En septiembre de 2025, Okta Threat Intelligence publicó una investigación basada en un análisis a gran escala sobre esquemas de empleo fraudulentos llevados a cabo por trabajadores de TI (ITW) de la República Popular Democrática de Corea (RPDC).
Dicha investigación recopiló datos de más de 130 actores, realizando más de 6500 entrevistas con 500 empresas.
En esta publicación, analizamos específicamente las actividades de dos personajes individuales. Seleccionamos estos dos ejemplos de una larga lista de actores a los que seguimos dando seguimiento porque ejemplifican las herramientas, técnicas y procedimientos (TTP) típicos empleados por los actores ITW de la RPDC. Además, cada uno presentaba características novedosas que pueden proporcionar información adicional a los defensores para contrarrestar estos esfuerzos.
Estos dos actores revelan dos tácticas, técnicas y procedimientos interesantes que utilizan los agentes de la RPDC para conseguir empleo: el abuso de perfiles legítimos de LinkedIn para superar las verificaciones de referencias y el abuso de identidades robadas.
#1 - Conozca a “JJ”
Al primero de los dos actores que detallaremos lo llamaremos “JJ”. Este actor ha realizado numerosas entrevistas para roles en múltiples sectores durante dos años, con una sobrerrepresentación de roles en IA y salud.
La cuenta de correo electrónico utilizada por este actor tiene una estructura similar a la de otros actores vinculados a la RPDC, ya que utiliza un servicio de correo web gratuito y el nombre de la cuenta incorpora referencias al desarrollo de software y otros caracteres alfanuméricos aleatorios. La investigación de inteligencia de código abierto (OSINT, por sus siglas en inglés) realizada sobre la dirección de correo electrónico utilizada por este actor reveló una serie de cuentas de servicios en línea que son muy típicas de los actores de trabajadores de TI de la RPDC. Todas estas cuentas se utilizan exclusivamente para aplicaciones de empleo y tareas relacionadas:
Bolsas de trabajo y plataformas de contratación
Plataformas de programación populares entre los reclutadores
Espacios de trabajo para la organización de documentos con asistencia de IA
Servicios DNS dinámicos
Plataformas de codificación en línea
Si bien no se ha observado con este actor en particular, Okta Threat Intelligence también ha utilizado técnicas OSINT para observar direcciones de correo electrónico utilizadas por actores de la RPDC registradas en los siguientes servicios:
Plataformas de empleo para autónomos
Plataformas de creación y publicación de artículos
Creación y gestión de documentos
Plataformas de aprendizaje de idiomas
Comunicaciones en línea
Plataformas sociales para el desarrollo de software
Plataformas PDF en línea
Plataformas de evaluación de codificación
Los agentes de la RPDC utilizan estas cuentas en línea y currículos falsificados para crear, de manera efectiva, una “persona” artificial. Estas personas aparecen “de la nada”, heredando la presencia en línea requerida para un profesional que solicita un puesto, pero sin ninguna evidencia de uso personal de ningún servicio de internet. El uso exclusivo de estos servicios específicos, combinado con la ausencia de cualquier huella digital personal, crea un patrón que indica claramente la existencia de una personalidad artificial.
En ocasiones, se pueden observar indicios adicionales, muy comunes en estos actores, en las propiedades del documento de los currículums en PDF que proporcionan. Okta Threat Intelligence puede proporcionar a los clientes más detalles sobre estos métodos de detección; póngase en contacto con su gerente de cuenta para obtener más información.
Convertirse en JJ
Durante los dos años de actividad observada, nuestro actor de amenazas JJ creó y posteriormente abandonó varias identidades falsas.
Hasta hace poco, JJ les decía a los reclutadores que no tenía un perfil de LinkedIn. Okta Threat Intelligence observa ocasionalmente perfiles de LinkedIn asociados con direcciones de correo electrónico de perfiles falsos creadas por actores de ITW de la RPDC. La escasez de conexiones, publicaciones, recomendaciones, otro contenido y actividad en estos perfiles puede utilizarse para identificar una falta de autenticidad. Con frecuencia descubrimos que un perfil de LinkedIn publicado por un agente de la RPDC perteneciente a la ITW ha sido desactivado gracias a los esfuerzos de detección y aplicación de las normas del equipo de seguridad de LinkedIn.
En septiembre de 2025, se observó que JJ proporcionaba por primera vez a los reclutadores un perfil activo en LinkedIn. El perfil de LinkedIn coincidía con el nombre falso que utilizaban para solicitar puestos de trabajo en ese momento, y no incluye una foto de perfil. A primera vista, el perfil de LinkedIn parecía sólido y realista, a diferencia de la mayoría de los perfiles de LinkedIn creados para el fraude de trabajadores informáticos de la RPDC. Por ejemplo, el perfil tenía:
Casi 200 conexiones
Enlaces a una cuenta de GitHub con contenido realista (véase más adelante en el informe un ejemplo de una cuenta de GitHub poco realista)
Se enumeraron varias “habilidades”, muchas de las cuales fueron avaladas por múltiples terceros. Las cuentas de LinkedIn que respaldaban parecían ser auténticas.
Figura 1. Supuesto perfil de LinkedIn de JJ
Un feliz falso positivo
Nuestra investigación determinó que la persona representada en el perfil de LinkedIn era, hasta hace poco, un empleado legítimo de la organización mencionada.
Nuestra valoración es que el actor simplemente ha suplantado un perfil auténtico de LinkedIn, alterando el nombre de su identidad fraudulenta para que coincida con el de una persona real y así cumplir con los criterios de empleo. Nuestra confianza en esta evaluación también se basó en el hecho de que la dirección de correo electrónico del actor de DRPK no era la misma que la utilizada para el perfil legítimo de LinkedIn. Se trataba de una forma de “uso ilícito de méritos” diseñada para aumentar sus posibilidades de conseguir empleo.
Un desafío para la verificación
Esta técnica, que consiste en crear un perfil basado en una identidad real, refuerza la necesidad de una verificación de identidad rigurosa antes de cualquier tipo de empleo. Los empleadores no deberían basarse en un perfil de LinkedIn para determinar el historial laboral. Las solicitudes de verificación a empleadores actuales o recientes, preguntando únicamente si una persona con ese nombre trabajó en ese puesto durante los períodos de tiempo indicados en LinkedIn, no revelarán el fraude. Para un actor de amenazas, resulta muy sencillo emplear esta técnica o generar currículos directamente a partir de un perfil de LinkedIn manipulado, utilizando un generador de currículos en línea o un sistema con IA que utilice un perfil público como entrada. El actor simplemente crea una dirección de correo electrónico y un número de teléfono alterados, lo que dificulta enormemente la tarea del responsable de recursos humanos.
Los posibles empleadores deberían incorporar técnicas de verificación de identidad, como la verificación de la licencia de conducir móvil. Si se basan en factores de conocimiento, los verificadores solo deben fundamentar sus evaluaciones en información que sea definitivamente no pública, como el número de identificación nacional parcialmente censurado o el nombre del último gerente que ocupó el cargo. Los empleadores no pueden basarse en la fecha de nacimiento para una verificación sólida, ya que esta información está fácilmente disponible en bases de datos públicas y servicios de búsqueda de personas.
#2 “EM” es contratado
Nos referiremos a nuestro segundo actor como “EM”. La actividad fraudulenta de EM en materia de empleo se remonta a más de un año atrás, con cientos de entrevistas en todos los sectores, pero con una clara preferencia por puestos y Organizations relacionados con la IA. Okta Threat Intelligence también observó que EM realizaba entrevistas con Organizations sensibles de infraestructura crítica nacional (CNI), como empresas de aviación comercial, proveedores de comunicaciones, proveedores de servicios de internet, una empresa de tecnología de votación y proveedores de servicios de inteligencia y defensa.
EM tiene una alta probabilidad estadística de superar las primeras entrevistas y de recibir ofertas para múltiples rondas de entrevistas con diferentes Organizations, y es probable que haya sido contratado por varias organizaciones para puestos de desarrollo de software.
Nos propusimos descubrir algunos de los secretos del éxito de EM.
La identidad suplantada utilizada por EM parece haber sido creada a partir de una fotografía en línea de una persona legítima que, desafortunadamente, también mostró suficiente información en línea como para permitir que la RPDC (y potencialmente otros) se apropiaran de su identidad.
El verdadero EM y un problema de identidad
EM afirma ser ciudadano estadounidense cuando se le pregunta sobre su elegibilidad para trabajar y presenta documentos de identidad muy realistas. La investigación sobre el nombre utilizado por este actor revela que solo existe una persona real con este nombre tan particular. Encontramos fotografías de una persona que sostenía un documento de identidad casi idéntico al que nuestro actor presenta como propio, con una fotografía y una firma diferentes.
Figura 2. Identidad filtrada en Facebook, censurada
El EM de la RPDC
El historial de residencia y empleo que EM afirma tener difiere significativamente del de la persona real cuya identidad se asumió. Okta Threat Intelligence observó que EM ofrecía dos números de teléfono de contacto diferentes. Ambos son teléfonos VoIP, omnipresentes entre los actores de la RPDC, y uno de ellos tiene una ubicación de identificador de llamadas que contradice su biografía declarada. El perfil de LinkedIn que figuraba en su currículum fue posteriormente eliminado por el equipo de LinkedIn.
buscar cname = SEATTLE WA buscar cname = WESTPORT WA
Los actores de ITW de la RPDC suelen crear cuentas de GitHub de aspecto impresionante para respaldar su competencia técnica en las entrevistas de trabajo. EM no es una excepción a esto.
Figura 3. Una cuenta de GitHub impresionante
Una cuenta de GitHub utilizada por EM tiene miles de contribuciones, que aparentemente datan de 2011.
Figura 4. Mapa de calor de GitHub que muestra de forma errónea confirmaciones antiguas.
Figura 5. El commit más antiguo presentado en GitHub
Sin embargo, parece que EM falsificó la mayoría de las fechas de confirmación.
La fecha real de la primera contribución de EM en esta cuenta se puede determinar utilizando la API de GitHub (ver la respuesta a la solicitud a continuación), que devuelve una fecha de diciembre de 2024, no de 2011.
➜ ~ curl -s https://api.github.com/repos/em███████/D██████-W██████ | jq -r '.created_at'
2024-12-14T██:██:00Z
Este actor simplemente cambió el año de la fecha de su commit sin firmar de 2024 a 2011.
Las múltiples caras (de IA) de EM
El rostro de EM, tal como se presenta en varios perfiles en línea, es inconsistente. Ninguna de ellas se parece en absoluto a la imagen utilizada en los documentos de identidad falsificados de EM.
Figuras 6,7. Fotos de perfil generadas por IA
A simple vista, parecen creaciones de IA, y varias herramientas de detección de IA en línea ofrecen evaluaciones con niveles de confianza que varían de mixtos a altos cuando se les pregunta si las fotos de perfil fueron generadas por IA.
Figura 8. Verificador de IA en línea (fuente: writehuman.ai)
Una tercera foto de perfil, probablemente procedente de una cuenta de LinkedIn ya eliminada, carece de la resolución necesaria para determinar con precisión si fue generada por IA. De nuevo, está claro que no se trata de lo mismo que la identidad falsificada u otras imágenes generadas por IA utilizadas por el actor.
Figura 9. Otra aparición más de EM
¿El otro EM de la RPDC?
Durante el transcurso de nuestra investigación, Okta Threat Intelligence evaluó dos perfiles profesionales adicionales con una biografía y una foto de perfil claramente diferentes que las herramientas identificaron como probablemente no generadas por IA.
Figura 10. Otro perfil de la RPDC para EM
Figura 11. Un tercer perfil de la RPDC para EM
Como muestra la tabla a continuación, los dos perfiles revelan una historia muy diferente. Podría tratarse de otro actor de ITW de la RPDC que utiliza la misma identidad, o de una versión anterior de la biografía ficticia de EM.
|
Biografía original de EM |
Segunda biografía de EM |
|
|---|---|---|
Ubicación actual |
Seattle |
Miami |
Educación |
Título universitario de Japón |
Título de la Universidad de Florida |
Puestos anteriores |
|
|
Ubicación actual
Seattle
Educación
Título universitario de Japón
Puestos anteriores
- Varios puestos en el sector tecnológico en Seattle, actualmente autónomo
- Un puesto en una empresa de apuestas con sede en Boston
- Un puesto en una institución financiera con sede en Nueva York
- Experiencia laboral previa en España y Japón
Ubicación actual
Miami
Educación
Título de la Universidad de Florida
Puestos anteriores
- Ingeniero de software para una empresa de desarrollo de software
- Developer para una gran consultora
- Ingeniero de software para otra consultora
Su nuevo empleado (RPDC)
Durante nuestra investigación, a menudo evaluamos si un actor de ITW de la RPDC ha sido contratado con éxito para un puesto. En este caso podemos afirmar con bastante seguridad que EM ha sido contratado: gracias a una publicación en LinkedIn de su nuevo empleador, dando la bienvenida a su contratación más reciente.
Figura 12. Bienvenida a un nuevo empleado (de la RPDC)
La fotografía utilizada en esta publicación es incluso más evidentemente generada por IA que cualquiera de las otras fotografías que analizamos.
Se han tomado medidas para contactar con esta organización e informarles de nuestras observaciones.
Conclusión
Al igual que ocurre con los candidatos genuinos que buscan trabajo, la gran mayoría de las entrevistas con facilitadores y agentes de la RPDC no llegan a una segunda entrevista ni a una oferta de trabajo.
Sin embargo, algunos actores parecen ser más competentes a la hora de crear personajes y superar las entrevistas de selección. Su habilidad no se limita a la capacidad de impresionar a un posible empleador, sino que también abarca las herramientas y técnicas que utilizan los actores de ITW de la RPDC para intentar ocultar sus verdaderos orígenes.
Dada la enorme cantidad de aplicaciones de empleo y entrevistas que se realizan, los distintos operadores del programa IT Worker están claramente “aprendiendo de sus errores” y, en muchos casos, duplicando enfoques (estructura y elementos del currículum, creación del perfil de LinkedIn y tecnologías de soporte a las entrevistas) que han tenido éxito en el avance de una aplicación sobre otra. Se está produciendo una especie de selección natural entre los trabajadores del sector informático. Los actores más exitosos son muy prolíficos y programaron cientos de entrevistas cada uno. Consideramos probable que a menudo actúen como “intermediarios en entrevistas” para conseguir puestos de trabajo que luego se transfieren a otros actores de trabajadores de TI de la RPDC.
El riesgo del proveedor de servicios
Nuestra investigación reveló que un gran número de trabajadores informáticos de la RPDC buscan trabajo temporal por contrato como desarrolladores de software contratados por organizaciones externas. Estimamos que es potencialmente menos probable que estas empresas apliquen controles de antecedentes rigurosos a estos empleados temporales con tareas fijas que lo que harían las empresas a las que prestan servicios en el caso de los empleados de contratación directa.
Esto subraya la importancia de realizar dichas comprobaciones no solo a los empleados contratados directamente, sino también a todas las personas que tengan acceso a los recursos de la empresa a través de proveedores de servicios externos.
Las verificaciones de antecedentes nunca pueden ser opcionales
En este informe hemos destacado un ejemplo de la apropiación deliberada de la identidad de una persona real, junto con su historial profesional. Será necesario realizar una verificación rigurosa de antecedentes y de empleo para desenmascarar esta suplantación de identidad. Sin embargo, también observamos la contratación de un actor cuya identidad artificial no resistiría ni siquiera el uso más superficial de un motor de búsqueda.
Las Organizations que contratan sin saberlo a un agente de la RPDC se arriesgan a una posible violación de facto de las obligaciones de sanciones y a la consiguiente exposición legal. Cada contratación comprometida también puede proporcionar a la RPDC:
Beneficio financiero directo (pagos salariales desviados al régimen)
Acceso interno privilegiado a sistemas, datos y redes sensibles
Apalancamiento operativo para ransomware, extorsión o actividades cibernéticas posteriores
Pérdida de secretos corporativos comercialmente confidenciales
Recopilación de inteligencia estratégica y acceso para soporte de futuras operaciones ofensivas
Por lo tanto, las Organizations deben adoptar una defensa por capas, que incluya una verificación rigurosa de la identidad durante la contratación, una supervisión continua del acceso y los patrones de comportamiento de los trabajadores remotos, y un plan claro de respuesta ante incidentes para gestionar las amenazas internas o de la cadena de suministro. Al contratar personal para puestos de gran confianza y acceso, la verificación presencial de la identidad y los documentos y la recolección/provisión de equipos y tokens de acceso representan un costo relativamente pequeño dado el riesgo que asume la organización. El acceso de los empleados que trabajan a distancia, y especialmente de los proveedores de servicios, debe limitarse estrictamente a lo mínimo necesario para desempeñar su función.
Medidas que se deben tomar para contrarrestar esta amenaza
Okta Threat Intelligence considera que las Organizations de todos los sectores, en particular aquellas que anuncian puestos de trabajo remotos o por contrato, deberían adoptar un enfoque proactivo y por capas para la contratación, la incorporación de nuevos empleados y el monitoreo de las amenazas internas. Okta recomienda que las Organizations:
1. Reforzar la verificación de identidad de los solicitantes
Exigir comprobaciones verificables de identificaciones oficiales en múltiples etapas del proceso de reclutamiento y empleo.
Verifique las ubicaciones indicadas con las direcciones IP (incluida la detección del uso de VPN), el comportamiento de la zona horaria, la información bancaria de nómina y las direcciones de entrega proporcionadas para el envío del hardware.
Utilice servicios de terceros acreditados para autenticar documentos de identidad, historial laboral y credenciales académicas
2. Reforzar los procesos de reclutamiento y selección
Capacitar al personal de recursos humanos y a los reclutadores para que identifiquen las señales de alerta. Fomentar procesos que permitan identificar si un candidato es sustituido entre rondas de entrevistas. Enséñeles a identificar señales de comportamiento como el desconocimiento de la zona en la que afirman residir, la negativa a reunirse en persona, la negativa a encender la cámara o eliminar los filtros de fondo durante las entrevistas, o realizar las entrevistas utilizando una conexión a Internet muy deficiente. Identificar currículos duplicados, cronogramas inconsistentes, zonas horarias que no coinciden y referencias no verificables. Evaluar la presencia en línea y en redes sociales del candidato en función de la información proporcionada. Cuando se presenten pruebas de trabajos anteriores, investigue si estos proyectos fueron simplemente clonados a partir de los repositorios de perfiles de usuarios legítimos.
Verifique el historial de ediciones de currículos y archivos PDF en los metadatos del documento y otros “indicadores” técnicos relacionados con la duplicación y la reutilización.
Agregar verificación técnica y de comportamiento estructurada (programación o redacción en vivo bajo la supervisión del reclutador).
Se requieren referencias de correo electrónico corporativo (no correo web gratuito) y se debe confirmar mediante una llamada saliente a los números del conmutador principal de la organización de referencia. Asegúrese de que estas referencias incluyan elementos distintos a los que se muestran, por ejemplo, en los perfiles públicos de LinkedIn, como el nombre del último gerente.
3. Implementar controles de acceso segregados y basados en roles
Asigne por defecto perfiles con privilegios mínimos a los trabajadores nuevos o eventuales y desbloquee el acceso adicional una vez que se completen las comprobaciones del período de prueba.
Segmentar el desarrollo, las pruebas y la producción; requerir Workflows de revisión y aprobación por pares para la fusión y el despliegue de código.
Supervise los patrones de acceso anómalos (extracciones de grandes cantidades de datos, inicios de sesión fuera del horario laboral desde ubicaciones geográficas/VPN inesperadas, uso compartido de credenciales).
Utilice campañas de certificación de acceso para regular el acceso continuo.
4. Supervisar a los contratistas y proveedores de servicios externos
Siempre que sea posible, establezca contractualmente estándares continuos de verificación de identidad, verificaciones de antecedentes, políticas de autenticación fuerte, parámetros de seguridad básicos para los dispositivos y derechos de auditoría.
Se requieren cuentas de usuario nominales (sin inicios de sesión compartidos ni cuentas de servicio internas siempre que sea posible) y acceso independiente para cada inquilino/proyecto en cada entorno de cliente.
5. Implementar programas de concientización sobre seguridad y amenazas internas
Establecer una función específica para la gestión de riesgos internos o, al menos, un grupo de trabajo que abarque los departamentos de Recursos Humanos, Asuntos Legales, Seguridad e Informática.
Proporcionar capacitación específica a reclutadores, gerentes de contratación y líderes técnicos sobre las técnicas de ITW y los controles de selección.
Educar y capacitar a los gerentes de contratación y al personal para que observen y presenten informes sobre comportamientos potencialmente extraños de sus pares que generen dudas sobre su identidad, objetivos y ubicación.
Crear canales de elaboración de informes más seguros para comportamientos sospechosos o inquietudes sobre los candidatos.
6. Coordinar con las fuerzas del orden y con otros profesionales del sector
Compartir indicadores de compromiso y patrones sospechosos de candidatos con las unidades nacionales de ciberdelincuencia y los grupos ISAC/ISAO.
Desarrollar métodos para que el grupo de “riesgo interno” reciba y actúe sobre los indicadores (direcciones de correo electrónico, direcciones IP, proveedores de VPN, creación de documentos e indicadores de comportamiento) y esté preparado para “compartir de vuelta” los hallazgos relevantes.
Participe activamente en foros de intercambio de información para dar seguimiento a la evolución de las tácticas y herramientas de ITW.
7. Realizar evaluaciones de riesgos y ejercicios de simulación de ataques con regularidad
Modelar las rutas de ataque de personal interno y proveedores de servicios malintencionados; cuantificar el impacto potencial en el negocio.
Realizar ejercicios de equipo rojo que pongan a prueba el pipeline de contratación (aplicación y entrevistas simuladas de la RPDC) para evaluar los procesos de verificación de identidad.
Actualizar los planes de respuesta ante incidentes para incluir escenarios que involucren a empleados malintencionados, proveedores de servicios comprometidos y la revocación acelerada del acceso.
Okta Threat Intelligence agradece la ayuda de Epieos en la investigación para esta publicación.
