Un ligero retraso en las pulsaciones de teclas de un supuesto trabajador de TI con base en EE. UU. alertó a Amazon sobre un infiltrado norcoreano que accedía a una computadora portátil corporativa. Los comandos deberían haber llegado desde la máquina del trabajador a la sede de Amazon en Seattle en menos de 100 milisegundos. 

Un ligero retraso en las pulsaciones de teclas de un supuesto trabajador de IT con base en EE. UU. alertó a Amazon sobre un infiltrado norcoreano que accedía a un portátil corporativo.

Los comandos deberían haber viajado desde el ordenador del trabajador a la sede de Amazon en Seattle en menos de 100 milisegundos. En cambio, llegaban de forma intermitente después de más de 110 milisegundos, una sutil pista que gritaba "a medio mundo", reveló el Jefe de Seguridad de Amazon, Stephen Schmidt, en una entrevista.

Este operativo norcoreano, contratado a través de un contratista, ejemplificó el descarado aumento de Corea del Norte en trabajos de IT remotos. Sancionado por EE. UU. y sus aliados, Pyongyang utiliza estas estafas para canalizar dinero hacia programas de armas y evadir el aislamiento.

Los trabajadores norcoreanos se infiltran en puestos de trabajo tanto en pequeñas empresas como en gigantes tecnológicos, creando problemas legales y amenazas internas.

Desde abril de 2024, el equipo de Amazon ha frustrado más de 1.800 intentos de contratación de este tipo, anunció Schmidt en un evento de seguridad en Nueva York esta semana. Los intentos aumentaron un 27% intertrimestral este año. “Amazon no contrató directamente a ningún norcoreano”, enfatizó Schmidt. Pero enviar un portátil de la empresa a un intermediario contratista para operativos norcoreanos? Eso es una advertencia preocupante para todos.

La monitorización de seguridad detectó un comportamiento extraño en el portátil del administrador de sistemas, revelando un control remoto rastreado hasta China.

El ordenador no tenía acceso a datos confidenciales, así que los investigadores observaron pacientemente. La comparación del currículum con la actividad reveló la estafa. "Esto parece alguien que había utilizado el mismo plan que otros norcoreanos", recordó Schmidt.

Una mujer de Arizona recibió una pena de prisión de varios años en julio por su participación en un fraude informático de 1,7 millones de dólares que ayudaba a trabajadores norcoreanos, según el Departamento de Justicia de EE. UU.

Los estafadores norcoreanos siguen guiones predecibles. Fabrican historiales vinculados a consultoras extranjeras oscuras difíciles de verificar desde lejos, a menudo enumerando las mismas escuelas y empresas alimentadoras. Las señales de alerta incluyen modismos en inglés torpes o el uso incorrecto de artículos (“a”, “an”, “the”). "Si no hubiéramos estado buscando a los trabajadores norcoreanos, no los habríamos encontrado", advirtió Schmidt.

Amazon expulsó al impostor en cuestión de días. Schmidt instó a una verificación más exhaustiva que simplemente escanear LinkedIn: comprobaciones de antecedentes exhaustivas, junto con una seguridad de punto final sólida que detecte anomalías como la latencia de las pulsaciones de teclas, informa Bloomberg.

Este caso se hace eco de las tácticas más amplias de Corea del Norte. Como se detalla en la investigación de Bloomberg sobre los "agricultores de portátiles" - estadounidenses que sin saberlo (o no) prestan equipos a Pyongyang - estos esquemas se han infiltrado en las empresas estadounidenses en masa. El Departamento de Justicia coordinó recientemente redadas en todo el país.

Para los profesionales de la ciberseguridad, la lección es profunda. El análisis de la latencia, la monitorización del comportamiento y la investigación del tráfico no son solo para los cazadores de amenazas, sino que son defensas de primera línea contra los estafadores estatales.