Una investigación conjunta de IBM X-Force y Flare Research ha descubierto una sofisticada operación norcoreana que utiliza empresas falsas, identidades fabricadas y canales de contratación remota para infiltrar trabajadores de TI en empresas occidentales. Los hallazgos se suman a años de advertencias por parte de agencias estadounidenses —incluidas el FBI, el Departamento de Estado y el Departamento del Tesoro, que han emitido múltiples advertencias conjuntas desde 2022 alertando a las empresas de que trabajadores de TI norcoreanos se hacen pasar por desarrolladores independientes para generar ingresos para el régimen sancionado.

Según los investigadores, la red más amplia podría involucrar a hasta 100.000 trabajadores de TI norcoreanos desplegados en aproximadamente 40 países, generando un estimado de 500 millones de dólares anuales para el régimen norcoreano. La operación estructurada depende de reclutadores, facilitadores y colaboradores occidentales que trabajan en coordinación para colocar trabajadores en empresas legítimas.

Cómo operaba la falsa startup

El elemento central del proceso de reclutamiento era una supuesta empresa en modo sigilo llamada C Digital LLC. Los reclutadores informaron a los candidatos que la startup se encontraba en sus etapas iniciales con una presencia pública mínima. Sin embargo, los candidatos no estaban siendo contratados para desarrollar un producto tecnológico genuino. En cambio, los reclutadores los instruían para que aplicaran a puestos en empresas occidentales consolidadas, frecuentemente utilizando identidades con sede en Estados Unidos.

Las grabaciones de entrevistas revisadas por los investigadores, según se informa, capturaron momentos de confusión entre los candidatos cuando los reclutadores les indicaban que adoptaran nombres de sonido más estadounidense. Algunos candidatos parecían genuinamente desprevenidos sobre cualquier conexión con Corea del Norte, lo que sugiere que ciertos trabajadores podrían haber creído que participaban en un arreglo de reclutamiento poco convencional en lugar de una red de fraude dirigida por el Estado.

Implicaciones para el sector de las criptomonedas

El esquema tiene una importancia particular para las empresas de criptomonedas y blockchain, que de forma rutinaria dependen de desarrolladores remotos, contratistas independientes y plataformas globales de trabajo freelance. Operativos norcoreanos han infiltrado previamente proyectos de blockchain y criptomonedas utilizando identidades robadas o fabricadas. El motivo de ingresos es especialmente crítico para Pyongyang, que enfrenta estrictas sanciones internacionales que limitan su acceso al sistema financiero global, lo que hace que las criptomonedas y los salarios obtenidos ilícitamente sean canales particularmente valiosos para el régimen.

Una vez infiltrados, los trabajadores pueden percibir salarios legítimos mientras obtienen simultáneamente acceso a código fuente propietario, sistemas internos y datos corporativos sensibles. Las autoridades estadounidenses han vinculado por separado direcciones de criptomonedas a individuos que facilitan el fraude de trabajadores de TI norcoreanos, y los fiscales federales han presentado casos penales contra facilitadores acusados de ayudar a trabajadores de la RPDC a obtener empleos remotos en empresas estadounidenses.

Para las startups cripto, la investigación pone de relieve un panorama de amenazas en evolución. Una intrusión sofisticada puede ya no originarse con malware o una billetera comprometida: puede comenzar con una solicitud de empleo ordinaria. Las advertencias del gobierno de Estados Unidos han recomendado una diligencia debida reforzada para la contratación remota, incluyendo verificación por video en vivo, escrutinio de los historiales laborales y vigilancia ante señales de alerta como trabajadores que solicitan enrutar su actividad a través de dispositivos de terceros o servicios proxy.