming desde una granja de laptops de trabajadores de Norcorea», los hackers Mauro Eldritch y Heiner García revelaron cómo lograron grabar las entrevistas de trabajo de un actor de amenazas conocido como Famous Chollima, según la compañía de ciberseguridad CrowdStrike.
Eldritch, líder de Quetzal Team en Bitso, y García, fundador de NorthScan, se hicieron pasar por «facilitadores» que ayudaban a los trabajadores norcoreanos a conseguir empleo. A través de un proceso de reclutamiento simulado, construyeron una granja de computadoras falsa, proporcionando entornos controlados para que los trabajadores creyeran que estaban laborando en equipos legítimos.
Detección y Análisis de Técnicas
Durante su investigación, los hackers pudieron observar y grabar acciones de los trabajadores, incluyendo la configuración de computadoras y la instalación de conexiones VPN para ocultar su ubicación. También aplicaron técnicas de inteligencia de fuentes abiertas (OSINT) para reconstruir la infraestructura que sostenía estas operaciones fraudulentas, descubriendo redes de compañías e identidades falsas en varios países.
“Primero, observamos varios indicadores que coinciden con la primera etapa presentada en una conferencia suiza. Esto incluye el mismo método de reclutamiento y huellas de lenguaje”, explicó Eldritch. Por su parte, García destacó que encontraron actividad de red compatible con las herramientas utilizadas por Famous Chollima, lo que les permitió rastrear direcciones IP de Europa del Este conectadas a la operación.
Implicaciones de la Infiltración
El grupo Famous Chollima ha estado activo desde al menos 2018, y su especialidad radica en conseguir trabajos remotos bajo identidades falsas. Esto les permite desviar ingresos hacia el régimen norcoreano, al tiempo que pueden instalar malware para robar información o comprometer sistemas ajenos. Eldritch y García confirmaron que las prácticas de contratación y las herramientas utilizadas se alinean con las que se han atribuido a este grupo de amenazas.
Los investigadores advierten que, aunque muchos de estos trabajadores buscan cobrar sueldos en moneda extranjera, la situación es más compleja y no se puede reducir a una simple estafa laboral.
Fuente: Pdn
