El pasado martes 14 de julio, la firma de ciberseguridad DTEX destapó un dato que cambia la lectura sobre Corea del Norte. El esquema mundial de falsos trabajadores de TI norcoreanos no solo nutre el programa de misiles de Pyongyang, sino que financia directamente la maquinaria bélica rusa en Ucrania. Le hablo de una trama que emplea identidades robadas, currículums inflados y VPN para infiltrarse en multinacionales tecnológicas, desviar salarios y hacer fluir el dinero hacia entidades sancionadas que suministran armas al Kremlin.
Anatomía del esquema: la fábrica de desarrolladores fantasma
El informe de DTEX, liderado por el investigador de amenazas estatales Michael Barnhart, desmenuza el oficio de esta falsa bandera corporativa. Los operativos norcoreanos —a menudo tutelados por el RGB, la inteligencia militar del régimen— consiguen empleos remotos en Estados Unidos, Europa y Asia. Utilizan documentos de ciudadanos reales de Corea del Sur, Japón o China, participan en entrevistas por videollamada con distorsión de imagen y cobran sus nóminas a través de testaferros y empresas pantalla.
El trabajo no es inocuo: el dinero recolectado asciende a millones de dólares mensuales, según los registros de un servidor de pagos norcoreano filtrado a principios de este año. Ese servidor, administrado por el alias «PC-1234», contenía 390 cuentas de estos trabajadores, registros de chat y transacciones que Barnhart pudo cruzar con las organizaciones receptoras. Entre diciembre de 2025 y febrero de 2026 se movieron al menos 1.97 millones de dólares directamente hacia Korea Ryonbong General Corp, un conglomerado de defensa sancionado por la ONU.
La arquitectura es de abajo arriba. Cada trabajador gana un salario bruto de mercado —a menudo entre 80.000 y 150.000 dólares anuales—, se queda con una miseria (unos pocos cientos de dólares para sus gastos operativos) y envía el grueso a un fondo común que el régimen distribuye entre programas armamentísticos, departamentos domésticos y, cada vez más, contratos con el complejo militar ruso. No es un sistema top-down. Es una pirámide de hormigas.
Lo escribí hace años en El quinto elemento: «El próximo 11S empezará con un clic». Aquel clic hoy es una solicitud de empleo falsa que acaba pagando los proyectiles de artillería que caen sobre Járkov.
De los salarios a las armas: el rastro del dinero hasta Rusia
La parte más reveladora del análisis de DTEX es la trazabilidad del flujo. Las transacciones no se detienen en Sobaeksu, Saenal o Songkwang —entidades ya sancionadas y señaladas por proliferación—, sino que alcanzan sin escalas a Korea Ryonbong General Corp, la principal ventanilla de adquisición de material bélico del régimen. En apenas tres meses de actividad, la cartera de «PC-1234» movió 2.84 millones de dólares hacia decenas de organizaciones norcoreanas, una cifra que probablemente subestima el total porque DTEX solo analizó parte del ecosistema.
La conexión con Rusia no es teórica. Los servicios de inteligencia occidentales han documentado la entrega de munición norcoreana desde 2023 y el envío de al menos 15.000 soldados en otoño de 2024, según el Council on Foreign Relations. Ahora, el esquema de TI añade un canal financiero paralelo. Como explica Barnhart: «no se trata solo de un fraude de nóminas. El dinero alimenta un sistema que sostiene entidades sancionadas, necesidades domésticas y un esfuerzo de guerra ruso que consume todas las facetas del apoyo armamentístico norcoreano».
El administrador «PC-1234» sigue activo. DTEX lleva meses siguiendo su clúster de actividad y asegura que la cartera permanece operativa. Cada nuevo trabajador reclutado —y hay decenas cada semana— engorda un sumidero que acaba en el Donbás. La escala del programa es tal que, según estimaciones de fuentes de inteligencia consultadas por Moncloa.com, la rama de TI norcoreana podría estar aportando entre 300 y 500 millones de dólares anuales al régimen, un porcentaje relevante de su PIB de defensa.
El esquema de trabajadores TI norcoreanos es la nueva cara del espionaje económico: el salario de un desarrollador remoto paga hoy el misil que mañana impacta en un hospital ucraniano.
Dossier Moncloa: Ojos en la Sombra
Resulta tentador leer este informe como un clásico caso de evasión de sanciones, pero la capa confidencial es otra. Estamos ante una operación de financiación encubierta que hibrida HUMINT de baja intensidad —infiltración laboral— con un entramado de SIGINT sobre plataformas de pago. Para el CNI, el foco no está solo en la transferencia a Rusia, sino en la posibilidad de que esos mismos canales se utilicen para introducir agentes en infraestructuras críticas españolas. La presencia de falsos trabajadores norcoreanos en Europa ya ha sido documentada por el MI5, y en España, el CCN-CERT monitoriza patrones de contratación remota sospechosos desde el sector financiero.
Me consta por fuentes de la Casa de Castelló que, desde hace un año, el CNI ha elevado a «alto» el riesgo de infiltración laboral en empresas del IBEX 35 con departamentos de ciberseguridad externalizados. El modus operandi norcoreano —curriculum inflado, verificación de identidad burlada, cobro a través de mulas en el sudeste asiático— encaja perfectamente con alertas internas que ahora se ven respaldadas por la investigación de DTEX. Estimaciones reservadas sitúan en más de un centenar las empresas españolas que podrían haber contratado involuntariamente a un operativo norcoreano en los últimos tres años.
Si usted necesita una lectura de oficio, se la adelanto: el vector de amenaza es una infiltración HUMINT de espectro completo, con componente cibernético y ramificaciones financieras que tocan al régimen de Putin. La agencia atacante es el RGB de Pyongyang, que utiliza el Ministerio de Seguridad del Estado norcoreano para gestionar la logística de falsificación; la agencia defensora —en sentido amplio— son todas las empresas y gobiernos que han sido víctimas de contratación fraudulenta, pero el señalamiento directo apunta al Pentágono y a los servicios de inteligencia aliados, que llevan años advirtiendo de este esquema. Como tercer actor, el Mossad y el MI6 observan el flujo con especial atención, pues Israel y Reino Unido han sufrido intentos similares. Para España, el nivel de clasificación estimado del material que manejan estos falsos desarrolladores —a juzgar por el acceso que logran a bases de datos corporativas sensibles— rondaría el «Secreto», no por la fuente, sino por lo que podrían exfiltrar.
El precedente histórico que mejor ilumina este culebrón es la Operación Fox Hunt que el FBI desplegó contra diplomáticos chinos en 2018: infiltración laboral para captar información de empresas tecnológicas. Pero Corea del Norte añade un elemento novedoso: la monetización directa de la brecha para alimentar un conflicto activo. Es una lección de tradecraft que los manuales de contrainteligencia no habían escrito hasta ahora.
Termino con una reflexión abierta. Si el próximo informe del ODNI confirma que al menos el 15% del arsenal ruso en Ucrania se paga con salarios de estos falsos empleados, la discusión cambiará de golpe. Ya no bastará con rastrear la IP del candidato: habrá que auditar cada contratación remota como si se tratara de un control de pasaporte. Y eso, en una economía tan digitalizada, es un desafío similar a blindar un aeropuerto con las puertas abiertas.
