El panorama del empleo remoto enfrenta un desafío persistente y en evolución, ya que operativos norcoreanos perfeccionan sus estrategias para infiltrarse en organizaciones globales.

Durante años, estos actores han buscado roles remotos en tecnología de la información para generar ingresos para el régimen, a menudo confiando en identidades falsificadas.

Sin embargo, recientemente ha surgido un cambio significativo en su metodología, complicando el proceso de verificación para los responsables de contratación.

Esta nueva ola de actividad implica la suplantación de profesionales legítimos utilizando sus perfiles reales de LinkedIn, marcando un alejamiento de la dependencia anterior de identidades completamente sintéticas.

Estos operativos ahora aprovechan la credibilidad de personas reales para eludir las primeras evaluaciones. Al apropiarse de los detalles de cuentas existentes, presentan una fachada de autenticidad difícil de distinguir de los candidatos genuinos.

El vector de ataque se centra principalmente en plataformas de solicitud de empleo como LinkedIn, donde la distinción entre un candidato real y un impostor puede difuminarse mediante la manipulación cuidadosa de los datos del perfil.

El impacto de esta actividad es doble: genera financiación ilícita para la República Popular Democrática de Corea y otorga acceso potencial a redes corporativas sensibles, creando una vía para futuros actos de espionaje o despliegue de malware.

Analistas de Security Alliance identificaron esta evolución táctica específica el 10 de febrero de 2026. Su investigación destaca que estos actores ya no solo crean perfiles falsos, sino que están reflejando activamente perfiles reales para engañar a los equipos de reclutamiento.

Este desarrollo obliga a las organizaciones a ir más allá de las comprobaciones básicas de perfil, ya que las cuentas utilizadas en estas solicitudes suelen pertenecer a personas reales que pueden desconocer que su identidad está siendo explotada con tales fines.

El objetivo principal sigue siendo la obtención de empleo remoto en empresas tecnológicas occidentales. Una vez contratados, estos trabajadores pueden desviar salarios al régimen o utilizar su acceso privilegiado para facilitar campañas maliciosas adicionales.

La sofisticación de este enfoque radica en su capacidad para mezclarse con el ruido del mercado laboral legítimo, convirtiendo la detección en una tarea que consume muchos recursos para los departamentos de recursos humanos y seguridad.

Evasión de la detección

El aspecto más alarmante de esta campaña son las técnicas avanzadas de evasión de detección empleadas por los operativos.

A diferencia de intentos anteriores que utilizaban fotos de perfil generadas por IA o historiales laborales inconsistentes, esta campaña usa documentación verificada para respaldar el engaño.

Los operativos suelen presentar correos electrónicos laborales e insignias de identidad que coinciden con la persona suplantada, otorgando alta credibilidad a sus solicitudes.

Confían en la reputación profesional existente de la víctima para asegurar entrevistas, armando la confianza de manera efectiva.

Dado que las cuentas listadas son reales, las verificaciones de antecedentes estándar que buscan puntos de datos sintéticos podrían fallar.

Los operativos se aseguran de controlar los canales de comunicación proporcionados en la solicitud, como la dirección de correo electrónico, incluso si difiere ligeramente de la información de contacto oficial de la víctima suplantada.

Esto les permite interceptar ofertas de trabajo destinadas al profesional real. Para contrarrestar esto, los expertos recomiendan validar que el solicitante controle la cuenta de LinkedIn pidiéndole que envíe una solicitud de conexión o un mensaje directo en la plataforma.

Si sospechas de suplantación, publicar una advertencia fijada en tu perfil puede ayudar a proteger tu identidad profesional y el ecosistema en general.