Operadores de Corea del Norte están utilizando inteligencia artificial, software de control remoto y personas contratadas para suplantar la identidad de candidatos fraudulentos, logrando que parezcan auténticos durante las entrevistas técnicas. Este esquema transforma los procesos de contratación rutinarios en una vía para el fraude de nóminas, el robo de datos, la evasión de sanciones y la obtención de acceso a los sistemas internos de las empresas.

Operadores norcoreanos están utilizando inteligencia artificial, software de control remoto y sustitutos contratados para hacer que candidatos laborales fraudulentos parezcan genuinos durante las entrevistas técnicas.

Este esquema convierte la contratación rutinaria en una vía para la evasión de sanciones, el fraude de nóminas, el robo de datos y el acceso a los sistemas de las empresas. La actividad salió a la luz a través de un anuncio de trabajo publicado en la comunidad de Discord de Mouse Review.

Buscaban personas en Estados Unidos, Europa y América Latina que pudieran aparecer ante la cámara, comunicarse con los empleadores y prestar sus identidades locales a un trabajador remoto que operaba entre bastidores.

Silent Push afirmó en un informe que detectaron el canal de reclutamiento y contactaron a la persona detrás de él utilizando un perfil controlado.

Los investigadores determinaron, con una confianza de moderada a alta, que el representante, conocido como Tec Guru, era un trabajador de TI norcoreano, basándose en referencias técnicas, detalles operativos y patrones de lenguaje observados.

Esta no es una campaña de malware convencional, pero crea un punto de entrada grave para abusos posteriores. Una empresa puede contratar sin saberlo a alguien cuyo desempeño en la entrevista, identidad, ubicación y trabajo son suministrados por otros, y luego concederle acceso a sistemas sensibles.

Trabajadores de TI norcoreanos utilizan IA y herramientas de escritorio remoto

El anuncio describía un acuerdo de proxy en términos inusualmente directos. Un participante local encendería la cámara, hablaría con los clientes y presentaría las habilidades requeridas, mientras que el operador real brindaba ayuda en tiempo real. La propuesta sugería una participación del 35 por ciento para el proxy y del 65 por ciento para el trabajador oculto.

Para los empleadores, este acuerdo hace que las entrevistas remotas no sean fiables como comprobación de identidad. En un caso relacionado que involucra el fraude de identidad en currículums con IA, un presunto operador utilizó material profesional falsificado y un número VoIP para buscar un puesto remoto.

Silent Push señaló que el operador ofrecía entrenamiento en vivo a través de Google Meet y proponía el uso de herramientas de IA, incluyendo ChatGPT, para llenar los vacíos de conocimiento mientras el proxy permanecía en pantalla.

El plan también incluía el acceso remoto durante los ejercicios de programación, permitiendo que otra persona completara el trabajo mientras el candidato visible mantenía la conversación fluida.

Herramientas como AnyDesk, TeamViewer y Chrome Remote Desktop pueden facilitar ese traspaso cuando un entrevistador se enfoca únicamente en una pantalla compartida.

La misma preocupación apareció en informes sobre identificaciones falsificadas y escritorios remotos, donde el software de gestión remota estaba vinculado a esfuerzos para ocultar la actividad real del trabajador.

El representante aconsejó a los investigadores utilizar Astrill VPN. La recomendación, junto con Telegram y un número VoIP al estilo estadounidense, formaba parte del panorama operativo, no era una prueba por sí sola.

Los controles de contratación deben coincidir con el riesgo

El peligro inmediato no se limita a una entrevista débil. Una vez que se contrata a un trabajador fraudulento, la organización puede enfrentarse a un infiltrado que pueda copiar código propietario, recopilar información sensible o exigir dinero a cambio de no publicar material robado.

Los pagos también pueden canalizarse a través de la cuenta bancaria de un proxy antes de que los fondos se transfieran más adelante.Las empresas también pueden enfrentar riesgos de sanciones si pagan sin saberlo a un trabajador norcoreano a través de un intermediario.

Una advertencia multinacional del 31 de julio de 2026 instó a realizar comprobaciones de identidad más estrictas y a examinar las anomalías en los pagos, una preocupación también cubierta en las advertencias sobre trabajadores norcoreanos.

Los equipos de contratación deben verificar la ubicación física de un candidato con comprobaciones independientes, confirmar que los documentos de identificación y los detalles de pago coincidan, y tratar los cambios inusuales en las cuentas como señales de advertencia.

Las entrevistas en vivo deben incluir una verificación de vídeo gestionada y ejercicios técnicos que puedan detectar asistencia externa, en lugar de confiar en una única transmisión de cámara.

Los equipos de seguridad también deben limitar el acceso de las nuevas contrataciones a lo estrictamente necesario para su función, supervisar la actividad inicial de la cuenta e investigar el uso de herramientas de control remoto inesperadas o sesiones prolongadas.

Estas precauciones son importantes porque las operaciones de trabajadores falsos pueden solaparse con ataques dirigidos por reclutadores, incluyendo campañas de trabajadores norcoreanos que utilizan tareas de programación maliciosas contra los buscadores de empleo.La investigación muestra lo fácil que es para una operación de fraude combinar la ingeniería social con la tecnología común del lugar de trabajo.

Las organizaciones deben tratar el reclutamiento como parte de su perímetro de seguridad: verifica a la persona, verifica la ubicación y asegúrate de que la persona que completa la entrevista sea quien reciba el acceso después de la contratación.

Fuentes:
https://cybersecuritynews.com/north-korean-it-workers-2/