El ciberpanorama ha experimentado un cambio fundamental en los últimos años, a medida que la definición de amenazas internas sigue evolucionando. Durante décadas, las organizaciones centraron sus esfuerzos de seguridad en detectar empleados descontentos o contratistas negligentes que pudieran comprometer datos sensibles.

El panorama de la ciberseguridad ha experimentado un cambio fundamental en los últimos años, a medida que la definición de amenazas internas sigue evolucionando.

Durante décadas, las organizaciones centraron sus esfuerzos de seguridad en detectar empleados descontentos o contratistas negligentes que pudieran comprometer datos sensibles.

Hoy, la amenaza interna más peligrosa suele ser un operativo contratado bajo falsos pretextos, trabajando para desviar fondos de la empresa, robar propiedad intelectual y establecer puertas traseras para actores patrocinados por el Estado.

Esta transformación refleja la naturaleza cambiante de las operaciones cibernéticas, particularmente aquellas orquestadas por la República Popular Democrática de Corea.

La RPDC opera un sofisticado programa de trabajadores remotos que, según estimaciones de expertos de la ONU y agencias de aplicación de la ley, genera aproximadamente 600 millones de dólares anuales para el régimen norcoreano.

Estos operativos utilizan técnicas avanzadas de robo de identidad para asegurar puestos remotos bien remunerados en empresas occidentales. Analistas e investigadores de Silent Push identificaron que la RPDC emplea típicamente dos variantes operativas distintas para infiltrarse en las organizaciones.

La primera variante implica colocar infiltrados a largo plazo que obtienen roles legítimos en TI, trabajando normalmente durante meses mientras establecen acceso persistente y generan ingresos.

La segunda variante utiliza empresas fachada falsas que imitan a firmas de software legítimas para atraer a profesionales cualificados a entrevistas diseñadas para comprometer su seguridad mediante la ejecución de código malicioso.

La trampa de verificación de identidad representa una vulnerabilidad crítica en los procesos de contratación corporativos. Los sistemas de seguridad tradicionales verifican identidades basándose únicamente en credenciales.

Tecnología de deepfake impulsada por IA

Cuando los candidatos proporcionan números de Seguridad Social válidos, superan verificaciones de antecedentes de terceros y aprueban entrevistas en video utilizando tecnología de deepfake impulsada por IA, obtienen acceso al sistema.

Sin embargo, una vez incorporados, estos operativos crean una falsa huella de empleado local utilizando direcciones IP residenciales occidentales para aparecer como trabajadores remotos legítimos desde ubicaciones suburbanas.

Los equipos de seguridad suelen confiar en la geolocalización de IP y el geofencing para detectar actividades sospechosas. No obstante, los operativos de la RPDC eluden estos controles mediante cadenas de proxies multicapa que redirigen el tráfico a través de dispositivos físicos ubicados dentro de Estados Unidos.

Este enfoque sofisticado crea tres brechas críticas de visibilidad: la falacia de la IP residencial que hace que el tráfico de centros de datos parezca legítimo, la brecha en la verificación de antecedentes donde la comprobación se dirige a identidades robadas en lugar de a la persona real, y la trampa de autenticidad del hardware donde granjas de portátiles reales superan las comprobaciones de direcciones MAC y las evaluaciones de seguridad de dispositivos que los sistemas virtuales no pueden pasar.

Las consecuencias de contratar operativos de la RPDC van más allá de las preocupaciones inmediatas de seguridad.

Las organizaciones enfrentan posibles violaciones de sanciones de la OFAC, pérdida irreversible de propiedad intelectual y costosas operaciones de respuesta a incidentes que requieren auditorías completas de

Fuentes:
https://cybersecuritynews.com/dprks-remote-workers-generating-600m-using/