Un grupo de hackers vinculado a Corea del Norte ha comprometido, a lo largo de al menos dos años, más de 1.600 organizaciones en 57 países, entre ellas el fabricante chino de smartphones OPPO y el exchange de criptomonedas Coinbase, según ha revelado el investigador de seguridad Vangelis Stykas en la conferencia Black Hat celebrada en Las Vegas. La campaña se apoyó en falsas ofertas de empleo para desarrolladores que escondían malware, con el objetivo prioritario de robar criptomonedas. Las intrusiones, algunas de ellas calificadas como “realmente dañinas” por el propio Stykas, habrían otorgado a los atacantes acceso a sistemas internos de cientos de empresas.
Claves de la operación
- Más de 1.600 entidades en 57 países resultaron afectadas. La cifra, obtenida tras casi dos años de seguimiento de la infraestructura del grupo, sitúa esta operación entre las de mayor escala documentadas. De ellas, entre 700 y 800 sufrieron intrusiones con acceso privilegiado a redes corporativas.
- Las falsas entrevistas de trabajo fueron el anzuelo. Los atacantes contactaban a desarrolladores con ofertas atractivas y les pedían completar pruebas de código que, en realidad, instalaban malware para robar credenciales y colarse en los sistemas. Microsoft ya había documentado esta técnica en su análisis de la campaña Contagious Interview.
- El botín principal es el cripto, pero el riesgo va más allá. Aunque los hackers priorizaron el acceso a monederos digitales y a infraestructura blockchain, la persistencia lograda en las empresas les habría permitido robar datos sensibles o lanzar ataques posteriores. Varios de los afectados no han respondido a las consultas sobre el alcance real del daño.
La nueva vía de entrada: ofertas de trabajo falsas con código malicioso
La técnica documentada por Stykas y expuesta en Black Hat es una evolución de lo que Microsoft ya había bautizado en 2023 como Contagious Interview. Las ofertas de empleo falsas se consolidan como un vector de ataque cada vez más rentable para los grupos patrocinados por Corea del Norte, especialmente dirigido a perfiles tecnológicos con acceso a repositorios de código o a sistemas de pago. Según los datos revelados por Stykas, el esquema consistía en atraer a los desarrolladores con propuestas de trabajo en remoto muy bien remuneradas y, durante el proceso de selección, pedirles que descargaran un proyecto de prueba infectado.
Una vez instalado, el malware sustraía las credenciales del desarrollador y proporcionaba acceso a las redes corporativas. “No buscaban muchos datos; iban directos al dinero digital”, explicó el investigador durante la conferencia. Sin embargo, el acceso permanente que consiguieron en cientos de organizaciones abre la puerta a futuras fases de espionaje o sabotaje.
OPPO y el daño reputacional: ¿qué implica para el gigante chino?
La inclusión de OPPO en la lista de víctimas confirmadas por Stykas añade un capítulo incómodo a la trayectoria del fabricante. La compañía, que compite con Xiaomi y Samsung por el dominio del mercado de gama media en Europa y América Latina, no ha emitido comentarios sobre el incidente. La ausencia de una respuesta oficial alimenta la incertidumbre entre analistas e inversores, que temen un posible impacto en la confianza de sus más de 400 millones de usuarios.
Stalwart refiere que OPPO se encuentra entre la docena escasa de entidades que, tras ser alertadas por él, corrigieron las brechas o al menos respondieron a sus avisos. No obstante, el simple hecho de figurar en un ataque de esta magnitud, asociado a un actor estatal norcoreano, puede afectar a la marca en un momento en el que la ciberseguridad se ha convertido en un factor de compra para el gran público.
El robo de criptomonedas era el objetivo inmediato, pero la persistencia en las redes corporativas concede a los atacantes la llave para futuros golpes.
Una campaña de años, criptomonedas y la sombra de Corea del Norte
La operación destapada en Black Hat encaja con el patrón histórico del Lazarus Group, la unidad de ciberoperaciones del régimen de Pyongyang, responsable de algunos de los mayores robos de criptomonedas de la última década. El Centro Criptológico Nacional español (CCN‑CERT) y el Instituto Nacional de Ciberseguridad (INCIBE) llevan años alertando sobre la amenaza de este grupo, cuyo radio de acción va desde el expolio de exchanges hasta el ataque al Banco de Bangladés en 2016.
En esta ocasión, Stykas ha identificado a más de una decena de organizaciones, entre las que también figuran Uniswap Labs y el Boston Children’s Hospital. Aunque el investigador subraya que el foco era claramente financiero, la penetración en cientos de redes corporativas de todo el mundo —incluyendo agencias gubernamentales que no han sido detalladas— representa una acumulación de accesos que podría reutilizarse para campañas de espionaje o desestabilización en cualquier momento.
Desde la perspectiva de las empresas españolas, el episodio refuerza la necesidad de extremar las verificaciones en los procesos de contratación de perfiles remotos y de reforzar la protección de las carteras digitales corporativas. Como recuerda el propio Stykas, “los atacantes no necesitan un plan B cuando ya están dentro”.
