Durante los últimos años, la República Popular Democrática de Corea ha implementado una estrategia conocida como “falsa entrevista de trabajo”. Esta táctica consiste en que miembros del régimen se hacen pasar por candidatos a puestos laborales para infiltrarse en empresas de occidente, con el objetivo de obtener información y activos. Este fenómeno fue expuesto recientemente en la edición 34 de DEF CON, la conferencia de ciberseguridad más relevante de la comunidad hacker global, celebrada en Las Vegas.
Se han documentado múltiples casos de esta práctica. En 2024, la firma estadounidense KnowBe4, especializada en capacitación en ciberseguridad, contrató inadvertidamente a un ingeniero remoto cuya identidad era operada por un trabajador norcoreano. De igual manera, en 2025, el exchange de criptomonedas Kraken detectó irregularidades durante el proceso de entrevistas; en lugar de cancelar la contratación, optó por continuar para analizar las técnicas utilizadas por los norcoreanos. Uno de los incidentes más notorios involucró a 300 compañías estadounidenses que, sin saberlo, contrataron a trabajadores extranjeros vinculados a Corea del Norte, utilizando identidades robadas y una “granja” de computadoras ubicada en Arizona.
En la presentación titulada “¡Sonreí, te estamos filmando! Streaming desde una granja de laptops de trabajadores de Norcorea”, los hackers Mauro Eldritch y Heiner García revelaron cómo lograron grabar estas entrevistas de trabajo. Este grupo de amenazas es conocido como Famous Chollima, según la empresa de ciberseguridad CrowdStrike.
Eldritch, originario de Argentina y líder del Quetzal Team de Bitso, y García, de Colombia y fundador de NorthScan, se hicieron pasar por “facilitadores” para ayudar a trabajadores norcoreanos a conseguir empleo. A través de este proceso, lograron construir una granja de computadoras falsa, donde los trabajadores creían operar en entornos legítimos. Las grabaciones de las entrevistas revelaron las tácticas, técnicas y procedimientos de los potenciales empleados, las cuales fueron documentadas en un informe técnico.
En una fase posterior de la investigación, los hackers crearon una startup ficticia que supuestamente ofrecía servicios a grandes poseedores de criptomonedas, logrando atraer a varios agentes norcoreanos. García, bajo la identidad ficticia de “Andy”, se presentó como un jefe de equipo cómplice, facilitando la contratación de otros trabajadores. Las acciones de estos agentes fueron monitoreadas, permitiendo a los investigadores observar cómo configuraban las computadoras, qué sistemas utilizaban para verificar su identidad y cómo establecían conexiones VPN para ocultar su ubicación.
Además, aplicaron técnicas de inteligencia de fuentes abiertas (OSINT) para reconstruir la infraestructura que respaldaba esta operación. Identificaron redes de compañías e identidades falsas, así como movimientos financieros y maniobras relacionadas con visas laborales estadounidenses. Eldritch destacó que varios indicadores coincidían con un método de reclutamiento previamente presentado en otra conferencia, mientras que García mencionó la existencia de documentos personales adulterados y actividad de red vinculada a Famous Chollima.
Famous Chollima es un grupo de amenazas vinculado a Corea del Norte, activo desde al menos 2018, cuyo objetivo es obtener empleos remotos con identidades falsas. Aparte del fraude laboral, sus operadores pueden instalar malware y aprovechar el acceso legítimo para robar información o comprometer sistemas.
Los investigadores confirmaron que el procedimiento de contratación y los documentos falsificados coinciden con operaciones atribuidas a Famous Chollima. Una vez dentro de las empresas, su objetivo es cobrar sueldos en moneda extranjera y enviar parte del dinero al régimen, advirtiendo que reducir esta problemática a una simple estafa sería un error.
Fuente: Pdn
