“Sonreí, te estamos filmando”: se infiltraron en una red de trabajadores norcoreanos, los grabaron y lo mostraron en DEF CON 34

Durante los últimos años, la República Popular Democrática de Corea ha implementado una campaña conocida como “falsa entrevista de trabajo”, en la que miembros del régimen se hacen pasar por candidatos a puestos laborales para infiltrarse en empresas occidentales y obtener información o activos. Este sábado, un colombiano y un argentino expusieron en vivo cómo se desarrollan estas entrevistas durante la edición 34 de DEF CON, la conferencia de ciberseguridad más importante de la comunidad hacker en el mundo occidental, que se realiza cada año en Las Vegas.

Existen casos documentados: en 2024, la empresa estadounidense KnowBe4, especializada en capacitaciones de ciberseguridad, contrató sin saber a un ingeniero remoto cuya identidad era operada por un trabajador norcoreano. En 2025, el exchange de criptomonedas Kraken detectó inconsistencias durante el proceso de entrevistas; en lugar de cancelar la contratación, decidió continuar para analizar las técnicas norcoreanas.

Uno de los casos más resonantes involucró a 300 compañías estadounidenses que contrataron sin saberlo a trabajadores extranjeros vinculados con Corea del Norte. La operación utilizaba identidades estadounidenses robadas y una “granja” de más de 90 computadoras —un conjunto de equipos instalados en un mismo lugar y controlados remotamente— ubicada en Arizona.

En la presentación titulada “¡Sonreí, te estamos filmando! Streaming desde una granja de laptops de trabajadores de Norcorea”, los hackers Mauro Eldritch y Heiner García explicaron cómo lograron grabar estas entrevistas de trabajo de un actor de amenazas conocido como Famous Chollima, según la empresa de ciberseguridad CrowdStrike.

Eldritch, argentino, lidera Quetzal Team, el equipo de investigación de amenazas de Bitso, una compañía de servicios financieros y criptomonedas con presencia en América Latina. García, colombiano, es fundador de NorthScan, una organización dedicada a la investigación y la inteligencia de amenazas.

Para esta investigación, ambos se hicieron pasar por “facilitadores”, personas dispuestas a ayudar a trabajadores norcoreanos a conseguir empleos para operar desde otros países, y atravesaron todo el proceso de reclutamiento. Una vez aceptados, construyeron una granja de computadoras falsa y les proporcionaron entornos controlados. Los trabajadores creían que ingresaban de forma remota a equipos legítimos para realizar su labor, pero todo quedó grabado a partir de las tácticas, técnicas y procedimientos de los potenciales empleados, registradas en un informe técnico publicado en la plataforma any.run.

En esta segunda etapa, García y Eldritch no solo se hicieron pasar por facilitadores, sino que crearon una startup ficticia que supuestamente ofrecía servicios a grandes poseedores de criptomonedas, un tipo de cliente atractivo para los operadores. Actuando como empleadores, contrataron a uno de los agentes norcoreanos y le pidieron que incorporara a varios amigos bajo un esquema de confianza, con lo que reunieron y observaron a un grupo de cuatro agentes.

García, bajo la identidad ficticia de “Andy”, se presentó como un jefe de equipo cómplice, con una relación cercana al supuesto CEO y la capacidad de garantizar nuevas contrataciones. Los trabajadores creyeron haber encontrado una empresa vulnerable y confiada, sin saber que cada sesión era monitoreada.

Los investigadores pudieron observar y grabar todas sus acciones: cómo configuraban las computadoras, qué sistemas usaban para verificar su identidad, el modo en que instalaban conexiones VPN para ocultar su ubicación y cómo trabajaban durante el día.

Paralelamente, aplicaron técnicas de inteligencia de fuentes abiertas (OSINT) y tareas de reconocimiento dirigidas para reconstruir la infraestructura que sostenía la operación. Descubrieron redes de compañías e identidades falsas, intermediarios en varios países, movimientos financieros e incluso maniobras relacionadas con visas laborales estadounidenses.

“Primero, observamos varios indicadores que coinciden con la primera etapa presentada en una conferencia suiza (InsomniHack): mismo método de reclutamiento, huellas de lenguaje y actividad en GitHub, Telegram y otras redes profesionales”, explicó Eldritch.

“También cotejamos esta actividad con documentos personales adulterados que presentan indicios altamente específicos de modificación. Además, encontramos actividad de red compatible con las herramientas de Famous Chollima: AstrillVPN, proveedores de servidores virtuales específicos e incluso, mediante un fallo de seguridad, logramos rastrear un rango de direcciones IP de Europa del Este perteneciente a una compañía que les provee planes de internet y servicios de relocalización desde Corea del Norte”, añadió García.

En conjunto, estos indicios, que por separado podrían parecer circunstanciales, se superpusieron para demostrar una única operación: el modo de reclutamiento, el lenguaje empleado, las cuentas y perfiles en diversas plataformas, los documentos falsificados y las herramientas para ocultar la conexión. Una falla operativa les permitió además rastrear parte de la infraestructura utilizada para conectarse desde Corea del Norte.

Famous Chollima es el nombre con que CrowdStrike identifica a un grupo de amenazas vinculado a Corea del Norte, activo al menos desde 2018. Su especialidad es obtener empleos remotos con identidades falsas para generar ingresos desviados hacia el régimen. Además del fraude laboral, sus operadores pueden instalar malware y aprovechar el acceso legítimo para robar información o comprometer sistemas.

Eldritch y García confirmaron que el procedimiento de contratación, la comunicación, los documentos falsificados, las herramientas y la infraestructura coinciden con operaciones atribuidas a Famous Chollima.

Una vez dentro de la empresa, el objetivo inmediato de estos trabajadores suele ser cobrar sueldos en moneda extranjera y enviar parte de ese dinero al régimen. Sin embargo, los investigadores advierten que reducir el problema a una estafa