En julio de 2024, el proveedor de ciberseguridad KnowBe4 comenzó a observar una actividad sospechosa relacionada con un nuevo empleado que comenzó a manipular y transferir archivos potencialmente dañinos, e intentó ejecutar software no autorizado.
Posteriormente, se descubrió que era un trabajador norcoreano que había engañado al equipo de recursos humanos de la empresa para conseguir un empleo a distancia.
En total, consiguió superar cuatro entrevistas por videoconferencia, así como una comprobación de antecedentes y previa a la contratación.
ESET analiza este engaño y advierte que ninguna organización es inmune al riesgo de contratar inadvertidamente a un saboteador.
Amenaza en expansión
«Las amenazas basadas en la identidad no se limitan al robo de contraseñas o la apropiación de cuentas, sino que se extienden a las personas que se incorporan a la plantilla. A medida que la IA mejora en la falsificación de la realidad, es el momento de mejorar los procesos de contratación», expresó Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
Esta amenaza ha estado presente desde, al menos, abril de 2017, según una alerta de búsqueda del FBI y rastreado como WageMole por ESET Research.
Según Microsoft, el gobierno estadounidense ha descubierto más de 300 empresas —algunas de ellas incluidas en la lista Fortune 500— que han sido víctimas de este tipo de ataques, entre 2020 y 2022.
La empresa tecnológica se vio obligada en junio a suspender 3.000 cuentas de Outlook y Hotmail creadas por solicitantes de empleo norcoreanos.
Por otra parte, una acusación estadounidense imputa a dos norcoreanos y tres facilitadores por haber obtenido más de USD 860.000 de 10 de las más de 60 empresas en las que trabajaron.
El equipo de investigación de ESET advierte que el foco se ha desplazado recientemente a Europa, incluyendo Francia, Polonia y Ucrania.
Por su parte, Google ha advertido de que las empresas británicas también están en el punto de mira.
Métodos de infiltración
Este tipo de engaños es posible ya que los estafadores crean o roban identidades que coinciden con la ubicación de la organización objetivo y, a continuación, abren cuentas de correo electrónico, perfiles en redes sociales y cuentas falsas en plataformas de desarrolladores como GitHub para añadir legitimidad.
Durante el proceso de contratación, pueden utilizar imágenes y vídeos deepfake, o software de intercambio de caras y cambio de voz, para disfrazar su identidad o crear otras sintéticas.
Según los investigadores de ESET, el grupo WageMole está vinculado a otra campaña norcoreana que rastrea como DeceptiveDevelopment.
Esta se centra en engañar a desarrolladores occidentales para que soliciten trabajos inexistentes.
Los estafadores piden a sus víctimas que participen en un reto de codificación o en una tarea previa a una entrevista.
Pero el proyecto que descargan para participar contiene en realidad código troyanizado.
WageMole roba estas identidades de desarrolladores para utilizarlas en sus falsos esquemas de trabajadores.
Rol de facilitadores extranjeros
La clave de la estafa reside en los facilitadores extranjeros que crean cuentas en sitios web de trabajo autónomo, abren cuentas bancarias o prestan al trabajador norcoreano la suya propia, compran números de móvil o tarjetas SIM y validan la identidad fraudulenta del trabajador durante la verificación del empleo.
Una vez contratado el falso trabajador, estos individuos reciben el portátil corporativo y lo instalan en una granja de portátiles situada en el país de la empresa contratante.
A continuación, el trabajador informático norcoreano utiliza VPN, servicios proxy, supervisión y gestión remota (RMM) o servidores privados virtuales (VPS) para ocultar su verdadera ubicación.
«El impacto en las organizaciones engañadas podría ser enorme. No solo están pagando involuntariamente a trabajadores de un país fuertemente sancionado, sino que estos mismos empleados a menudo obtienen acceso privilegiado a sistemas críticos. Es una invitación abierta a robar datos confidenciales o incluso a pedir un rescate a la empresa», agregó el investigador de ESET.
Cómo detectar y protegerse
Se recomienda identificar a los falsos trabajadores durante el proceso de contratación mediante la comprobación del perfil digital del candidato, incluidas las redes sociales y otras cuentas en línea, en busca de similitudes con otras personas cuya identidad puedan haber robado.
También sugiere prestar atención a las discrepancias entre las actividades en línea y la experiencia declarada, asegurarse de que tiene un número de teléfono legítimo y único, comprobar que su currículum no presenta incoherencias y realizar varias entrevistas en vídeo durante la contratación.
Durante las entrevistas, considerar una advertencia importante cualquier afirmación de que la cámara funciona mal.
También hay que vigilar a los empleados en busca de actividades potencialmente sospechosas, estar atento a señales de alarma como números de teléfono chinos, descarga inmediata de software RMM en un portátil recién entregado y trabajo realizado fuera del horario normal de oficina.
Si se identifica a un trabajador sospechoso, la compañía aconseja actuar con cautela, limitar su acceso a recursos sensibles, revisar su actividad en la red, conservar las pruebas e informar del incidente a las fuerzas de seguridad.
«Los mejores métodos para evitar que los falsos candidatos se conviertan en informadores maliciosos combinan los conocimientos humanos y los controles técnicos. Asegurarse de cubrir todas las bases», finalizó Gutiérrez Amaya de ESET.
