Red norcoreana usó identidades falsas y laptop farms para contratar remotos y desviar nóminas

Una campaña sostenida de fraude laboral vinculada a Corea del Norte ha evolucionado fuera del terreno tradicional del hacking: en lugar de explotar vulnerabilidades de red, los operadores han logrado acceso a empresas contratándolas como empleados remotos con identidades falsas o robadas. Investigaciones recientes de firmas de seguridad —citadas por fuentes privadas y por una alerta internacional de múltiples agencias— describen una red de personas y facilitadores que colocan trabajadores remotos en empresas de tecnología, salud, finanzas y sector público para cobrar salarios occidentales y canalizar esos fondos hacia el régimen de Pyongyang.

Qué ha ocurrido (hechos confirmados): distintos equipos de ciberseguridad privados han documentado casos concretos donde trabajadores que aparentaban ser candidatos legítimos conectaron desde VPNs y proxies, presentaron documentos de identidad creados o alterados y, una vez contratados, usaron hardware y software para mantener control remoto persistente sobre equipos ubicados en “granjas de portátiles”. Empresas como Huntress y Recorded Future han publicado análisis señalando el uso de servicios como Astrill VPN, IPRoyal Proxy, PiKVM/TinyPilot (KVM sobre IP), y servicios de intercambio de archivos para facilitar la suplantación. Además, hay sentencias y procesos judiciales públicos contra individuos que operaban laptop farms y que, según los fiscales, ayudaban a colocar trabajadores remotos para la campaña. Naciones y agencias de seguridad de varios países emitieron un llamado conjunto exhortando a reforzar controles de identidad y contratación.

Cómo funciona técnicamente (mecanismo operativo): la cadena típica combina ingeniería social, identidades sintéticas o usurpadas y elementos físicos. Los operadores crean o compran documentos y fotos (a veces generadas por IA), administran múltiples perfiles mediante navegadores separados y herramientas de multi-cuenta, y aplican masivamente a ofertas de empleo. Para ejecutar el trabajo “remoto” usan laptop farms: máquinas físicas que están en manos de facilitadores y a las que se conecta el operador mediante KVM sobre IP (ej. PiKVM) o software de control remoto. El uso de dispositivos como tarjetas de captura USB permite que la señal de vídeo de esas máquinas se presente como una webcam legítima en Zoom/Teams, evitando pruebas telemáticas de presencia. Los pagos de nómina se dirigen a cuentas o empresas interpuestas sancionadas o a facilitadores que blanquean fondos.

Quiénes se ven afectados y cómo (impacto real): empresas de todo tamaño —especialmente en tecnología, salud, biotecnología, servicios financieros y consultoría— son víctimas directas. El riesgo inmediato incluye robo de propiedad intelectual, acceso a sistemas internos y filtración de datos sensibles. Pero hay consecuencias legales y regulatorias significativas: pagar o emplear a personas vinculadas a Corea del Norte puede vulnerar sanciones internacionales y obligaciones de cumplimiento (por ejemplo listas de sanciones nacionales y de la ONU). También existe un riesgo reputacional alto y el coste operativo de remediación cuando se descubre una intrusión laboral de este tipo.

Qué está confirmado vs estimaciones e incertidumbres: está confirmado por múltiples reportes la existencia de una red que coloca trabajadores remotos usando identidades fraudulentas y que emplea PiKVM y proxies para ocultar la ubicación real. También son hechos públicos varias condenas penales contra operadores de laptop farms. Estimaciones —citadas por firmas de inteligencia— sobre montos transferidos (por ejemplo cerca de 1.97 millones de dólares en un periodo concreto) y el grado exacto en que los fondos apoyan programas de armamento son declaraciones basadas en análisis de flujos y sanciones y, por tanto, representan inferencias plausibles pero sujetas a verificación contable completa. Por último, algunos enlaces directos entre operadores y órganos estatales norcoreanos pueden depender de indicadores circunstanciales (patrones de herramientas, infraestructuras y rutas financieras) y, aunque la atribución es sostenida por varias empresas y gobiernos, siempre existe un margen de incertidumbre en la cadena de atribución técnica y financiera.

Desde el punto de vista técnico, hay varios elementos que elevan la probabilidad de fraude: uso repetido de los mismos VPNs/proxies en múltiples perfiles, similitudes en documentos presentados, facturas de residencia con errores lingüísticos o formatos extraños, y la presencia en dispositivos corporativos de herramientas y periféricos atípicos (KVMs, tarjetas de captura). En al menos un caso documentado, el “empleado” sustituyó la foto de la persona real en una identidad existente por la suya para pasar onboarding, y en otros casos operadores usaron IA para producir respuestas en entrevistas técnicas.

Consecuencias prácticas para las organizaciones: además del robo de datos y del acceso no autorizado a sistemas, las empresas enfrentan riesgo regulatorio serio: pagar salarios a trabajadores vinculados a entidades sancionadas puede implicar violaciones a sanciones nacionales y de la ONU. También aumenta el riesgo de movimientos laterales dentro de la red corporativa y de campañas de espionaje industrial.

Medidas concretas y accionables que debe tomar el lector (empresas y responsables técnicos): en primer lugar, incorporar verificaciones de identidad robustas durante el proceso de contratación: exigir verificaciones presenciales para puestos críticos o verificaciones biométricas que se contrasten con fuentes oficiales, usar servicios de verificación de identidad que validen documentos frente a bases gubernamentales, y emplear búsquedas inversas de imágenes para detectar fotos generadas por IA o reutilizadas. No aceptar pagos ni que nóminas estén vinculadas a cuentas personales o a intermediarios sin exhaustiva diligencia; exigir cuentas corporativas verificadas para pagos y auditar cualquier facilitador externo.

Desde seguridad TI, prohibir o restringir el uso de hardware no autorizado: registrar y monitorizar todos los dispositivos USB y periféricos, comprobar la presencia de dispositivos de captura o KVM en endpoints, y desplegar soluciones EDR que detecten procesos o conexiones inusuales. Controlar estrictamente software de control remoto (AnyDesk, etc.), prohibir su instalación fuera de canales aprobados y requerir autenticación multifactor para acceso remoto. Revisar configuraciones de Workday u otros sistemas de RR. HH. expuestos públicamente y limitar la posibilidad de que un usuario cree o modifique información sensible sin doble verificación humana. Implantar revisión forense de dispositivos recién incorporados si hay indicadores de compromiso.

En materia de cumplimiento, mantener listas de control de sanciones actualizadas (UN, OFAC y equivalentes locales) y cruzar candidatos y facilitadores con esas listas antes de completar contrataciones o pagos. Consultar asesoría legal si se detecta cualquier posible vínculo con entidades sancionadas. Finalmente, integrar detección centrada en anomalías de contratación: alertas por uso excesivo de VPNs durante entrevistas, coincidencias de metadatos entre documentos, o patrones de aplicación masiva desde un mismo bloque de IPs.

Esta amenaza mezcla ingeniería social, fraude documental, hardware y servicios en la nube para crear entornos laborales aparentes que, en muchos casos, funcionan lo bastante bien como para pasar auditorías básicas. El primer control efectivo es precisamente el humano: reforzar la diligencia debida en la contratación, exigir trazabilidad de pagos y mantener inventarios técnicos cerrados. Para lecturas adicionales sobre sanciones y el contexto legal, puede consultarse la página de sanciones del Consejo de Seguridad de la ONU sobre Corea del Norte (https://www.un.org/securitycouncil/sanctions/1718) y el blog de la firma Huntress, que ha publicado análisis técnicos sobre el esquema (https://www.huntress.com/blog).