Los hackers estatales de Corea del Norte cometieron un error de principiante que entregó a un investigador de seguridad una ventana de dos años a sus operaciones: infectaron sus propios ordenadores con su propio malware.
Vangelis Stykas, investigador de seguridad griego y director de tecnología de Kumio, presentó sus hallazgos en Las Vegas en Black Hat, la conferencia anual de seguridad. Dijo que pasó unos 22 meses dentro de los servidores de mando y control gestionados por los grupos de piratería norcoreanos, y que la vía de entrada fueron las propias operaciones descuidadas de los grupos. En varios casos, los atacantes habían contaminado accidentalmente sus propias estaciones de trabajo con sus propias herramientas, lo que dio a Stykas una visión directa de sus conversaciones en Slack y Discord y del resto de su configuración cotidiana. No reveló cómo penetró inicialmente en sus sistemas.
Lo que encontró en su interior, del que informó por primera vez Wired, es una de las mayores campañas de intrusiones corporativas jamás documentadas. Stykas dijo que identificó intrusiones en 1.640 empresas repartidas en 57 países, y que entre 700 y 800 de esas organizaciones sufrieron compromisos que incluían acceso de root a los servidores, entrada en entornos de AWS y, en el caso de las empresas de criptomonedas, posesión directa de claves y carteras de blockchain. En total extrajo aproximadamente cinco terabytes de su material.
El método de ataque es casi idéntico en todos los casos. Los hackers se hacen pasar por reclutadores, ofrecen puestos de desarrollo de software bien pagados a ingenieros experimentados y envían pruebas de codificación que instalan silenciosamente malware en la máquina del candidato. El patrón Contagious Interview está documentado desde aproximadamente 2022 y ha sido rastreado por Microsoft como parte de la operación cibernética norcoreana más amplia. Heise informa de que los grupos recurrían anteriormente a credenciales comprometidas, pero desde finales de 2024 se han pasado principalmente a esta forma de ingeniería social.
El alcance de la campaña pasa por los contratistas. Stykas dijo que vio a contratistas individuales que tenían credenciales o acceso a sistemas de hasta 30 empresas a la vez, por lo que un único desarrollador comprometido podía abrir la puerta a decenas de organizaciones. Entre las víctimas que identificó públicamente se encuentran Oppo, el Boston Children’s Hospital, AEON Smart Technology de Japón, el Consejo Superior de la Judicatura de Italia, Digitaal Vlaanderen de Bélgica, Coinbase y Uniswap Labs.
Las respuestas fueron variadas. El Boston Children’s Hospital atribuyó el incidente a un ordenador portátil personal que utilizó en su día un antiguo contratista, y no a su propia red, y dijo que no encontró indicios de acceso no autorizado. Coinbase dijo que un contratista fue despedido a las pocas semanas de incorporarse después de que las herramientas de seguridad levantaran sospechas, aunque no encontró pruebas de que la persona se encontrara en Corea del Norte o perteneciera al régimen. El gobierno flamenco confirmó que fue notificado en marzo de 2025, aisló los sistemas afectados y rotó las credenciales. Muchas otras organizaciones, según Stykas, ignoraron por completo sus alertas, y cientos nunca respondieron. Cada día se sumaban nuevas víctimas.
El rastro del dinero explica el interés. Heise, citando datos de Chainalysis, informa de que Corea del Norte robó 2,02 mil millones de dólares en criptomonedas durante 2025, un aumento interanual del 51 por ciento, y aproximadamente 6,75 mil millones de dólares desde 2017. En los primeros cuatro meses de 2026, las operaciones norcoreanas representaron el 76 por ciento de las pérdidas mundiales por hackeos de criptomonedas. Los fondos robados fluyen de forma demostrable hacia los programas nucleares y de misiles del país, que es precisamente la razón por la que la piratería continúa a pesar de las sanciones internacionales.
El acceso persistente es la parte que preocupa a los investigadores de seguridad. Marcus Hutchins, el investigador que detuvo el brote de WannaCry, advirtió de que los puntos de apoyo establecidos para el robo de criptomonedas podrían reutilizarse para el espionaje en cualquier momento. La campaña se desarrolla además en paralelo al despliegue por parte de Corea del Norte de miles de trabajadores informáticos remotos que aceptan puestos asalariados con identidades robadas y envían sus ingresos a su país; cinco colaboradores en Estados Unidos se declararon recientemente culpables de apoyar esa red en casos que afectaron a más de 136 empresas.
Traducido por Alessandra
Fuentes: A Security Pro Hacked North Korean Hackers. He Found They’d Breached Hundreds of Networks Worldwide (Wired, 5 ago 2026); North Korean hackers: Security researcher uncovers worldwide attacks (heise online, 6 ago 2026); Researcher Finds 1,640 Companies Breached by North Korean Hackers (Omega Technology Solutions Group, 5 ago 2026)