El FBI ha registrado 40 viviendas en Texas para desmantelar una red norcoreana de informáticos que operaba con identidades robadas.
La operación, bautizada Lonestar Roundup, se ejecutó entre el 21 y el 25 de septiembre y se saldó con unos 187 portátiles y conmutadores KVM incautados, según el comunicado oficial del Departamento de Justicia. Dos ciudadanos estadounidenses han sido detenidos y catorce personas aparecen imputadas en dos acusaciones distintas presentadas en el Distrito Norte de Ohio.
Los equipos intervenidos no son chatarra de oficina: son los mismos portátiles que las empresas víctimas enviaron por mensajería a sus nuevos empleados en remoto, sin saber que al otro lado de la pantalla había operativos del régimen de Pyongyang usando identidades estadounidenses sustraídas. Ese detalle, que parece menor, es en realidad toda la arquitectura de la estafa.
Cómo funcionaba la granja de portátiles de Famous Chollima
El esquema tenía una simplicidad casi ofensiva. Un trabajador norcoreano solicitaba un puesto en remoto con una identidad falsa o directamente robada, se conectaba mediante VPN y servidores proxy para simular residencia en Estados Unidos y cobraba en cuentas que terminaban en entidades sancionadas. CrowdStrike, que ha colaborado con el FBI en la investigación, atribuye la infraestructura al grupo que rastrea como Famous Chollima.
Había un eslabón humano en suelo tejano. Los facilitadores recibían los portátiles que enviaban las empresas y les instalaban software de acceso remoto para que el operativo norcoreano los manejara desde la otra punta del mundo. Cobraban por el servicio. La compañía, mientras tanto, creía tener un ingeniero en Cleveland.
El alcance del entramado, según la acusación del Distrito Norte de Ohio, abarca más de 70 empresas en 17 estados y alrededor de 3 millones de dólares de recaudación entre 2019 y mediados de 2025. Sanidad, comunicaciones, soporte de ciberseguridad, comercio minorista y manufactura encabezan la lista de víctimas. Los fiscales sostienen que ese dinero acabó en entidades norcoreanas sujetas a sanciones internacionales.
La identidad prestada sigue siendo la herramienta más barata del oficio: basta un portátil y una nómina para colocar a un Estado dentro de una empresa.
Le adelanto que el modelo está mutando. El propio DoJ advierte de que los operativos norcoreanos recurren cada vez más a facilitadores estadounidenses para sortear los sistemas de detección del sector privado, y de que en algunos casos subcontratan el puesto entero a terceros de otras nacionalidades. No es solo usar a un ciudadano como decorado: es externalizar parte de la operación dentro del propio país objetivo, lo que complica la atribución y estorba la interceptación.
Cinco años de infiltración y una quinta ronda de detenciones
Esta no es una red que se descubre por casualidad. La acusación de Ohio cubre de 2019 a mediados de 2025 y se enmarca en la quinta tanda de acciones anunciadas desde junio de 2025 bajo la iniciativa del DoJ contra los facilitadores internos de los programas de generación de divisas de la RPDC. Ha habido operaciones en junio y noviembre de 2025, en abril de 2026, y en mayo de 2026. La de Texas es la más voluminosa por número de registros simultáneos.
El aviso de servicio público del FBI pone cifras a lo que hasta ahora era intuición: miles de trabajadores de TI controlados por el Estado norcoreano están colocados en empresas occidentales. Un solo operativo puede ingresar hasta 300.000 dólares al año; la suma colectiva se mide en cientos de millones anuales y fluye hacia entidades designadas, incluido el Ministerio de Defensa norcoreano. CrowdStrike calcula que los atacantes norcoreanos firmaron cerca de la mitad de las intrusiones manuales documentadas en el último año y que en 2025 se robaron al menos 2.000 millones de dólares en criptomonedas. Esa es la caja con la que se financia el programa de misiles.
Además, el DoJ ha publicado un listado de direcciones de correo usadas en las candidaturas fraudulentas —entre ellas randyryang@gmail.com y dev.jerryyang@gmail.com— para que los departamentos de selección las incorporen a sus filtros. Las banderas rojas que enumera el FBI son consistentes: historiales laborales incoherentes, resistencia a aparecer en vídeo, peticiones para redirigir la entrega del portátil y cuentas de cobro que pasan por intermediarios.
‘Las amenazas de Estados como Corea del Norte son un recordatorio descarnado de que nuestros adversarios irán muy lejos para explotar la fortaleza económica de esta nación’, afirmó David M. Toepfer, fiscal federal del Distrito Norte de Ohio. Tengo claro que el mensaje no va dirigido a Pyongyang, sino a los responsables de recursos humanos de medio Estados Unidos.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: infiltración HUMINT por identidad suplantada, con un componente híbrido de fraude económico. No hay zero-day ni malware sofisticado, ni siquiera un exploit exótico. Hay una persona con un currículum falso, un portátil enviado por mensajería y un facilitador local que enchufa un conmutador KVM. Es la versión contemporánea del illegal: el agente que no necesita entrar en un edificio porque la empresa le manda el equipo a casa.
Agencias implicadas. En el lado atacante, el aparato de generación de divisas de la RPDC, con el Ministerio de Defensa norcoreano como receptor final de los fondos y Famous Chollima como clúster operativo según la atribución de CrowdStrike. En el lado defensor, el FBI —con la oficina de Cleveland al frente—, el Departamento de Justicia y las áreas de inteligencia de amenazas de varias compañías privadas. En el capítulo de terceros interesados: el CNI, el CCN-CERT, el INCIBE español y, por supuesto, los servicios de contrainteligencia de Five Eyes, que llevan meses mirando el mismo patrón con otro nombre en sus informes internos.
Nivel de clasificación estimado: Secreto. La documentación incautada en una granja de portátiles incluye credenciales de acceso a redes corporativas, historiales de nómina, código propietario y, potencialmente, conversaciones internas de las empresas víctimas. A juzgar por los sectores afectados —soporte de ciberseguridad y sanidad entre ellos—, estimo que parte de ese material habría merecido clasificación de Top Secret en manos del cliente final, no del proveedor.
El precedente que me viene a la cabeza es el programa de ilegales rusos desarticulado en 2010. Entonces admiramos la paciencia del SVR; hoy la paciencia es norcoreana y el disfraz es una nómina en dólares. La diferencia es que el Kremlin construía identidades durante años y Pyongyang compra una en un mercado de datos filtrados. El coste de entrada al oficio se ha desplomado, y eso debería preocuparnos más que la anécdota de los 187 portátiles.
Aviso de contradicción: la atribución de CrowdStrike es sólida en lo técnico, pero conviene recordar que el interés comercial de las firmas de ciberseguridad coincide con el interés securitario de Washington. No dudo de los datos; sí de la épica. Lo escribí en El quinto elemento: el próximo 11S empezará con un clic. También puede empezar con un currículum.
El calendario marca la próxima ronda de la iniciativa del DoJ contra facilitadores y la publicación del informe anual de amenazas del FBI, prevista para el primer trimestre de 2027. Ahí se sabrá si la quinta tanda fue un golpe real o solo un golpe de efecto.
La puerta que también se abre en España
Ninguna de las empresas mencionadas en la acusación de Ohio opera desde España con nombre y apellidos. Eso no significa que el patrón no exista aquí. El CCN-CERT ha advertido en varias notas técnicas sobre campañas de empleo fraudulento en remoto, y el volumen de contratación digital de las pymes españolas convierte al país en un objetivo de bajo coste y alta rentabilidad para este tipo de fraude.
Permítame un aviso operativo. La detección no se hace con antivirus: se hace en selección de personal. Verificación de identidad documental, comprobación de domicilio real, videollamada obligatoria y control físico del dispositivo que se entrega. Cuatro medidas que cuestan menos que una auditoría forense posterior. Si usted dirige una compañía con plantilla remota y no ha revisado sus procesos de incorporación en los últimos doce meses, tiene un problema sin cuantificar.
Hay un detalle que no debe pasar desapercibido. El objetivo no siempre es el robo de datos; a veces es la nómina, que financia directamente un programa de armamento. Eso convierte al departamento de recursos humanos en una pieza de contrainteligencia, aunque nadie se lo haya explicado.
La red norcoreana de informáticos no se desmantela con 40 registros en Texas. Se desmantela cuando contratar a distancia deja de ser un trámite y se convierte en lo que siempre fue: un control de seguridad.
