Utilice este título se infiltraron en una red de trabajadores norcoreanos, los grabaron y lo mostraron en DEF CON 34 y cree en base a ese titulo original un titulo nuevo, preciso, comprensible y que no pierda relacion con el titulo original. Necesito que me devuelvas solo y nada mas que el titulo nuevo.
Tu tarea es utilizar
Durante los últimos años, la República Popular Democrática de Corea aplica una campaña que se conoce como “falsa entrevista de trabajo”: miembros del régimen se hacen pasar por candidatos a puestos laborales para infiltrarse en empresas occidentales y extraer información o activos. Este sábado, un colombiano y un argentino expusieron en vivo cómo son estas entrevistas en la edición 34 de DEF CON, la conferencia de ciberseguridad más grande de la comunidad del hacking en el mundo occidental que se realiza todos los años en Las Vegas.
Hay casos documentados: en 2024, KnowBe4, una empresa estadounidense dedicada a capacitaciones en ciberseguridad, contrató sin saber a un ingeniero remoto que en realidad era una identidad operada por un trabajador norcoreano. En 2025, el exchange de criptomonedas Kraken detectó inconsistencias durante el proceso de entrevistas y en vez de suspender la contratación, siguió adelante para estudiar las técnicas norcoreanas.
Quizás, el caso con más resonancia fue el de 300 compañías de Estados Unidos contrataron sin saberlo a trabajadores extranjeros vinculados con Corea del Norte. La operación utilizaba identidades estadounidenses robadas y una “granja” de más de 90 computadoras, como se le dice a un conjunto de equipos instalados en un mismo lugar y controlados de manera remota, en Arizona.
En la presentación titulada ¡Sonreí, te estamos filmando! Streaming desde una granja de laptops de trabajadores de Norcorea, los hackers Mauro Eldritch y Heiner García contaron cómo lograron grabar estas entrevistas de trabajo de un actor de amenazas conocido como Famous Chollima (CrowdStrike).
Luego de su charla, ambos hablaron con Clarín.
Una granja falsa para observarlos desde adentro
Eldritch, argentino, lidera Quetzal Team, el equipo de investigación de amenazas de Bitso, una compañía de servicios financieros y criptomonedas con presencia en América Latina. García, colombiano, es fundador de NorthScan, una organización dedicada a la investigación y la inteligencia de amenazas.
Para investigar la campaña, los especialistas se hicieron pasar por “facilitadores”, es decir, personas dispuestas a ayudar a los trabajadores norcoreanos a conseguir empleos y operar desde otros países, y atravesaron todo su proceso de reclutamiento.
Una vez que fueron aceptados, construyeron una granja de computadoras falsa y les entregaron entornos controlados. Los trabajadores creían que estaban ingresando de manera remota a equipos legítimos para realizar su actividad laboral.
Todo quedó grabado a partir de las “tácticas, técnicas y procedimientos” de los presuntos potenciales empleados y, a partir de lo que se conoce como indicadores de compromiso, registrado en un escrito técnico en una plataforma llamada any.run. El artículo completo se publicó este lunes.
En esta nueva etapa de la investigación, García y Eldritch no se limitaron a hacerse pasar por facilitadores: crearon una startup ficticia que supuestamente prestaba servicios a “ballenas” de criptomonedas, como se le dice a quienes poseen grandes fortunas en activos digitales, un tipo de cliente atractivo para los operadores.
Presentándose como los empleadores, contrataron a uno de ellos y le pidieron que incorporara a amigos cercanos bajo un esquema basado en la confianza. Así lograron reunir y observar a un grupo de cuatro agentes norcoreanos.
García, bajo la cinematográfica identidad falsa de “Andy”, se hizo pasar además por un jefe de equipo cómplice, que tenía una relación personal con el supuesto CEO y podía garantizar las contrataciones. Los trabajadores creyeron desde el comienzo que habían encontrado una empresa vulnerable y dispuesta a confiar en ellos. En realidad, cada una de sus sesiones estaba siendo monitoreada.
Los investigadores podían observar y grabar todo lo que hacían: cómo configuraban las computadoras, qué sistemas utilizaban para verificar su identidad, cómo instalaban las conexiones VPN para ocultar su ubicación y de qué manera trabajaban durante el día.
Al mismo tiempo, aplicaron técnicas de inteligencia de fuentes abiertas (conocidas como OSINT) y tareas de reconocimiento dirigidas para reconstruir la infraestructura que sostenía la operación. Según explicaron, encontraron redes de compañías e identidades falsas, intermediarios ubicados en distintos países, movimientos financieros y hasta maniobras relacionadas con visas laborales estadounidenses.
“Primero, observamos varios indicadores cruzados que se solapan con la primera etapa que presentamos en una conferencia suiza (InsomniHack): misma forma de reclutamiento, mismas huellas de lenguaje y actividad en GitHub, Telegram y otras redes sociales profesionales”, explicó Eldritch a este medio luego de la charla.
“Pudimos también cotejar esta actividad con el tipo de documentación personal adulterada que comparten, que suele tener indicios de modificación altamente específicos. Además, encontramos actividad de red que también se condice con el conjunto de herramientas de Famous Chollima: AstrillVPN, proveedores de servidores virtuales específicos e incluso, mediante un fallo de seguridad operativa, logramos rastrear un rango de direcciones IP de Europa del Este perteneciente a una compañía que les provee planes de internet y servicios de relocalización desde Corea del Norte”, complementó García.
Es decir, los investigadores fueron reuniendo distintas huellas que, por separado, podían parecer circunstanciales, pero que al superponerse apuntaban a una misma operación: la forma de buscar trabajadores, el lenguaje utilizado, las cuentas y perfiles en distintas plataformas, los documentos falsificados y las herramientas empleadas para ocultar desde dónde se conectaban. Una falla cometida por los propios operadores les permitió además seguir parte de ese rastro hasta infraestructura utilizada para conectarse desde Corea del Norte.
Famous Chollima es el nombre con el que la empresa de ciberseguridad CrowdStrike identifica a un grupo de amenazas vinculado con Corea del Norte y activo, al menos, desde 2018. Su especialidad es conseguir empleos remotos mediante identidades y antecedentes falsos para generar ingresos que luego son desviados hacia el régimen.
Además de este fraude laboral, sus operadores pueden instalar malware (software malicioso) y aprovechar el acceso legítimo obtenido como empleados para robar información o comprometer los sistemas de las compañías que los contratan.
Eldritch y García ataron los cabos: el procedimiento para contratarse, la forma de comunicarse, los documentos adulterados, las herramientas utilizadas para ocultar la conexión y la infraestructura de internet coincidían con operaciones anteriormente atribuidas a Famous Chollima.
Una apuesta de largo plazo
Una vez adentro de una empresa, el propósito inmediato de estos trabajadores suele ser cobrar sueldos en moneda extranjera y enviar parte de ese dinero al régimen. Pero los investigadores advierten que reducir el problema a una estafa laboral sería subestimar el riesgo: hay, detrás, un esquema de espionaje patrocinado por un Estado.
“A diferencia del malware, que es un quick win, un resultado rápido y ruidoso, esto es un caso de espionaje: es una apuesta a largo plazo. Normalmente se prioriza obtener salarios, porque eso garantiza que el agente continúe en actividad y logre afianzarse en la organización. Esto le permite, con el tiempo, asegurarse mejores posiciones, con mejor acceso a información privilegiada, y a su vez la posibilidad de contratar en el futuro a sus propios amigos o confidentes, una situación que nosotros propiciamos en este trabajo”, explicó García a este medio.
Este último punto fue central en la investigación. Los especialistas crearon deliberadamente las condiciones para que uno de los trabajadores pudiera recomendar o incorporar a otras personas de confianza. De esa manera observaron cómo la operación podía extenderse dentro de una misma organización, en lugar de depender de un único empleado infiltrado.
“La mayoría de las organizaciones tiene esquemas donde, para implementar cambios, se requiere un número de aprobaciones, por ejemplo, para desplegar código o hacer modificaciones de infraestructura. Los agentes saben que cuanto más tiempo puedan permanecer ‘haciendo buena letra’ y bajo el radar, mayores son las chances de tener eventualmente su propio voto”, explicó García.
“Además, a largo plazo, pueden conseguir que ingresen más agentes hasta tener el poder de aprobación necesario para implementar cambios que les permitan dar golpes mayores, ya sea accediendo a mejor información o introduciendo lógicas maliciosas”, completó.
Así, el salario no es necesariamente el objetivo final, sino también una forma de sostener la presencia del trabajador dentro de la compañía. Cuanto más tiempo permanece contratado, más confianza acumula, más sistemas conoce y mayores pueden ser sus permisos.
El peligro crece si logra incorporar a otros integrantes de la operación. En un equipo de desarrollo, por ejemplo, varias cuentas controladas por el mismo grupo podrían participar de la revisión y aprobación de cambios informáticos que una sola persona no estaría autorizada a realizar.
Identidades robadas y “programadores fantasma”
La primera recomendación de los especialistas para las empresas es no limitar la verificación de antecedentes a los documentos y contactos entregados por el propio candidato.
“Los candidatos de la República Popular Democrática de Corea suelen robar currículums e identidades enteras de desarrolladores reales, pero luego su experiencia o su historial no se condicen con esos perfiles”, explicó Eldritch.
“Una buena verificación de antecedentes tiene que contemplar llamar a las compañías donde la persona dice haber trabajado, no solamente a las referencias listadas, que suelen ser otros agentes. También se deben requerir etapas presenciales y recurrentes de KYC (verificación de identidad), no hacerlas una única vez”, agregó.
Según el hacker, los documentos también deberían cotejarse mediante servicios que consulten registros oficiales. En algunos casos, los papeles fueron modificados a partir de una identidad verdadera, en otros, la persona consignada directamente no existe. Pero ni siquiera una entrevista en video garantiza que quien aparece frente a la cámara sea la persona que finalmente realizará el trabajo.
“Hay que entender que muchas veces no se está lidiando directamente con el agente, sino con un facilitador: una persona real que presta su cara, su identidad y su conexión a internet para obtener el empleo y luego cederlo a un agente que hace las veces de ingeniero fantasma de fondo”, explicó Eldritch.
El facilitador puede participar de las entrevistas, recibir la computadora enviada por la empresa o superar una comprobación presencial. Después, el trabajador ubicado en otro país se conecta remotamente y utiliza el equipo como si estuviera físicamente delante de él.
Por eso, la investigación también pone el foco en qué ocurre después de la contratación, que muchas veces terminan en estas granjas de laptops.
“El envío de equipos informáticos debe estar sujeto a una política de tecnología sumamente estricta, con restricciones de geolocalización para trabajar, rastreo permanente e incluso bloqueo de periféricos”, recomendó Eldritch.
Según los investigadores, la campaña no depende solamente de trabajadores norcoreanos que envían currículums falsos, sino que funciona como un modelo de fraude transnacional en el que intervienen identidades robadas, empresas ficticias, infraestructura para esconder las conexiones y facilitadores locales que reciben equipos o se presentan ante los empleadores.
La diferencia de su trabajo, sostuvieron, fue poder registrar ese mecanismo desde adentro. Mientras los operadores creían estar utilizando una granja de computadoras legítima para avanzar con su actividad, García y Eldritch observaban y grababan cada paso.
“Sonreí, te estamos grabando” fue una demostración en vivo de cómo funcionan estos esquemas, algo que se habla de manera recurrente en el mundo de la ciberseguridad, pero pocas veces queda tan claramente documentado.
En DEF CON, el aporte latinoamericano se sintió fuerte este 2026.
, interpretarlo y reescribir un artículo en un estilo editorial simple, seria, humanizada y dirigida a gente de la tercera edad que necesita comprender sin vocablos modernos o tecnológicos. Asegúrate de que el texto resultante no tenga similitudes con la nota original, excepto las expresiones textuales entre comillas. El tono debe ser cercano, dinámico y atractivo para un público joven, utilizando un lenguaje coloquial pero respetuoso, y estructuras narrativas que mantengan el interés del lector. Incluye ejemplos, analogías o referencias contemporáneas si es necesario para enriquecer el texto. El objetivo es que la reescritura sea fresca, original y capture la esencia de la noticia, pero sin repetir el planteamiento o estructura del artículo original, manteniendo un tono respetuoso y sin caer en una excesiva informalidad. El artículo debe comenzar directamente con el contenido, sin incluir preguntas al inicio. Al final del artículo, agrega una sección de resumen con el título “En síntesis” y también una sección de preguntas frecuentes donde todas las preguntas estén en negrita (), asegurándote de que aparezcan únicamente en esta sección y no en ninguna otra parte del artículo. Además, cada pregunta debe ir acompañada de su respuesta correspondiente.
Crédito de la fuente original: www.clarin.com
