Huntress ha documentado cinco casos de espionaje norcoreano en empresas durante 2026 con falsos trabajadores de TI. La firma de ciberseguridad ha publicado los recibos que confirman lo que ya se temía: Corea del Norte no necesita vulnerar sistemas si consigue que la contraten.
No se trata de un ciberataque clásico. Los infiltrados de la DPRK superan la entrevista, completan el onboarding y suelen hacer bien el trabajo para el que fueron contratados. Parte del salario vuelve a Pyongyang en manos de un régimen que convierte el empleo remoto en una fuente de divisas y acceso. Huntress lo resume con una advertencia que comparto: ‘los trabajadores de la DPRK presentan un reto de detección único para los defensores: en lugar de vulnerar cuentas o entrar por brechas, engañan a las empresas para que los contraten en remoto y, a menudo, realizan el trabajo legítimo para el que fueron contratados.’
Anatomía de una infiltración: identidades falsas y trabajo real
El primer caso, tres trabajadores en una empresa sanitaria australiana, se destapó por pura documentación forense. Los pasaportes, permisos de residencia y facturas de la luz parecían legales, pero compartían demasiadas coincidencias: mismas ciudades de expedición, fechas con un día de diferencia, calles residenciales idénticas. Las facturas falsas compartían exactamente la misma errata: ‘hassic’ en lugar de ‘hassle’. Un artefacto de traducción delator.
El segundo caso es de manual de espionaje barato. Un portátil recién incorporado estuvo horas conectado a un router de viaje GL.iNet antes de aterrizar en una WiFi residencial y, después, en un PiKVM. Ese dispositivo con Raspberry Pi da control remoto total del equipo a nivel de hardware, antes incluso de que arranque el sistema operativo. Diez minutos después, el portátil saltó a Ethernet fija y no volvió a tocar el WiFi. Lo delató la rutina: en la primera hora, el empleado buscaba en Google ‘test de micrófono’ y ‘prueba de audio’ para verificar su montaje. Días después metió un Gmail personal que coincidía con el patrón de nomenclatura de otros operativos norcoreanos, y comprobó su IP pública minutos antes de una videollamada. Varios dispositivos usaron el mismo modelo de iPhone en un intervalo de ocho minutos.
El tercer caso dejó al descubierto el robo de identidad. El trabajador usó Toffeeshare, transferencia cifrada punto a punto, para mover documentos de identidad. La foto del titular original se cambió digitalmente por la del impostor, con el fin de superar la verificación laboral I-9. Compartían enlaces de Zoom con contraseña embebida en un sitio público de código y emitían su pantalla con VDO.Ninja para que un operador remoto observara. La identidad robada pertenecía a una persona real, con ficha policial previa en internet.
Lo dijo Huntress mejor de lo que podría decirlo yo: un infiltrado contratado es un empleado legítimo con privilegios de acceso y nómina incluida.
Huntress recomienda mirar varias señales a la vez, no una sola. Los registros de Windows deben vigilarse para detectar PiKVM y dispositivos de captura Guermok cuando aparecen juntos en el mismo equipo. También hay que observar VPN y proxies como Astrill e IPRoyal combinados con horarios de trabajo inusuales, y documentos de identidad recién emitidos. Ninguna de estas pistas es maliciosa por sí sola: las VPN y los proxies tienen usos legítimos.
La verificación de antecedentes debería empezar en la entrevista, insiste Huntress. ‘Dado que los trabajadores fraudulentos son empleados legítimamente incorporados, identificarles después de la contratación exige esfuerzo manual y múltiples puntos de evidencia’, concluye la firma. ‘El riesgo se mitiga comprobando el historial laboral, buscando al candidato en internet y verificando cualquier referencia.’ Le adelanto que la recomendación es tan obvia como desatendida en la práctica.
El rastro forense: del I-9 al PiKVM, las pistas que delatan al impostor
Lo que hace este caso distinto es que no hay malware que analizar. El oficio del espía se reduce a un empleado con documentación robada, un PiKVM y un proxy. La combinación de indicadores —dispositivo KVM, prueba de micrófono, trabajo en horario nocturno UTC, documento de identidad emitido a la vez que el de un compañero— es la que debe disparar la alerta antes de que el falso empleado toque producción.
En el tercer caso, la identidad sustraída coincidía en nombre completo, fecha de nacimiento y ubicación del carnet de conducir con una persona real cuya ficha policial circulaba en internet. Sólo se cambió la cara. No es una identidad fabricada: es la vida de alguien reutilizada para colocar a un operativo en una empresa que no tenía forma de saber que el rostro en la videollamada no era el dueño de los documentos. Es el tipo de detalle que me hace insistir en la verificación humana, no solo técnica.
Para España, el riesgo es directo aunque los casos documentados hayan sido en Australia y otras jurisdicciones. El esquema de contratación remota de perfiles de TI con identidades robadas puede reproducirse en cualquier empresa que no verifique presencialmente a sus empleados. El CNI y el CCN-CERT monitorizan desde hace tiempo las campañas de reclutamiento norcoreanas en el sector tecnológico, y no me consta que la frontera sur ni la Unión Europea hayan resuelto el problema de fondo.
Dossier Moncloa: Ojos en la Sombra
En este caso, el vector de amenaza no es un ciberataque de libro: es una infiltración HUMINT a través del empleo legítimo. Los trabajadores de FAMOUS CHOLLIMA no fuerzan la puerta, entran por la puerta de personal. El servicio implicado es el aparato de inteligencia norcoreano, con atribución a su entramado de trabajadores TI conocido como FAMOUS CHOLLIMA. Del lado defensor, las empresas occidentales afectadas y la propia Huntress como analista. Del lado que mira, el CNI y sus socios de Five Eyes, que llevan años siguiendo el patrón de trabajadores remotos norcoreanos en el extranjero.
El nivel de clasificación del material involucrado es sensato estimarlo como ‘Sin Clasificar pero Sensible’. No hay secretos de Estado comprometidos, salvo que el acceso interno a sistemas corporativos acabe en robo de código, credenciales o información financiera. El precedente histórico es sólido: las agencias occidentales llevan desde 2022 alertando sobre miles de trabajadores TI norcoreanos que se hacen pasar por autónomos o empleados remotos para financiar el programa balístico y nuclear de Pyongyang. La novedad de Huntress es la documentación forense de casos concretos, no la existencia del fenómeno.
Mi lectura es que este informe no es solo una alerta técnica, es un recordatorio de que la contrainteligencia industrial sigue siendo un asunto humano. La tecnología ayuda a detectar, pero el fallo está en la fase de contratación. Cierro con un hito concreto: será útil seguir los próximos informes técnicos de Huntress y Mandiant sobre la evolución de esta táctica, especialmente si amplían la atribución a sectores regulados europeos. Hasta entonces, la lección es esta: si una empresa contrata en remoto sin verificar la identidad con fuentes fiables, el espía norcoreano ya ha entrado.
