La República Popular Democrática de Corea ha implementado un método de infiltración conocido como «falsa entrevista de trabajo», donde agentes del régimen se hacen pasar por candidatos para obtener información y recursos de empresas occidentales. Durante la reciente DEF CON 34, conferencia de ciberseguridad de renombre mundial, dos investigadores expusieron cómo funcionan estas tácticas.
Los expositores, Mauro Eldritch y Heiner García, presentaron su investigación en vivo, revelando que el objetivo de su trabajo era demostrar cómo operan los empleados norcoreanos en empresas ajenas. En su ponencia titulada «¡Sonreí, te estamos filmando! Streaming desde una granja de laptops de trabajadores de Norcorea», compartieron detalles sobre su experiencia al infiltrarse en este entorno.
Documentos recientes indican que, en 2024, la empresa KnowBe4 contrató inadvertidamente a un ingeniero cuya identidad en realidad pertenecía a un trabajador norcoreano. Similarmente, el exchange de criptomonedas Kraken también se encontró con inconsistencias durante el proceso de contratación, lo que llevó a la empresa a continuar con el análisis de las técnicas usadas por estos agentes.
Uno de los casos más destacados involucró a 300 compañías estadounidenses que, sin saberlo, habían incorporado a trabajadores vinculados con Corea del Norte. Esta operación utilizaba identidades robadas y una «granja» de más de 90 computadoras, administradas desde Arizona, para llevar a cabo sus actividades.
Eldritch, líder de Quetzal Team, y García, fundador de NorthScan, se hicieron pasar por facilitadores en el proceso de reclutamiento. Crearon una infraestructura falsa que permitía a los trabajadores creer que estaban operando de manera legítima, mientras que sus acciones eran monitoreadas y grabadas.
La presentación también incluyó la creación de una startup ficticia que atraía a estos agentes norcoreanos, quienes pensaban que estaban ingresando a una empresa confiable. Durante este proceso, los investigadores lograron observar cómo los trabajadores configuraban sus computadoras y utilizaban herramientas para ocultar su ubicación.
Además, emplearon técnicas de inteligencia de fuentes abiertas (OSINT) para rastrear la red de operaciones, descubriendo identidades falsas y flujos de dinero vinculados a visas laborales. Eldritch mencionó que habían encontrado conexiones entre la actividad de estos trabajadores y documentos falsificados.
Famous Chollima, como es conocido el grupo de amenazas vinculado a Corea del Norte, ha estado activo desde 2018, y su especialidad radica en obtener empleos remotos para desviar ingresos hacia el régimen. Los investigadores concluyeron que las tácticas de contratación, así como los documentos y herramientas usadas, son consistentes con las operaciones de este grupo.
La exposición en DEF CON 34 no solo arroja luz sobre las estrategias de infiltración, sino que también destaca la complejidad de la ciberseguridad en un mundo donde las amenazas pueden venir de las formas más insospechadas.
Fuente: Pdn
