Una investigación publicada por WIRED describe el alcance de una campaña atribuida a hackers norcoreanos que habría afectado a 1.640 organizaciones en 57 países durante 22 meses. El investigador griego Vangelis Stykas logró acceder a infraestructura usada por los atacantes y encontró indicios de intrusiones en empresas, contratistas y servicios relacionados con tecnología, criptoactivos y software. En cientos de casos, el acceso habría sido especialmente grave, con control sobre servidores, nubes o carteras digitales.
La campaña encaja con una técnica conocida por los equipos de ciberseguridad: falsas entrevistas de trabajo. Los atacantes se hacen pasar por reclutadores o empresas que buscan desarrolladores y convencen a la víctima de descargar una prueba técnica, una herramienta o un repositorio infectado. El punto débil no es solo técnico: explota la presión laboral de desarrolladores que reciben ofertas remotas y quieren demostrar capacidad rápido.
WIRED vincula parte de la actividad con la campaña Contagious Interview, utilizada para distribuir malware a través de procesos de selección simulados. El objetivo principal sería robar criptomonedas y credenciales, aunque la presencia de puertas traseras también abre riesgos de espionaje y sabotaje. En entornos corporativos, un contratista con acceso a varios clientes puede multiplicar el impacto de una sola infección.
La escala señalada por Stykas es relevante porque muestra cómo las campañas de Corea del Norte han evolucionado más allá de ataques puntuales. Durante años, gobiernos y firmas de seguridad han alertado de operaciones que combinan robo de criptomonedas, trabajadores IT falsos y malware financiero para generar ingresos destinados al régimen. La novedad aquí está en la visibilidad interna de una infraestructura que rara vez se observa con tanto detalle.
Para las empresas, el aprendizaje incómodo es que una entrevista técnica puede ser una superficie de ataque tan real como un correo de phishing. Un candidato o reclutador falso puede introducir código malicioso dentro de un flujo que parece normal para un equipo de ingeniería.
Las medidas defensivas no son especialmente exóticas, pero requieren disciplina. Las pruebas de código deberían ejecutarse en entornos aislados, sin acceso a credenciales, repositorios internos ni sesiones personales. Los equipos de selección deben verificar identidades, dominios, perfiles y canales de comunicación. También conviene limitar qué pueden instalar los empleados en máquinas corporativas durante procesos externos.
El problema crece con el trabajo remoto y la contratación internacional. Las startups suelen moverse rápido, recurrir a freelancers y aceptar procesos informales porque necesitan talento. Esa flexibilidad es útil, pero crea ventanas para atacantes que entienden el lenguaje técnico, usan perfiles falsos convincentes y adaptan sus pruebas al puesto. La IA generativa puede hacer esos engaños más creíbles en mensajes, currículos y entrevistas.
La frontera entre recursos humanos y ciberseguridad se está estrechando: contratar, entrevistar y externalizar ya son procesos que necesitan controles técnicos. No basta con revisar el código cuando el daño puede ocurrir antes de que exista una relación laboral.
Para compañías españolas, el caso recomienda revisar políticas de entrevistas técnicas, proveedores y acceso de contratistas. Las amenazas globales no distinguen entre una scaleup de Madrid, una fintech de Valencia o un proveedor industrial de Bilbao si el acceso final es útil. La ciberseguridad empresarial empieza antes del contrato y debe cubrir también los momentos en que una oportunidad laboral parece demasiado rutinaria para ser peligrosa.
