Hasta hace poco, el riesgo interno se consideraba limitado a incidentes aislados. Peligroso, sí. Pero generalmente, resultado de la negligencia de los empleados o de algún que otro individuo que actuaba por avaricia o venganza. El descubrimiento de una campaña de varios años de Corea del Norte para infiltrarse en empresas occidentales ha trastocado estas ideas. La mala noticia para los CISO del Reino Unido es que, según Google, ya no se trata solo de un problema para las empresas estadounidenses.
Ante el aumento sin precedentes de las amenazas internas por parte de Pyongyang, ¿qué pueden hacer los responsables de seguridad y sus colegas de recursos humanos para desenmascarar a los delincuentes? ¿Y para evitar que la próxima oleada de espías se infiltre en puestos de TI internos?
Las últimas tácticas, técnicas y procedimientos
De acuerdo con MicrosoftEl “fraudulento plan de trabajadores remotos” de Corea del Norte lleva en marcha al menos desde 2020, habiendo colocado a miles de trabajadores informáticos en puestos de trabajo en organizaciones occidentales. Varios acusaciones de espías norcoreanos y locales facilitadores Tras esto, se ha revelado la magnitud de la operación. Ahora parece estar expandiéndose a Europa, según Jamie Collier, asesor principal del Grupo de Inteligencia de Amenazas de Google (GTIG).
«La magnitud de la amenaza que representan los trabajadores informáticos de la RPDC sigue creciendo, y las organizaciones del Reino Unido están claramente en el punto de mira. Lo que comenzó como una operación centrada principalmente en EE. UU. se ha expandido hasta convertirse en una campaña global, con Europa como objetivo clave», declaró a IO (anteriormente ISMS.online).
En un caso, un informático de la RPDC se valió de intermediarios tanto en EE. UU. como en el Reino Unido, y se descubrió que un ordenador portátil corporativo —destinado a usarse en Nueva York— estaba operativo en Londres. Esto apunta a una compleja cadena logística, donde los dispositivos y el acceso se canalizan a través de ubicaciones de confianza, lo que permite a los agentes ocultar su verdadera identidad y ubicación.
Estos trabajadores crean, alquilan o compran identidades que coinciden con la geolocalización de la organización objetivo y abren nuevas cuentas de correo electrónico, redes sociales y GitHub para construir una imagen profesional convincente. Sus facilitadores validan estas identidades fraudulentas y les ayudan reenviando dispositivos de la empresa y gestionando granjas de portátiles. Los trabajadores utilizan herramientas de gestión remota para conectarse a estas granjas de dispositivos, ubicadas cerca del puesto, mientras que las VPN, los servidores privados virtuales (VPS) y los servicios de proxy ocultan su verdadera identidad. También se utilizan imágenes y vídeos deepfake con inteligencia artificial y software de modificación de voz para mantener a los empleadores en la ignorancia.
Un informe reciente Un informe de Flare e IBM X-Force revela más detalles sobre la sofisticación de estos esquemas. Revela el uso de plataformas de gestión de TI norcoreanas como "RB Site" y "NetkeyRegister" para proporcionar "una operación administrativa estructurada para el seguimiento del trabajo, la gestión de dispositivos y la distribución de actualizaciones de software". También revela el uso de IP Messenger para comunicaciones encubiertas.
La labor de los equipos de seguridad y recursos humanos se complica debido a que, en la mayoría de los casos, el objetivo de la campaña no es necesariamente el robo de datos ni la extorsión, sino simplemente generar dinero para el régimen de Kim Jong-un. Flare estima que genera hasta 500 millones de dólares anuales, y algunos trabajadores desempeñan varios empleos simultáneamente.
“En algunos casos, no solo consiguen puestos, sino que sobresalen en ellos”, afirma Collier, de Google. “Cuando informamos a un cliente de que un empleado era un agente norcoreano, la respuesta fue: ‘¿Están completamente seguros? Porque es uno de nuestros mejores empleados’”.
Cómo controlar la amenaza interna
Sin embargo, incluso si los trabajadores informáticos norcoreanos no están robando datos ni extorsionando a sus empleadores, su mera presencia representa un importante riesgo para el cumplimiento de la normativa.
«La recomendación de septiembre de 2024 de la Oficina de Implementación de Sanciones Financieras no deja lugar a dudas. Pagar a un informático de la RPDC, incluso sin saberlo, puede constituir una infracción de las sanciones financieras del Reino Unido y de la ONU. Las sanciones son civiles (responsabilidad objetiva, por lo que la ignorancia no exime de responsabilidad) o penales (hasta siete años de prisión)», explica Adrian Cheek, investigador sénior de ciberdelincuencia de Flare.
“La OFSI informó de sanciones coercitivas por valor de aproximadamente 500,000 libras esterlinas en 2024-25, y ese mismo año firmó un nuevo memorando de entendimiento con el Tesoro de los Estados Unidos, lo que significa que la cooperación transatlántica en estos casos se está intensificando. Si su empresa también opera en los EE. UU., se enfrenta a riesgos en ambos lados y el riesgo para su reputación es evidente.”
Cheek describe varios pasos que las organizaciones deberían considerar para mitigar la amenaza. Estos deberían comenzar por mejorar el proceso de contratación, que es la forma de prevenir la mayor parte del daño.
“Empiece por lo básico: verifique la identidad con un documento de identidad oficial, confirme el derecho a trabajar y compruebe de forma independiente el historial laboral y las referencias. No se limite a llamar al número que aparece en el currículum”, explica a IO (antes ISMS.online). “Para cualquier asunto relacionado con sistemas o datos confidenciales, vaya más allá. La verificación de antecedentes según la norma BS 7858 abarca un historial laboral verificado de cinco años sin lagunas inexplicables, comprobaciones de sanciones y listas de vigilancia, y verificaciones de integridad financiera cuando la ley lo permite”.
A continuación, debería mejorarse el proceso de selección de entrevistas.
“Este es el aspecto que la mayoría de las guías pasan por alto. Las entrevistas técnicas estándar son extremadamente fáciles de superar con una IA ejecutándose en una segunda pantalla, que es precisamente lo que hacen estos profesionales. Hay que diseñar entrevistas que rompan con ese esquema”, afirma Cheek. “Introduce una pregunta falsa y observa qué sucede. Y formula preguntas que requieran una opinión real, no una respuesta de libro de texto. Evita cualquier pregunta que un candidato pueda responder simplemente copiando y pegando la respuesta en un máster en derecho”.
Los reclutadores también deberían insistir en compartir la pantalla en directo y cambiar el formato de las entrevistas entre rondas para despistar a quienes intenten engañar a los demás. «Si su fluidez disminuye drásticamente cuando no pueden prepararse y no cuentan con asistencia de IA, es un indicador importante», afirma Cheek.
Para los puestos que implican acceso a datos confidenciales, es imprescindible al menos una reunión presencial.
Finalmente, Cheek concluye que las organizaciones pueden mitigar el riesgo de tener entre sus filas a un posible trabajador norcoreano aplicando el principio de mínimo privilegio, deshabilitando las cuentas de administrador local y restringiendo la capacidad de instalar herramientas de escritorio remoto.
“No le entregue a un nuevo contratista las llaves de todos los repositorios y herramientas internas el primer día. Proporcione el acceso gradualmente y revíselo periódicamente”, afirma. “Y si no puede proporcionar un dispositivo administrado, asegúrese de que exista un sistema equivalente de registro y visibilidad de los puntos finales”.
Colaboración con Recursos Humanos
Según Adenike Cosgrove, estratega de ciberseguridad de Mimecast, muchos de estos esfuerzos requerirán que los equipos de seguridad establezcan vínculos con sus homólogos de recursos humanos.
«La colaboración debe integrarse en el proceso de selección como práctica habitual, no como un recurso adicional», explica a IO. «Recursos Humanos suele ser la primera línea de defensa. Detectan las primeras señales: candidatos que evaden las preguntas sobre su identidad, se resisten a la verificación o tienen un comportamiento inconsistente. Sin un canal claro para comunicar estas preocupaciones al departamento de seguridad, dichas señales desaparecen».
Según ella, lo mismo debería aplicarse a la baja de empleados, para garantizar que se elimine el acceso a la red inmediatamente después de la rescisión del contrato de un empleado sospechoso de actuar con malas intenciones.
“Nada de esto funciona sin un acuerdo previo: sobre qué aspectos comunica Recursos Humanos a Seguridad, qué información responde Seguridad y cómo se toman las decisiones cuando la situación es ambigua”, añade Cosgrove.
“El riesgo interno es, en última instancia, un problema de personas. Los equipos que tienen contacto directo con los empleados y los que manejan los datos deben trabajar con los mismos protocolos. Si Recursos Humanos y Seguridad no funcionan como un solo sistema, esta amenaza se filtra fácilmente a través de la brecha que existe entre ellos.”
El papel de los marcos de mejores prácticas
La buena noticia es que, aunque normas como la ISO 27001 puedan parecer "ajenas" a amenazas como esta, "en la práctica son más relevantes que nunca", afirma Cosgrove.
“Lo que proporciona la norma ISO 27001 es estructura”, añade. “Impulsa la alineación entre la selección de personal, los controles de acceso y la supervisión de la seguridad, que es precisamente donde reside esta amenaza”.
Flare's Cheek va más allá. Cita el NIST CSF 2.0 como relevante para multinacionales o empresas que trabajan con clientes estadounidenses. Y Cyber Essentials como básico, pero con útiles requisitos de control de acceso. Sin embargo, argumenta que la ISO 27001 es la más completa para abordar la amenaza norcoreana.
Cheek menciona lo siguiente como útil y relevante en este contexto:
- Anexo A 6.1 (Verificación), que requiere verificaciones de antecedentes proporcionales al nivel de riesgo del puesto y verificación continua.
- Anexo A 5.16 (Gestión de identidades), que exige una identificación de usuario única y prohíbe las cuentas compartidas.
- Los anexos A 6.5 y 6.6 exigen que las obligaciones de confidencialidad subsistan tras la rescisión del contrato y que el acceso se revoque de inmediato, lo que mitiga los riesgos de extorsión.
- Anexo A 6.7 (Trabajo remoto), que cubre los riesgos de los dispositivos no gestionados que verifican físicamente a los trabajadores remotos
«El verdadero valor de la norma ISO 27001 reside en su dimensión cultural», concluye. «Desde hace más de un año, los investigadores afirman que el riesgo interno debe ser una responsabilidad compartida entre los departamentos de seguridad, recursos humanos, legal, auditoría y finanzas. La norma ISO 27001 proporciona la estructura necesaria para lograrlo».
Amplíe su conocimiento
Blog: Cuando el servicio de asistencia técnica es la amenaza
Guía: Informe sobre el estado de la seguridad de la información 2025
