IA Global

El espejo del adversario: veintidós meses dentro de la infraestructura de Corea del Norte

11 de agosto de 2026·PorRicardo Scarpa

Análisis técnico, operativo y geopolítico de la campaña "Contagious Interview" y del contra-hackeo que expuso 1.640 redes corporativas comprometidas en 57 países.

Índice

Introducción: contexto y magnitud del hallazgo
1.1. La presentación de Vangelis Stykas en Black Hat 2026
1.2. El actor de amenaza: Lazarus Group / APT38
1.3. Volumen de víctimas: 1.640 empresas en 57 países
1.4. Alcance del compromiso: acceso root, AWS y 5 TB de datos exfiltrados
Metodología del contra-hackeo
2.1. Acceso a los servidores de comando y control (C2)
2.2. El fenómeno de la autorinfección de los operadores norcoreanos
2.3. Activos obtenidos: claves de desarrollador, Slack, Discord y código fuente
La campaña 'Contagious Interview': ingeniería social sobre desarrolladores
3.1. Falsas ofertas de empleo y suplantación de reclutadores
3.2. Canales de aproximación: LinkedIn, WhatsApp y Discord
3.3. La prueba de codificación como vector inicial
Cadena de ataque y arsenal técnico
4.1. Paquetes maliciosos en ecosistemas open source (npm, PyPI, GitHub)
4.2. La técnica "runOn: folderOpen" en Visual Studio Code
4.3. Esteganografía en imágenes SVG para ocultar payloads
4.4. Familias de malware: BeaverTail, InvisibleFerret y OtterCookie
4.5. Capacidades finales: robo de credenciales, carteras crypto y RAT vía Socket.IO
Perfil de las víctimas y respuesta institucional
5.1. Sectores afectados: salud, finanzas, poder judicial y criptomonedas
5.2. Casos documentados: Boston Children's Hospital, Consejo Supremo de Italia, Coinbase y Uniswap
5.3. Empresas que no respondieron a las advertencias del investigador
Dimensión financiera y litigios asociados
6.1. Volumen de criptomonedas robadas (2025-2026): datos de Chainalysis y TRM Labs
6.2. El hack de Bybit (1.460 millones USD) y la demanda civil contra Corea del Norte
Implicaciones geopolíticas y evasión de controles
7.1. Uso de deepfakes en entrevistas laborales para suplantar identidades
7.2. Alerta conjunta de 11 países sobre trabajadores norcoreanos de TI (julio 2026)
7.3. Colaboración entre Lazarus y grupos de ransomware
7.4. Técnicas novedosas de ocultación: EtherHiding en blockchains públicas
Conclusiones y recomendaciones para la defensa
8.1. Lecciones para la verificación de contratistas y cadena de suministro
8.2. Eficacia del "hunting" activo frente a actores estatales
8.3. Limitaciones del estudio: dependencia de una única fuente de inteligencia
8.4. Llamada a la colaboración público-privada

1. Introducción: contexto y magnitud del hallazgo

1.1. La presentación de Vangelis Stykas en Black Hat 2026

El 9 de agosto de 2026, durante la conferencia Black Hat celebrada en Las Vegas, el investigador de ciberseguridad Vangelis Stykas, director tecnológico de la firma griega Kumio, presentó los resultados de una operación de inteligencia ofensiva sin precedentes en el ámbito de la caza de actores estatales (1). Stykas había logrado infiltrarse y mantener acceso persistente a la infraestructura de comando y control (C2) de un grupo de hackers norcoreanos durante un periodo de veintidós meses, lo que le permitió monitorizar en tiempo real sus operaciones, extraer volúmenes masivos de datos y cartografiar el alcance global de sus compromisos (2). La ponencia, titulada "Living Inside the North Korean Hacker's Infrastructure", supuso la primera divulgación pública de una investigación que, por su duración y profundidad de acceso, se sitúa entre las operaciones de contra-inteligencia más extensas documentadas contra un grupo APT (Advanced Persistent Threat) de origen estatal (3).

1.2. El actor de amenaza: Lazarus Group / APT38

La atribución realizada por Stykas, corroborada por la comunidad de inteligencia y por informes previos de empresas como Microsoft y Elastic (4), señala al colectivo conocido como Lazarus Group (también designado como APT38 por la industria financiera, o Hidden Cobra por el gobierno de Estados Unidos). Este grupo, dependiente de la Agencia de Inteligencia de Corea del Norte (Reconnaissance General Bureau), ha sido responsable desde al menos 2017 de una serie de campañas de robo de criptomonedas a gran escala, ataques a la cadena de suministro de software y ciberespionaje económico, acumulando pérdidas estimadas en más de 6.700 millones de dólares hasta la fecha (5). Lo distintivo de la operación analizada es que Lazarus no operaba en este caso contra objetivos gubernamentales de alto valor, sino contra una masa heterogénea de empresas tecnológicas y contratistas individuales, utilizando como vector principal la suplantación de reclutadores en plataformas profesionales (6).

1.3. Volumen de víctimas: 1.640 empresas en 57 países

Según los datos presentados por Stykas, el barrido de los servidores C2 y de las estaciones de trabajo de los propios operadores norcoreanos permitió identificar 1.640 entidades corporativas distribuidas en 57 países que habían resultado afectadas por las operaciones de los hackers (1). De esa cifra, entre 700 y 800 organizaciones sufrieron lo que el investigador calificó como intrusiones "realmente dañinas" (really damaging), es decir, compromisos que implicaban acceso administrativo total a sus entornos y la exfiltración de información crítica (2). La fuente no aclara si el total de 1.640 incluye tanto a empresas directamente atacadas como a aquellas que resultaron afectadas de forma indirecta a través de contratistas o proveedores de software comprometidos (3). No obstante, la magnitud de la cifra, si se confirma mediante auditorías independientes, convertiría esta campaña en una de las operaciones de intrusión masiva más extensas jamás atribuidas a un único actor estatal.

1.4. Alcance del compromiso: acceso root, AWS y 5 TB de datos exfiltrados

El nivel de acceso que los hackers norcoreanos lograban obtener en las víctimas era excepcionalmente elevado. Stykas documentó la obtención de privilegios de administrador (acceso root) en servidores y la capacidad de moverse lateralmente dentro de los entornos de Amazon Web Services (AWS) de las empresas comprometidas (1). Este grado de control permitía a los atacantes no solo robar carteras de criptomonedas, sino también manipular infraestructuras cloud completas, desplegar herramientas de persistencia y, en algunos casos, acceder a blockchains y claves privadas de activos digitales (3). Como resultado de su permanencia encubierta dentro de los sistemas de los atacantes, Stykas logró extraer aproximadamente 5 terabytes de datos que incluían claves de desarrollador, código fuente de proyectos internos y el historial completo de comunicaciones de los operadores norcoreanos en plataformas como Slack y Discord (2). La autoría de la noticia subraya que, en ciertos momentos, los propios hackers se infectaron a sí mismos con su propio malware, lo que facilitó aún más el acceso del investigador a sus equipos personales (1). No existe evidencia suficiente para afirmar que Stykas haya compartido estos 5 TB con las autoridades o con las víctimas, más allá de las notificaciones selectivas que realizó a algunas empresas (3).

2. Metodología del contra-hackeo

2.1. Acceso a los servidores de comando y control (C2)

El pilar metodológico de la investigación de Stykas consistió en lograr acceso persistente a los servidores de comando y control (command-and-control servers) utilizados por los operadores norcoreanos para gestionar las infecciones de sus víctimas (1). Stykas, que se desempeña como director tecnológico de la firma de ciberseguridad Kumio, declinó revelar a WIRED los detalles técnicos específicos de cómo logró esa penetración, citando la sensibilidad de la información (1). La fuente no aclara si el acceso se obtuvo mediante explotación de vulnerabilidades, ingeniería social, reutilización de credenciales comprometidas o algún otro vector. No obstante, el hecho de que haya mantenido ese acceso durante veintidós meses sin ser detectado sugiere un alto grado de sofisticación operativa y un conocimiento profundo de la infraestructura del adversario (1)(2).

Lo que distingue esta investigación de los informes de inteligencia de amenazas convencionales es que Stykas no estimó el número de víctimas desde la observación externa de indicadores de compromiso, sino que las contó desde los propios archivos de los atacantes (2). Esta diferencia metodológica es sustancial: mientras que la mayoría de los informes de la industria se basan en telemetría, muestras de malware y correlación de datos, Stykas tuvo acceso directo a los registros operativos de los hackers, lo que confiere a sus cifras un grado de precisión inusualmente alto (2).

2.2. El fenómeno de la autorinfección de los operadores norcoreanos

Uno de los hallazgos más relevantes desde el punto de vista táctico es que, en algunos casos, los propios hackers norcoreanos infectaron sus propias estaciones de trabajo con su propio malware (1)(2). Esta circunstancia, que Stykas describe como un error operativo de los atacantes, le otorgó acceso no solo a los servidores C2, sino también a los equipos personales de los operadores (1). Como resultado, pudo monitorizar sus comunicaciones internas y observar su actividad en tiempo real (2).

La fuente no precisa si esta autorinfección se produjo por negligencia, por el uso de las mismas herramientas de prueba en entornos no aislados, o como consecuencia de algún otro fallo en la segmentación de sus infraestructuras. Sin embargo, el hecho documentado evidencia una debilidad en la disciplina operativa del grupo, que contrasta con la alta efectividad de sus campañas ofensivas. Este tipo de errores, aunque aparentemente menores, pueden resultar catastróficos para actores de amenaza que dependen del sigilo operativo (1)(2).

2.3. Activos obtenidos: claves de desarrollador, Slack, Discord y código fuente

El volumen y la naturaleza de los datos a los que Stykas logró acceder son excepcionales. Según sus declaraciones, ha tenido visibilidad de aproximadamente 5 terabytes de datos en total (1)(2). Este acervo incluye:

Claves de desarrollador (developer keys) y credenciales de acceso a sistemas de las víctimas (2).
Código fuente privado de proyectos en los que trabajaban los contratistas y empresas comprometidas (2).
El historial completo de comunicaciones de los operadores norcoreanos en plataformas como Slack y Discord (1)(2).
Registros de los movimientos laterales dentro de las redes de las víctimas y de las operaciones de exfiltración de datos (1).

El acceso a Slack y Discord es particularmente significativo, ya que estas plataformas constituyen el canal principal de coordinación de los equipos de ataque. Stykas pudo observar directamente cómo los hackers gestionaban sus campañas, asignaban objetivos y compartían herramientas (1). La fuente no indica si estos 5 TB han sido compartidos íntegramente con las autoridades o si Stykas ha retenido el control exclusivo de los mismos. Tampoco se pronuncia sobre las implicaciones legales o éticas de que un investigador privado mantenga una cantidad tan ingente de datos potencialmente sensibles sin una supervisión institucional clara.

El acceso prolongado a los sistemas de los atacantes permitió a Stykas no solo cartografiar el alcance de las intrusiones, sino también identificar nuevas víctimas en tiempo real a medida que los hackers las añadían a sus registros (2). Esta capacidad de monitorización continua es lo que le ha permitido afirmar con confianza que el número de 1.640 empresas afectadas es una cifra "firme" (firm), a diferencia de las estimaciones basadas en inferencias externas (2).

3. La campaña 'Contagious Interview': ingeniería social sobre desarrolladores

3.1. Falsas ofertas de empleo y suplantación de reclutadores

El vector de ataque documentado por Stykas y corroborado por múltiples fuentes de inteligencia de amenazas recibe el nombre de "Contagious Interview" (Entrevista Contagiosa), una campaña de ingeniería social activa desde al menos diciembre de 2022 (1)(4). Su característica distintiva reside en la explotación de la confianza inherente a los procesos de contratación en el sector tecnológico. Los operadores norcoreanos, que actúan bajo la supervisión del Reconnaissance General Bureau, se hacen pasar por reclutadores de empresas legítimas, frecuentemente del sector de las criptomonedas o de proveedores de soluciones de inteligencia artificial, y contactan con desarrolladores de software en busca de empleo (1)(5).

El engaño se articula en torno a un proceso de selección simulado que replica con gran fidelidad los flujos de trabajo de contratación reales: contacto inicial, conversaciones técnicas, asignación de pruebas y seguimientos (1). Los investigadores de Kudelski Security documentaron cómo los operadores norcoreanos llegaron a contratar colaboradores externos en Irán para que actuasen como entrevistadores, externalizando así parte de la interacción social y dificultando la atribución (5). En otros casos, los atacantes utilizaban la identidad y los equipos de colaboradores que habían sido previamente engañados para infiltrarse en plataformas como CodeMentor y postularse a puestos de desarrollo freelance (5). Esta sofisticación en la cadena de confianza evidencia un nivel de planificación operativa que trasciende las campañas de phishing convencionales.

La eficacia de la táctica radica en la vulnerabilidad psicológica del objetivo: los desarrolladores, especialmente aquellos en búsqueda activa de empleo, se encuentran en un estado de alta motivación y sometidos a presión temporal, lo que reduce su umbral de sospecha y resistencia ante las solicitudes del falso reclutador (1). Los atacantes aprovechan este contexto para solicitar la ejecución de paquetes maliciosos o comandos bajo la apariencia de tareas rutinarias de evaluación (1).

3.2. Canales de aproximación: LinkedIn, WhatsApp y Discord

El espectro de canales utilizados por los operadores para contactar con sus víctimas es amplio y refleja los hábitos de comunicación de la comunidad tecnológica. Las fuentes documentan el uso de LinkedIn, WhatsApp, Discord, Slack, Telegram y GitHub como plataformas de aproximación inicial (2)(5).

El caso más paradigmático, y uno de los que permitió a Elastic Security Labs descubrir la campaña, ocurrió cuando los atacantes dirigieron sus lures contra el propio Slack comunitario de Elastic (2)(4). El 26 de mayo de 2026, un usuario identificado como "Maxwell" publicó en el canal #jobs de Elastic un mensaje en el que afirmaba estar actualizando una plataforma de comercio electrónico y buscaba un desarrollador experimentado para el proyecto (2). Los destinatarios que mostraron interés fueron trasladados a mensajes directos, donde se les instruyó para completar una prueba de codificación como parte del proceso de selección (2)(4). Este incidente pone de manifiesto que ningún foro abierto donde se congregan desarrolladores está a salvo de ser utilizado como "watering hole" por los actores norcoreanos (2).

El investigador Daniel Stepanic, de Elastic, señala que el uso de plataformas sociales públicas —GitHub, Slack, Discord, LinkedIn, Telegram— forma parte del flujo de trabajo de ingeniería social de los operadores, quienes primero construyen una reputación creíble mediante la suplantación de usuarios o marcas antes de intentar infectar a sus objetivos (4). La persistencia de esta táctica con ajustes mínimos a lo largo del tiempo es, en sí misma, evidencia de su efectividad (4).

3.3. La prueba de codificación como vector inicial

El núcleo técnico de la campaña reside en la prueba de codificación o coding challenge que los falsos reclutadores entregan a sus víctimas. Estas pruebas, que se presentan como repositorios alojados en plataformas como GitHub, GitLab o Bitbucket, contienen código aparentemente funcional pero incluyen, oculto en su interior, un payload malicioso (1)(2).

La cadena de ataque ha evolucionado en sofisticación a lo largo del tiempo. En sus iteraciones más recientes, documentadas a partir de diciembre de 2025, los atacantes emplean la técnica "runOn: folderOpen" en Visual Studio Code (VS Code) (3). Cuando la víctima descarga el repositorio y lo abre en VS Code, el editor le solicita que confíe en el autor del repositorio. Si el usuario concede esa confianza, VS Code ejecuta automáticamente el archivo de configuración de tareas del repositorio (task configuration file), que a su vez descarga y carga el backdoor (1)(3). Esta técnica no requiere interacción adicional del usuario más allá de abrir el proyecto, lo que la hace especialmente insidiosa (3). El investigador Stykas confirma que este es el mecanismo mediante el cual los contratistas comprometidos —muchos de los cuales trabajaban para múltiples empresas simultáneamente, hasta treinta en algunos casos— propagaban el acceso a sus clientes (1).

La sofisticación del engaño se extiende a la presentación de las pruebas. Los repositorios maliciosos contienen código completamente funcional que, a simple vista, parece un proyecto legítimo de comercio electrónico o una herramienta de desarrollo (2)(4). Sin embargo, el código malicioso se activa en segundo plano, de forma silenciosa, mientras la víctima cree estar realizando una tarea de evaluación normal (4). En algunos casos, los atacantes han llegado a utilizar la técnica de esteganografía, ocultando payloads de múltiples etapas dentro de imágenes SVG (Scalable Vector Graphics) que forman parte del proyecto (2)(4). Esta capa adicional de ocultación permitió que los repositorios, en el momento del descubrimiento por parte de Elastic, tuvieran cero detecciones por parte de los antivirus (2).

Proofpoint, por su parte, documentó una variante de la campaña, denominada UNK_DeadDrop, en la que los atacantes enviaron más de 250 correos electrónicos en un periodo de seis semanas a individuos de casi 100 organizaciones, predominantemente en Estados Unidos (más del 75% de los objetivos) (3). Los correos contenían enlaces a repositorios de GitHub que aparentaban ser asignaciones técnicas o proyectos relacionados con criptomonedas (3). La cadena de infección resultante desplegaba malware multiplataforma para macOS, Linux y Windows, incluyendo un framework de código abierto denominado Overlord (3). Esta proliferación de variantes y vectores de ataque subraya la capacidad de adaptación y escala de la campaña Contagious Interview, que continúa añadiendo nuevas víctimas día tras día, según advierte Stykas (1).

4. Cadena de ataque y arsenal técnico

4.1. Paquetes maliciosos en ecosistemas open source (npm, PyPI, GitHub)

El vector de entrega inicial de la campaña Contagious Interview se articula en torno a la distribución de paquetes maliciosos a través de los repositorios de código abierto más utilizados por la comunidad de desarrolladores. Los atacantes alojan sus payloads en plataformas como GitHub, GitLab o Bitbucket, presentándolos como repositorios legítimos que contienen pruebas de codificación o proyectos de ejemplo para procesos de selección (2). La víctima, engañada por la apariencia profesional del repositorio y la credibilidad del falso reclutador, procede a clonar y ejecutar el paquete, que en realidad contiene el código malicioso (2).

El alcance de esta estrategia de envenenamiento de la cadena de suministro es considerable. Investigaciones de la industria han documentado la existencia de más de 1.700 paquetes maliciosos distribuidos a través de al menos cinco ecosistemas diferentes: npm (el gestor de paquetes de Node.js), PyPI (el repositorio oficial de Python), Go Modules, crates.io (el registro de paquetes de Rust) y Packagist (el repositorio de PHP) (10). Los nombres de estos paquetes suplantan con frecuencia a herramientas legítimas ampliamente utilizadas —como debug, pino-debug, license o http—, aprovechando la confianza que los desarrolladores depositan en dependencias de apariencia familiar (10). La fuente no precisa el número exacto de paquetes identificados en cada ecosistema, ni si todos ellos están activos en el momento de la redacción (10).

Los repositorios maliciosos contienen, en apariencia, código completamente funcional que ejecuta la tarea prometida sin levantar sospechas (3). Elastic Security Labs documentó varios ejemplos de estos repositorios —next-ecommerce-private-main.zip, shopping-platform-main.zip, ecommerce-platform.zip— que, en el momento de su descubrimiento, registraban cero detecciones por parte de los antivirus (3). Esta ausencia total de alertas evidencia la capacidad de los atacantes para eludir los mecanismos de seguridad basados en firmas y la necesidad de enfoques de detección más avanzados (3).

4.2. La técnica "runOn: folderOpen" en Visual Studio Code

A partir de diciembre de 2025, los operadores de Contagious Interview adoptaron una técnica de ejecución automática que elimina la necesidad de interacción del usuario más allá de abrir el repositorio (4). Esta técnica, conocida como "runOn: folderOpen", explota las capacidades de automatización de Visual Studio Code (VS Code), el editor de código más utilizado entre los desarrolladores (7).

El mecanismo es el siguiente: cuando la víctima descarga el repositorio malicioso y lo abre en VS Code, el editor le solicita que confíe en el autor del repositorio (2). Si el usuario concede esa confianza —un gesto habitual en el flujo de trabajo diario de un desarrollador—, VS Code ejecuta automáticamente el archivo de configuración de tareas del repositorio (tasks.json), que contiene instrucciones predefinidas para ser ejecutadas al abrir la carpeta (2)(7). En los repositorios maliciosos, este archivo contiene comandos que descargan y ejecutan el payload malicioso desde un servidor remoto (7). La técnica se ha documentado en al menos once repositorios atribuidos al mismo operador, que utilizaba el alias "andrew" y suplantaba a la empresa Web3 Koinos (7).

La investigación de ENKI White Hat reveló que los comandos incluidos en el archivo tasks.json varían según el sistema operativo de la víctima: para macOS se emplea curl con redirección a sh; para Linux, wget; y para Windows, curl con ejecución a través de cmd (7). Esta adaptación multiplataforma garantiza que el malware se despliegue independientemente del entorno de desarrollo de la víctima (7). Una vez ejecutado el comando, el payload se descarga y se instala en segundo plano, sin que el usuario observe ninguna anomalía en el funcionamiento del proyecto (2). La fuente no especifica si la técnica "runOn: folderOpen" es la única vía de ejecución automática utilizada o si existen variantes que emplean otros desencadenantes (4).

La adopción de esta técnica supone un salto cualitativo en la sofisticación de la campaña. Mientras que las iteraciones iniciales requerían que la víctima ejecutara manualmente un comando o un paquete npm, la técnica "runOn: folderOpen" elimina cualquier acción explícita por parte del usuario más allá de abrir el proyecto en el editor (2)(4). Esta automatización aumenta drásticamente la tasa de éxito del ataque y reduce la fricción en el proceso de infección (4).

4.3. Esteganografía en imágenes SVG para ocultar payloads

En mayo de 2026, Elastic Security Labs descubrió una evolución significativa en la cadena de ataque de Contagious Interview, que incorpora esteganografía en imágenes SVG (Scalable Vector Graphics) para ocultar los payloads maliciosos (3)(5). Esta técnica, asignada internamente con el código de seguimiento REF9403, no había sido documentada previamente en las campañas asociadas a este grupo (3).

El funcionamiento es el siguiente: los repositorios maliciosos, que aparentan ser proyectos legítimos de comercio electrónico desarrollados con Next.js, contienen archivos de imagen SVG que forman parte de la interfaz del proyecto (3). Sin embargo, estas imágenes incorporan, mediante técnicas de esteganografía, payloads de múltiples etapas codificados en base64 (5). Cuando el proyecto se ejecuta —ya sea mediante la técnica "runOn: folderOpen" o mediante la ejecución manual de scripts—, el código malicioso lee las imágenes SVG, extrae los fragmentos de payload ocultos, los ensambla y los ejecuta en memoria (3)(5). La víctima, al interactuar con el proyecto, observa una funcionalidad perfectamente normal, mientras que el código malicioso se activa de forma silenciosa en segundo plano (5).

La elección de las imágenes SVG como vehículo de ocultación no es casual. Los archivos SVG son archivos de texto basados en XML que pueden contener, además de las instrucciones de dibujo, cualquier tipo de dato codificado sin que ello afecte a su representación visual (3). Esta característica los convierte en un medio idóneo para el ocultamiento de datos, ya que un archivo SVG malicioso es indistinguible de uno legítimo a simple vista y, en el momento del descubrimiento, ningún antivirus detectaba los payloads ocultos en estas imágenes (3)(5). La fuente no aclara si los atacantes han utilizado otras técnicas de ocultación además de la esteganografía en SVG (3).

El descubrimiento de esta técnica se produjo cuando los atacantes dirigieron sus lures contra el propio Slack comunitario de Elastic (3). El 26 de mayo de 2026, un usuario identificado como "Maxwell" publicó en el canal #jobs de Elastic un mensaje en el que ofrecía un proyecto de actualización de una plataforma de comercio electrónico (3). Los interesados fueron trasladados a mensajes directos y se les instruyó para completar una prueba de codificación que, al ser ejecutada, desplegaba el payload oculto en las imágenes SVG (3)(5). Este incidente pone de manifiesto que ningún foro abierto de la comunidad tecnológica está a salvo de ser utilizado como punto de entrada por los actores norcoreanos (3)(5).

4.4. Familias de malware: BeaverTail, InvisibleFerret y OtterCookie

El arsenal desplegado por los operadores de Contagious Interview incluye tres familias de malware principales, documentadas por Microsoft, Elastic Security Labs y ENKI White Hat: BeaverTail, InvisibleFerret y OtterCookie (2)(7). Estas herramientas, desarrolladas en JavaScript y con capacidades multiplataforma, se despliegan secuencialmente a lo largo de la cadena de infección (2).

BeaverTail constituye la primera etapa del ataque. Se trata de un cargador (loader) que se ejecuta tras la apertura del repositorio malicioso y tiene como función principal establecer el contacto inicial con el servidor de comando y control y descargar las etapas posteriores del malware (7). La fuente no proporciona detalles adicionales sobre las capacidades específicas de BeaverTail más allá de su función como cargador inicial (7).

InvisibleFerret actúa como la segunda etapa. Se trata de un reconocedor y exfiltrador de información que, una vez desplegado, realiza un barrido del sistema de la víctima en busca de credenciales almacenadas, archivos de configuración y, especialmente, carteras de criptomonedas (7). Su nombre —"hurón invisible"— alude a su capacidad para operar de forma sigilosa, extrayendo datos sin generar alertas (7). La fuente no especifica si InvisibleFerret tiene capacidades de persistencia o si actúa únicamente como una herramienta de exfiltración puntual (7).

OtterCookie es el componente más sofisticado y el más ampliamente observado de las tres familias (2). Documentado por primera vez en septiembre de 2024, OtterCookie es un backdoor basado en JavaScript que ha evolucionado desde una herramienta básica para ejecutar comandos remotos y buscar claves de criptomonedas hasta convertirse en un programa modular capaz de realizar una amplia gama de actividades maliciosas (2). Microsoft Defender Experts ha identificado dos variantes activas de OtterCookie, siendo la más reciente, rastreada desde octubre de 2025, significativamente más ofuscada que sus predecesoras: oculta cadenas, URLs y lógica mediante búsquedas de índices codificados y matrices reorganizadas, lo que reduce los artefactos en tiempo de ejecución y dificulta el análisis estático y la detección basada en firmas (2).

El análisis de ENKI White Hat reveló además que los operadores están utilizando modelos de lenguaje de gran tamaño (LLMs) para generar partes del código malicioso (7). Esta práctica, si se confirma, supondría un cambio relevante en el panorama de amenazas, al permitir a los atacantes desarrollar malware de forma más eficiente y con una complejidad que dificulta la ingeniería inversa (7). La fuente no especifica qué LLMs concretos se han utilizado ni en qué proporción del código total (7).

4.5. Capacidades finales: robo de credenciales, carteras crypto y RAT vía Socket.IO

El payload final desplegado por la cadena de ataque de Contagious Interview, que culmina con OtterCookie, integra cuatro capacidades principales que operan de forma simultánea o secuencial (3)(5):

En primer lugar, un robador de credenciales del navegador y carteras de criptomonedas (browser credential and crypto wallet stealer). Este componente extrae las contraseñas almacenadas, las cookies de sesión y, especialmente, las claves privadas y datos de las extensiones de carteras de criptomonedas instaladas en el navegador (3). Dado que muchos desarrolladores utilizan el navegador para gestionar sus activos digitales, este vector resulta particularmente rentable para los atacantes (3).

En segundo lugar, un robador de archivos (file stealer) que escanea el sistema de la víctima en busca de documentos, archivos de configuración, claves SSH y cualquier otro activo que pueda resultar de valor (3)(5). La amplitud de la búsqueda y los criterios de selección no se especifican en las fuentes (3).

En tercer lugar, un registrador de portapapeles (clipboard stealer) que monitoriza el contenido del portapapeles del sistema. Esta capacidad está diseñada específicamente para capturar direcciones de carteras de criptomonedas que el usuario copia para realizar transacciones (3). Al interceptar y modificar estas direcciones, los atacantes pueden redirigir los fondos a sus propias carteras sin que la víctima lo advierta (3).

En cuarto lugar, y quizás el componente más relevante desde el punto de vista operativo, un troyano de acceso remoto (RAT, Remote Access Trojan) basado en Socket.IO (3)(5). Socket.IO es una biblioteca de JavaScript que permite la comunicación bidireccional en tiempo real entre cliente y servidor, y es ampliamente utilizada en aplicaciones web legítimas (2)(3). Al emplear Socket.IO para la comunicación con el servidor de comando y control, los atacantes logran camuflar su tráfico malicioso entre el gran volumen de comunicaciones legítimas que utilizan el mismo protocolo, dificultando su detección por parte de los sistemas de seguridad (3). A través de este canal, el RAT puede ejecutar comandos arbitrarios en el sistema de la víctima, cargar módulos adicionales, descargar e instalar nuevo malware, y exfiltrar los datos robados (2)(3). El RAT opera en segundo plano, lanzando procesos hijos desacoplados y rastreando sus identificadores para la gestión del ciclo de vida, lo que le confiere una capacidad de ejecución sigilosa y resiliente (2).

Además de estas cuatro capacidades, Microsoft ha documentado un agente de balizamiento (beaconing agent) que, aunque técnicamente distinto de OtterCookie, opera como un componente ligero de comando y control (2). Este agente recopila huellas del sistema anfitrión —nombre del host, identificadores de red, detalles del sistema operativo y dirección IP pública— y contacta periódicamente con el controlador remoto para intercambiar información de estado y recuperar tareas (2). Su función principal es mantener una conexión persistente y de bajo perfil con el servidor C2, permitiendo a los atacantes mantener el control sobre los sistemas comprometidos durante largos periodos de tiempo (2).

La campaña UNK_DeadDrop, documentada por Proofpoint, incorpora además el framework de código abierto Overlord, que proporciona capacidades de robo de datos y ejecución remota de comandos (4). En las infecciones para macOS y Linux, el loader solicita a la víctima que introduzca su contraseña del sistema mediante una ventana emergente falsa de seguridad, una táctica de ingeniería social que complementa las capacidades técnicas del malware (4). En Windows, la cadena de infección no mantiene una conexión persistente: tras exfiltrar los datos en un archivo ZIP, el malware realiza una limpieza y termina su ejecución (4). La fuente no especifica si esta diferencia en el comportamiento entre sistemas operativos responde a limitaciones técnicas o a una estrategia deliberada de los atacantes (4).

5. Perfil de las víctimas y respuesta institucional

5.1. Sectores afectados: salud, finanzas, poder judicial y criptomonedas

La campaña Contagious Interview, tal como ha sido cartografiada por Stykas, no se ha limitado a un sector vertical concreto, sino que ha afectado a una amplia diversidad de industrias (1)(2). Las 1.640 entidades comprometidas en 57 países incluyen organizaciones de los sectores de salud, finanzas tradicionales, poder judicial, administración pública, tecnología y, de manera especialmente prominente, el ecosistema de las criptomonedas (1). Esta transversalidad sectorial indica que los atacantes no seleccionaban sus objetivos por su actividad principal, sino por su acceso a activos digitales de valor y, en particular, a carteras de criptomonedas (1). Los hackers, aunque tuvieron acceso a datos sensibles como registros de salud o antecedentes penales, centraron sus esfuerzos casi exclusivamente en el robo de criptomonedas (1).

La fuente no proporciona un desglose porcentual de los sectores afectados, por lo que no es posible determinar si algún sector concentró un número desproporcionado de compromisos (1). Tampoco se especifica si el patrón de ataque varió en función del sector o si los atacantes aplicaron el mismo modus operandi con independencia del tipo de organización (1). Lo que sí se desprende de las fuentes es que los contratistas de TI comprometidos —muchos de los cuales trabajaban para múltiples empresas simultáneamente, hasta treinta en algunos casos— actuaron como vector de propagación, llevando el acceso a sus distintos clientes (1). Esta cadena de contagio explica que organizaciones de sectores muy diversos aparezcan en la misma lista de víctimas (1).

5.2. Casos documentados: Boston Children's Hospital, Consejo Supremo de Italia, Coinbase y Uniswap

Stykas, en su presentación en Black Hat, nombró públicamente a aproximadamente una docena de organizaciones que, según su criterio, habían manejado bien el proceso de divulgación y notificación (1). La fuente no especifica el criterio exacto que utilizó Stykas para seleccionar estas organizaciones para la divulgación pública, más allá de señalar que se trataba de aquellas que habían respondido adecuadamente a sus advertencias (1).

Entre las entidades mencionadas se encuentran:

Boston Children's Hospital (Estados Unidos). El hospital infantil de Boston fue identificado como una de las víctimas. Según las fuentes, el incidente afectó a una base de datos de salud relacionada con la pandemia de COVID-19 (1). No obstante, el hospital emitió una declaración en la que matizó el alcance del compromiso: el incidente involucró el dispositivo personal de un excontratista y no los sistemas centrales del hospital, y la institución no encontró evidencia de acceso no autorizado a sus redes (1). La fuente no aclara si esta declaración del hospital contradice o matiza la evaluación de Stykas sobre la gravedad del compromiso (1).

Coinbase (Estados Unidos). El exchange de criptomonedas fue nombrado públicamente entre las víctimas (1). Coinbase declaró que el contratista señalado por Stykas fue investigado y despedido en un plazo de treinta días tras la notificación, y que no se expusieron datos de clientes (1). La compañía añadió que, tras verificar la información proporcionada por el investigador, no encontró confirmación de que el contratista tuviera vínculos con el gobierno de Corea del Norte (1). Esta matización sugiere que, aunque el contratista estaba comprometido, la conexión con el actor estatal norcoreano no era directamente atribuible al individuo (1).

Uniswap Labs (Estados Unidos). El desarrollador del protocolo descentralizado Uniswap también figura entre las organizaciones mencionadas (1). La fuente no detalla la naturaleza del compromiso ni la respuesta de la empresa, más allá de su inclusión en la lista de organizaciones que manejaron bien la divulgación (1). El hecho de que Coinbase y Uniswap Labs, dos de las plataformas más importantes del ecosistema cripto, aparezcan en la misma lista subraya el interés prioritario de los atacantes por el sector de las criptomonedas (1)(2).

Consejo Supremo de la Judicatura de Italia (Italy's Supreme Judicial Council) (Italia). La inclusión de esta institución judicial entre las víctimas evidencia que los atacantes no se limitaban al sector privado, sino que también penetraron en instituciones gubernamentales y del Estado de Derecho (1). La fuente no especifica qué tipo de información pudo haber sido comprometida ni si el acceso afectó a procedimientos judiciales o datos sensibles (1).

OPPO (China). El fabricante chino de teléfonos inteligentes fue identificado como otra de las víctimas (1). Este caso es particularmente relevante por tratarse de una empresa tecnológica de gran tamaño con operaciones globales, lo que indica que ninguna organización, por grande o tecnológicamente sofisticada que sea, está exenta del riesgo (1). La fuente no detalla la naturaleza del compromiso en OPPO ni la respuesta de la compañía (1).

Subsidiaria de Al Rajhi Bank (Arabia Saudí). El banco Al Rajhi, uno de los mayores bancos del mundo islámico, tuvo una subsidiaria comprometida (1). La fuente no especifica qué subsidiaria ni el alcance del compromiso (1).

Digitaal Vlaanderen (Bélgica). La entidad encargada de la digitalización del gobierno flamenco también figura entre las víctimas (1). Este caso evidencia que las administraciones públicas europeas no han sido ajenas a la campaña (1).

Además de estas, la fuente menciona que Stykas nombró públicamente a otras organizaciones gubernamentales sin especificar cuáles (1). La fuente no aclara si estas organizaciones fueron notificadas antes de la divulgación pública ni si todas ellas habían tenido la oportunidad de responder (1). Tampoco se especifica si Stykas ha compartido la lista completa de las 1.640 organizaciones con las autoridades competentes o si ha retenido esa información (1).

5.3. Empresas que no respondieron a las advertencias del investigador

Uno de los aspectos más preocupantes que revela la investigación de Stykas es que cientos de empresas nunca respondieron a sus advertencias (1). Stykas, que había estado notificando a las organizaciones afectadas a medida que identificaba los compromisos, se encontró con que una proporción significativa de ellas ignoró por completo sus comunicaciones (1). La fuente no precisa el número exacto de empresas que no respondieron ni los canales que utilizó Stykas para contactarlas (1). Tampoco especifica si estas notificaciones se realizaron a través de los canales de seguridad de las empresas, a sus departamentos legales, o mediante otros medios (1).

La falta de respuesta tiene consecuencias graves: sin la colaboración de las víctimas, no es posible realizar una auditoría forense para determinar el alcance exacto del compromiso, cerrar las puertas traseras y eliminar la persistencia de los atacantes en las redes (1). Stykas advierte que, como resultado de esta falta de cooperación, cada día se añaden más empresas a la lista de víctimas (1). Esta advertencia sugiere que los atacantes continúan operando y que el número de 1.640 entidades es una cifra en crecimiento, no un inventario cerrado (1).

La fuente no se pronuncia sobre las posibles razones de esta falta de respuesta: si se debe a que las empresas no verificaron la autenticidad de las comunicaciones de Stykas, si carecen de los recursos para investigar, si subestiman el riesgo, o si prefieren no reconocer públicamente un compromiso por razones de reputación o regulatorias (1). Tampoco se menciona si Stykas ha recurrido a canales oficiales —como los equipos de respuesta a incidentes de los Estados miembros o las agencias de ciberseguridad nacionales— para forzar la notificación a las víctimas que no responden (1).

La conclusión de Stykas, recogida por la fuente, es contundente: "Están aquí, nos están hackeando sin parar... Al final del día, todo el mundo está siendo hackeado" (1). Esta afirmación, aunque formulada en un contexto de divulgación pública, refleja la percepción del investigador sobre la magnitud y persistencia de la amenaza (1). La fuente no proporciona evidencia independiente que permita verificar si esta afirmación se basa en datos objetivos o si responde a una percepción subjetiva del investigador (1).

6. Dimensión financiera y litigios asociados

6.1. Volumen de criptomonedas robadas (2025-2026): datos de Chainalysis y TRM Labs

La campaña Contagious Interview, aunque articulada en torno al robo de credenciales y carteras de criptomonedas, constituye una pieza más dentro de un ecosistema de ciberdelincuencia financiera de proporciones industriales. Los datos agregados procedentes de las principales firmas de análisis de blockchain permiten dimensionar la magnitud del fenómeno y contextualizar el hallazgo de Stykas dentro de una tendencia sostenida de crecimiento exponencial.

Según el Crypto Crime Report de 2026 publicado por Chainalysis, los hackers norcoreanos sustrajeron 2.020 millones de dólares en criptomonedas durante el año 2025, lo que representa un incremento del 51% respecto al año anterior y constituye la cifra anual más alta registrada hasta la fecha (13)(14)(5). Este volumen, que supera los 1.600 millones de dólares estimados por el equipo de monitoreo de sanciones de Naciones Unidas (Multilateral Sanctions Monitoring Team, MSMT) para el periodo de enero a septiembre de 2025, sitúa a Corea del Norte como el actor estatal más prolífico en el robo de activos digitales (8). El MSMT, integrado por once países —entre ellos Corea del Sur, Estados Unidos, Japón, Australia y Canadá—, fue establecido tras la disolución del panel de expertos de la ONU en abril de 2024 debido al veto de Rusia a la prórroga de su mandato (8). Jonathan Fritz, subsecretario principal adjunto de la Oficina de Asuntos de Asia Oriental y Pacífico del Departamento de Estado de Estados Unidos, calificó la cifra de 2.000 millones como una "estimación conservadora y de bajo rango", señalando que "el número real es probablemente mayor" (8).

El informe de Chainalysis revela además que tres hackeos concentraron más de dos tercios de los fondos robados en 2025, lo que evidencia un patrón de ataques de alto impacto, relativamente escasos en número pero devastadores en su magnitud financiera (14). El hackeo de Bybit, ocurrido el 21 de febrero de 2025, representó por sí solo 1.500 millones de dólares, es decir, aproximadamente el 44% del total de criptomonedas robadas en todo el mundo durante ese año (14)(3). El conjunto acumulado de fondos robados por actores norcoreanos desde 2017 asciende, según Chainalysis, a 6.750 millones de dólares, una cifra que subraya la continuidad y escalada de esta actividad delictiva a lo largo de casi una década (14)(5). CrowdStrike, en su informe de amenazas al sector financiero de 2026, corroboró que los actores vinculados a Corea del Norte impulsaron un aumento del 51% en el robo de activos digitales en 2025, y señaló que estos grupos utilizan identidades generadas por inteligencia artificial, reclutadores falsos y campañas de acceso a la nube contra empresas de criptomonedas y financieras (7).

El primer semestre de 2026, sin embargo, presenta un panorama mixto. Según el análisis de TRM Labs, los atacantes llevaron a cabo 207 hackeos distintos entre enero y junio de 2026, la cifra más alta registrada por la firma en cualquier periodo semestral (9). A pesar del incremento en el número de incidentes —más del doble de los 83 registrados en el mismo periodo de 2025—, las pérdidas totales ascendieron a 972 millones de dólares, menos de la mitad de los 2.300 millones sustraídos en el primer semestre de 2025 (9). Esta disminución en el valor total robado no refleja una reducción de la amenaza, sino la ausencia de un ataque de la magnitud del de Bybit en el primer semestre de 2026 (10). TRM Labs atribuye aproximadamente 643 millones de dólares (el 66% del total) a actividades vinculadas con Corea del Norte (9)(10). De esa cantidad, cerca de 577 millones de dólares proceden de dos ataques ocurridos en abril de 2026 contra plataformas de finanzas descentralizadas (DeFi): el Drift Protocol, un exchange de futuros basado en Solana, que sufrió un robo de 285 millones de dólares; y KelpDAO, una plataforma DeFi, que perdió 292 millones de dólares (9)(10). TRM Labs señala que "la actividad de Corea del Norte no se ha ralentizado", y advierte que "una única operación exitosa contra un objetivo importante puede seguir superando meses de pérdidas de todos los demás atacantes combinados" (10). La firma de análisis identificó además que los ataques contra infraestructuras y compromisos operativos representaron solo el 15% de los incidentes, pero concentraron aproximadamente el 76% de las pérdidas totales (9).

La fuente de la noticia de WIRED, en la que se basa el hallazgo de Stykas, no proporciona datos cuantitativos agregados sobre el volumen financiero total sustraído a través de la campaña Contagious Interview específicamente (1). No es posible, por tanto, determinar qué proporción de los 2.020 millones de dólares robados en 2025 o de los 643 millones del primer semestre de 2026 corresponde directamente a esta campaña (1). La fuente tampoco especifica si Stykas ha realizado una estimación del valor total de las carteras de criptomonedas comprometidas a través de los 1.640 contratistas y empresas afectadas (1).

6.2. El hack de Bybit (1.460 millones USD) y la demanda civil contra Corea del Norte

El hackeo de Bybit, ocurrido el 21 de febrero de 2025, constituye el mayor robo de criptomonedas de la historia y el episodio más emblemático de la actividad delictiva del grupo Lazarus (12)(3). Los atacantes sustrajeron aproximadamente 401.000 tokens de Ethereum (ETH y stETH), valorados en ese momento en cerca de 1.500 millones de dólares (12)(11). El modus operandi consistió en el compromiso de uno de los proveedores de Bybit y la alteración de la dirección de la cartera digital utilizada para una transferencia, lo que llevó al exchange a enviar los activos a una cartera controlada por los atacantes en lugar de a su destino previsto (11). El FBI confirmó la implicación de hackers norcoreanos en el ataque pocos días después, el 26 de febrero de 2025 (3)(12). El hackeo de Bybit representó una proporción sustancial de los 2.020 millones de dólares robados por Corea del Norte en 2025 (14). Bybit, el segundo mayor exchange de criptomonedas del mundo con sede en Dubái, repuso posteriormente los activos robados mediante préstamos de inversores e inició esfuerzos para rastrear los fondos a través de redes blockchain públicas (11).

En agosto de 2026, Bybit interpuso una demanda civil contra la República Popular Democrática de Corea, su Oficina General de Reconocimiento (Reconnaissance General Bureau, RGB) —la agencia de inteligencia norcoreana— y el grupo Lazarus en el Tribunal de Distrito de Estados Unidos para el Distrito de Columbia (12)(11). La demanda, presentada de forma independiente a las investigaciones penales en curso de las autoridades estadounidenses, busca la recuperación de los activos robados y el establecimiento de responsabilidades por el mayor ciberataque contra un exchange de criptomonedas (12). Bybit obtuvo una medida cautelar preliminar (preliminary injunction) que congela los activos robados identificados, impidiendo su transferencia o disipación mientras el litigio continúa (12)(11). El tribunal consideró que "Bybit ha demostrado una probabilidad de éxito en el fondo" al conceder la medida (11). Los individuos y entidades no identificadas que poseen o mueven los fondos han sido designados como acusados John Doe (12). Hasta la fecha, Bybit ha recuperado aproximadamente 48,4 millones de dólares en activos robados y ha congelado más de 30,5 millones de dólares en más de 28 exchanges y custodios, según declaraciones de la compañía (11). Además, las autoridades alemanas han desmantelado el exchange de criptomonedas eXch, mientras que las autoridades alemanas y suizas interrumpieron posteriormente Cryptomixer.io, dos servicios que Bybit vinculó con los canales utilizados para mover los productos ilícitos (11). La compañía también lanzó el programa Lazarus Bounty, que incentiva la identificación del movimiento de criptomonedas robadas y facilita la congelación de activos vinculados al robo (11).

El CEO de Bybit, Ben Zhou, declaró que "el ataque de Lazarus no fue solo un ataque a Bybit. Fue un ataque a la confianza en nuestra industria" (11). La demanda civil, que se tramita en paralelo a las investigaciones penales del FBI, supone un hito en los esfuerzos del sector de las criptomonedas por utilizar el sistema judicial para perseguir la recuperación de activos robados por actores estatales (12). La fuente de la noticia no menciona si Stykas ha colaborado con Bybit o con las autoridades en la investigación del hackeo, ni si los datos obtenidos de los servidores C2 de los hackers norcoreanos contienen información relevante para el caso (1). Tampoco se especifica si el modus operandi de Contagious Interview —la infiltración de contratistas— guarda relación con el vector de ataque utilizado contra Bybit, que involucró el compromiso de un proveedor (1)(11). Ambas tácticas comparten, no obstante, el mismo denominador: la explotación de la cadena de confianza en el ecosistema tecnológico para obtener acceso a activos de alto valor (1)(11). La fuente no proporciona información sobre si las autoridades han considerado la posibilidad de que los contratistas comprometidos a través de Contagious Interview hayan actuado como vectores de acceso en otros grandes robos además del de Bybit (1).

7. Implicaciones geopolíticas y evasión de controles

7.1. Uso de deepfakes en entrevistas laborales para suplantar identidades

La evolución de la campaña Contagious Interview no se limita al ámbito técnico; los operadores norcoreanos han incorporado tecnologías de inteligencia artificial generativa para superar las barreras de verificación de identidad que las empresas han establecido para protegerse de trabajadores norcoreanos infiltrados (5)(4). El Servicio de Inteligencia Nacional de Corea del Sur (National Intelligence Service, NIS) documentó en su informe anual de 2025, publicado el 10 de mayo de 2026, que los hackers norcoreanos han comenzado a utilizar tecnología deepfake para participar en entrevistas de trabajo por vídeo en tiempo real (5).

La táctica opera del siguiente modo: los operadores norcoreanos roban identidades de ciudadanos de otros países y las utilizan para postularse a puestos de trabajo en empresas tecnológicas, frecuentemente en el sector de las criptomonedas (5). Cuando el proceso de selección incluye una entrevista por videoconferencia —un requisito cada vez más común para verificar la identidad del candidato—, los atacantes emplean deepfakes para alterar su apariencia en tiempo real durante la llamada, engañando a los responsables de contratación (5)(4). Esta técnica les permite eludir uno de los principales mecanismos de control que las empresas han implementado para detectar a trabajadores norcoreanos, que tradicionalmente se han basado en la verificación visual y documental (5).

El NIS también documentó que, para borrar rastros y dificultar las investigaciones, los operadores norcoreanos han recurrido al borrado remoto de los teléfonos inteligentes de las víctimas cuando un intento de hackeo es descubierto o cuando las fuerzas del orden comienzan a rastrear sus actividades (5). Esta capacidad de autodestrucción remota complica significativamente los esfuerzos de respuesta a incidentes y la recopilación de pruebas forenses (5).

Además de los deepfakes en entrevistas, otros grupos vinculados a Corea del Norte han utilizado inteligencia artificial para otros fines. El grupo PutridSlug empleó deepfakes de vídeo y audio para suplantar a ejecutivos de empresas durante llamadas de Zoom, engañando a empleados tecnológicos para que descargasen código malicioso (4). El grupo Kimsuky utilizó ChatGPT para fabricar documentos de identificación gubernamentales en campañas de spear-phishing dirigidas contra funcionarios surcoreanos (4). El grupo UNC1069 desplegó deepfakes habilitados por IA junto con siete familias de malware personalizadas para atacar a organizaciones del sector de criptomonedas (4). La proliferación de estas técnicas entre diferentes grupos norcoreanos evidencia una adopción sistémica de la inteligencia artificial generativa como herramienta operativa (4)(5).

El NIS proyecta que el rápido avance de las tecnologías de inteligencia artificial, combinado con un panorama geopolítico global cada vez más inestable, intensificará la ciberguerra en el próximo año (5). La agencia advierte que la integración de la IA a lo largo de todo el proceso de hackeo podría conducir a una evolución constante de los métodos de ataque, causando potencialmente graves perturbaciones a la seguridad nacional y las operaciones corporativas (5).

7.2. Alerta conjunta de 11 países sobre trabajadores norcoreanos de TI (julio 2026)

El 31 de julio de 2026, once países —Corea del Sur, Estados Unidos, Japón, Reino Unido, Australia, Canadá, Francia, Alemania, Italia, Países Bajos y Nueva Zelanda— emitieron una alerta conjunta sobre los trabajadores de tecnología de la información norcoreanos (8)(9)(7). La alerta, publicada por el Departamento de Estado de Estados Unidos, instaba a todos los países, empresas y otras entidades a profundizar en su comprensión de los esquemas de trabajadores norcoreanos de TI, implementar medidas para abordarlos y reforzar las contramedidas, como el fortalecimiento de los procedimientos de verificación de identidad (8)(9).

El comunicado conjunto señala textualmente: "Corea del Norte depende de una red de trabajadores de tecnología de la información cualificados, desplegados dentro y fuera de Corea del Norte, para obtener identidades falsas y obtener ingresos de forma remota para financiar los programas ilegales de armas nucleares y misiles balísticos de Corea del Norte" (8)(9). Los países firmantes destacaron que los trabajadores norcoreanos suplantan a nacionales de otros países para obtener trabajo e ingresos a través de plataformas en línea operadas por empresas privadas para el empleo, la contratación y la prestación de servicios (8)(9). La alerta advierte que estos trabajadores constituyen una amenaza interna para las empresas y están involucrados en exfiltración de datos, robo de criptomonedas y sustracción de información sensible (8)(9). Además, señalan que los trabajadores norcoreanos de TI emplean métodos cada vez más sofisticados, incluida la integración de la IA, para ocultar sus identidades y expandir sus actividades a nivel global (8)(9).

La alerta recuerda a todos los Estados miembros de la ONU su obligación de repatriar a Corea del Norte a todos los nacionales norcoreanos que obtengan ingresos en su jurisdicción, con excepciones limitadas, citando una resolución del Consejo de Seguridad de la ONU sobre el régimen norcoreano (8)(9). Además, advierte que contratar a trabajadores norcoreanos de TI y pagarles por servicios prestados puede violar las leyes nacionales de muchos países, incluidos Japón, Estados Unidos y Corea del Sur, y puede acarrear consecuencias legales o sanciones financieras (8)(9).

Corea del Norte respondió a la alerta conjunta calificándola de "difamación infundada" (7). La fuente no especifica si la respuesta norcoreana incluía amenazas de represalias o negaciones adicionales (7). La alerta conjunta, emitida pocos días antes de la presentación de Stykas en Black Hat, contextualiza el hallazgo del investigador dentro de un esfuerzo diplomático y de inteligencia más amplio para combatir la infiltración de trabajadores norcoreanos en la economía global (8)(9)(1). La coincidencia temporal sugiere que las agencias de inteligencia de los once países ya tenían conocimiento de la magnitud del problema antes de la divulgación pública de Stykas, aunque la fuente no confirma si la alerta se basó total o parcialmente en la investigación de Stykas (8)(9)(1).

7.3. Colaboración entre Lazarus y grupos de ransomware

La investigación de Stykas, centrada en el robo de criptomonedas, se inserta en un ecosistema de amenazas en el que las fronteras entre el crimen organizado y los actores estatales se están difuminando (10). En julio de 2026, la firma de ciberseguridad surcoreana AhnLab publicó un informe técnico, titulado "Operation Double Barrel", que documenta cómo el grupo Lazarus y el esquema de ransomware Gunra llevaron a cabo campañas paralelas contra objetivos surcoreanos entre 2025 y el primer semestre de 2026, diferenciándose únicamente en su objetivo final (10).

Ambos grupos explotaron las mismas vulnerabilidades en productos de software de seguridad financiera surcoreanos, que son efectivamente obligatorios para cualquier persona que utilice servicios bancarios o gubernamentales en Corea del Sur (10). Ambos utilizaron nombres de archivo de malware y argumentos de ejecución idénticos, las mismas herramientas de elevación de privilegios, los mismos servidores de comando y control, y la misma huella de clave SSH —un identificador criptográfico que funciona como una firma digital única— (10). Ambos incluso eliminaron su malware de la misma manera, renombrando los archivos con cadenas aleatorias de cuatro caracteres antes de borrarlos (10).

Mientras que Lazarus instaló puertas traseras de espionaje en al menos 72 organizaciones en 2026 —incluyendo agencias gubernamentales, exchanges de criptomonedas y proveedores de servicios de TI—, Gunra utilizó su acceso para cifrar archivos, robar datos y exigir un pago de extorsión (10). AhnLab no atribuyó definitivamente ambas campañas al mismo actor, pero señaló que las superposiciones podrían indicar colaboración, infraestructura compartida o intermediación de acceso (access brokering), clasificando los casos como con "alta probabilidad de vinculación técnica" que requiere investigación continuada (10). Cabe precisar que el informe técnico conjunto de AhnLab y las agencias surcoreanas se refiere al actor estatal únicamente como "grupo respaldado por el Estado" (state-sponsored threat group), sin atribuirlo formalmente a Lazarus por nombre; es la cobertura periodística posterior —entre ella la de The Record (10), aquí citada— la que emplea esa denominación con base en el patrón de tácticas, técnicas y procedimientos ya documentado para el grupo. Como parte de su campaña, los atacantes comprometieron 15 sitios web legítimos surcoreanos de múltiples industrias y los utilizaron para ataques de watering-hole, redirigiendo a los visitantes seleccionados de esos sitios comprometidos a una infraestructura específica que activaba las vulnerabilidades del software e inyectaba código malicioso en procesos legítimos de Microsoft (10).

Los hallazgos de AhnLab se suman a un creciente conjunto de evidencias de que los hackers respaldados por Pyongyang están profundizando su enredo con el ecosistema de ransomware (10). En los últimos dieciocho meses, diferentes actores estatales norcoreanos han sido vinculados por investigadores a las operaciones de ransomware Play, Qilin y Medusa (10)(0). El grupo Lazarus, en particular, ha sido asociado con el despliegue de ransomware Medusa contra organizaciones del sector sanitario en Estados Unidos y contra un objetivo no identificado en Oriente Medio (0). En estas campañas, Lazarus desplegó un conjunto de herramientas que incluía Comebacker (una puerta trasera/cargador previamente vinculada a Diamond Sleet), Blindingcan (un troyano de acceso remoto), ChromeStealer y Mimikatz (0). La colaboración entre actores estatales y grupos de ransomware amplifica el alcance y el impacto de las operaciones norcoreanas, al tiempo que dificulta la atribución y la respuesta (10).

7.4. Técnicas novedosas de ocultación: EtherHiding en blockchains públicas

En octubre de 2025, investigadores de seguridad de Google documentaron que un grupo de hackers vinculado a Corea del Norte, rastreado como UNC5342, había comenzado a utilizar una técnica conocida como EtherHiding para entregar malware y facilitar el robo de criptomonedas (11)(1). Se trata del primer caso conocido de un actor estatal que adopta esta técnica (11).

EtherHiding consiste en incrustar código malicioso dentro de contratos inteligentes (smart contracts) en redes blockchain públicas como Ethereum y BNB Smart Chain (11)(1). El código malicioso permanece accesible mientras la blockchain esté operativa, lo que hace que sea imposible de eliminar o modificar mediante los esfuerzos tradicionales de derribo (takedown) (11)(1). Según Google, "esto representa un cambio hacia el alojamiento a prueba de balas de próxima generación" (next-generation bulletproof hosting) (11). Los atacantes están explotando las mismas características de descentralización que hacen resiliente a la blockchain (11).

Desde febrero de 2025, UNC5342 ha utilizado EtherHiding como parte de una campaña de ingeniería social que atrae a desarrolladores —frecuentemente aquellos que trabajan en la industria de las criptomonedas o la tecnología— para que descarguen malware disfrazado de archivos relacionados con el trabajo o pruebas de codificación (11). Una vez que la víctima abre el archivo, un script malicioso se conecta a la blockchain para recuperar código cifrado de un contrato inteligente (11). Ese código instala el cargador JadeSnow, que a su vez entrega una puerta trasera más persistente conocida como InvisibleFerret, que ha sido utilizada en múltiples robos de criptomonedas (11). Los atacantes también pueden actualizar o reemplazar silenciosamente su malware modificando el contrato inteligente, sin que la víctima o los defensores lo adviertan (11).

La naturaleza pseudónima de la blockchain añade otra capa de anonimato, dificultando la identificación de los responsables de la operación (11). Google señaló que, aunque los hackers dependen de blockchains descentralizadas para almacenar su código, todavía interactúan a través de servicios web centralizados que los defensores pueden monitorizar o bloquear para interrumpir los ataques (11). En palabras de los investigadores: "UNC5142 y UNC5342 están utilizando servicios permissionados para interactuar con blockchains sin permiso" (11). El grupo UNC5342 fue rastreado por Google desde febrero de 2026 incorporando EtherHiding en una campaña de ingeniería social en curso, y los investigadores observaron que los hackers utilizaban JadeSnow para recuperar un payload de Ethereum o BNB Smart Chain, lo que dificultaba el análisis (1).

La técnica EtherHiding se suma al arsenal de métodos de ocultación empleados por los actores norcoreanos, que ya incluyen la esteganografía en imágenes SVG documentada por Elastic Security Labs en el contexto de Contagious Interview (3)(5). La adopción de tecnologías blockchain por parte de un actor estatal para la entrega de malware representa un salto cualitativo en la sofisticación operativa y plantea nuevos desafíos para la defensa, ya que los mecanismos tradicionales de bloqueo de dominios o direcciones IP resultan ineficaces contra contenido alojado en una blockchain inmutable (11)(1).

8. Conclusiones y recomendaciones para la defensa

8.1. Lecciones para la verificación de contratistas y cadena de suministro

La investigación de Stykas expone con claridad una vulnerabilidad estructural del ecosistema tecnológico contemporáneo: la cadena de suministro de talento y de código se ha convertido en el vector de acceso preferente para los actores estatales (1). La campaña Contagious Interview no explota vulnerabilidades de software, sino la confianza depositada en los procesos de contratación y en las dependencias de código abierto (2)(4). Esta característica la sitúa en la categoría de ataques a la cadena de suministro (supply chain attacks) de máxima sofisticación, por cuanto el vector de entrada no es una aplicación, sino un individuo con credenciales legítimas que, sin saberlo, se convierte en el agente del compromiso (1).

De los hallazgos documentados se derivan varias lecciones operativas para las organizaciones. En primer lugar, la verificación de identidad de los contratistas debe trascender la mera comprobación documental y la entrevista por videoconferencia. Dado que los atacantes han incorporado deepfakes en tiempo real y suplantación de identidades robadas (5), resulta insuficiente confiar en la apariencia visual o en la documentación aportada. Las organizaciones deberían implementar mecanismos de verificación biométrica robustos y validación cruzada de la identidad a través de canales independientes (5). La fuente no ofrece recomendaciones específicas en este sentido, pero la evidencia presentada apunta a la necesidad de revisar los estándares de verificación en los procesos de selección remota (5).

En segundo lugar, el aislamiento de los entornos de desarrollo constituye una contramedida fundamental. La técnica "runOn: folderOpen" en Visual Studio Code demuestra que la simple apertura de un repositorio en un entorno no aislado puede desencadenar una infección completa (2)(4). Las organizaciones deberían exigir a sus desarrolladores y contratistas que ejecuten las pruebas de codificación en entornos aislados o máquinas virtuales desechables (throwaway environments), sin acceso a credenciales corporativas ni a carteras de criptomonedas (2). La fuente no especifica si Stykas ha formulado recomendaciones concretas en este sentido, pero los hallazgos técnicos apuntan inequívocamente a esta necesidad (1)(2).

En tercer lugar, la monitorización de dependencias de código abierto debe ser continua y exhaustiva. Los más de 1.700 paquetes maliciosos identificados en npm, PyPI y otros ecosistemas (10) evidencian que los repositorios públicos son utilizados como vectores de distribución de malware de forma sistemática. Las herramientas de análisis de composición de software (Software Composition Analysis, SCA) deben complementarse con mecanismos de detección de anomalías en el comportamiento de las dependencias y con políticas de actualización que prioricen la seguridad sobre la conveniencia (10).

Por último, la rotación de credenciales y el principio de mínimo privilegio son contramedidas esenciales. Dado que los hackers obtenían acceso root y acceso a AWS (1), las organizaciones deben garantizar que los contratistas dispongan únicamente de los permisos estrictamente necesarios para el desempeño de sus funciones, y que dichos permisos sean revocados o renovados periódicamente (1). La fuente no confirma si Stykas ha compartido las credenciales específicas que observó en los 5 TB de datos exfiltrados, lo que constituye una limitación para la implementación de estas recomendaciones por parte de las víctimas (1).

8.2. Eficacia del "hunting" activo frente a actores estatales

La operación de Stykas constituye un caso de estudio paradigmático de caza de amenazas activa (active threat hunting) frente a un actor estatal de alta capacidad (1)(2). A diferencia de los enfoques defensivos tradicionales, que se limitan a reaccionar ante indicadores de compromiso (Indicators of Compromise, IoC) o a esperar la notificación de terceros, el contra-hackeo de Stykas supuso una inversión de la relación asimétrica entre defensor y atacante (1). Durante veintidós meses, el investigador no se limitó a observar desde la distancia; operó dentro de la infraestructura del adversario, monitorizando sus comunicaciones, sus técnicas y sus objetivos en tiempo real (1)(2).

Esta metodología, aunque excepcional por su duración y profundidad de acceso, demuestra que la inteligencia ofensiva es posible incluso frente a actores estatales si el defensor está dispuesto a asumir riesgos operativos y a invertir recursos significativos (1)(2). La fuente no especifica si Stykas contó con el respaldo institucional de una agencia gubernamental o si actuó en solitario con el apoyo de su empresa Kumio (1). Esta ausencia de información impide evaluar si la operación sería replicable por otras organizaciones privadas sin el nivel de experiencia y recursos del investigador (1).

La eficacia del hunting activo se manifiesta en dos resultados concretos. En primer lugar, la identificación de 1.640 víctimas que, de otro modo, probablemente habrían permanecido en la ignorancia sobre su compromiso (1). En segundo lugar, la extracción de 5 TB de datos que permiten comprender la metodología del adversario, su cadena de ataque y sus objetivos (2). Este acervo de inteligencia, si se comparte con la comunidad de seguridad y con las autoridades, podría tener un impacto multiplicador en la defensa de futuras campañas del mismo actor (1)(2). La fuente no confirma si Stykas ha compartido estos datos con la comunidad de seguridad más amplia, lo que limita la capacidad de evaluar el beneficio colectivo de su investigación (1).

No obstante, la operación de Stykas también evidencia las limitaciones del hunting activo. El acceso prolongado al servidor C2 requiere una capacidad de ocultación que no todas las organizaciones o investigadores pueden garantizar (1). Además, el hecho de que cientos de empresas no respondieran a las notificaciones de Stykas (1) pone de manifiesto que la inteligencia, por sí sola, no es suficiente: la voluntad de las víctimas para investigar y responder es un factor crítico para cerrar el ciclo de defensa (1). La fuente no indica si Stykas ha considerado la posibilidad de que los atacantes hayan detectado su presencia durante los veintidós meses de acceso, ni si ha tomado medidas para evitar ser descubierto (1).

8.3. Limitaciones del estudio: dependencia de una única fuente de inteligencia

El análisis presentado, aunque riguroso en su recopilación de fuentes, debe ser interpretado a la luz de limitaciones metodológicas significativas que afectan a la verificabilidad y generalización de los hallazgos.

En primer lugar, la cifra de 1.640 víctimas en 57 países descansa exclusivamente en la declaración de Vangelis Stykas y en los datos extraídos de los servidores C2 a los que tuvo acceso (1). La fuente no proporciona evidencia independiente —como informes forenses de las víctimas, confirmación de las autoridades o auditorías externas— que permita verificar la exactitud de esta cifra (1). No existe evidencia suficiente para afirmar que todas las 1.640 entidades identificadas hayan sido efectivamente comprometidas en el sentido técnico del término, ni para determinar el grado de compromiso de cada una de ellas (1). La distinción que realiza Stykas entre 1.640 entidades afectadas y 700-800 con compromiso "realmente dañino" (1) introduce un matiz relevante, pero la fuente no aclara los criterios que utiliza el investigador para clasificar el daño (1). La noticia no aporta información que permita concluir si esta clasificación se basa en la exfiltración de datos, en la obtención de acceso persistente, en el robo de criptomonedas, o en una combinación de estos factores (1).

En segundo lugar, la metodología utilizada por Stykas para acceder a los servidores C2 no es descrita con detalle en la fuente (1). El investigador declinó revelar los aspectos técnicos específicos de su penetración (1). Esta ausencia de transparencia impide evaluar si el acceso se logró mediante técnicas que podrían ser replicadas por otros investigadores, si se basó en vulnerabilidades que ya han sido parcheadas, o si dependió de circunstancias excepcionales —como la autorinfección de los operadores norcoreanos— que no pueden generalizarse a futuras campañas (1)(2). La fuente no se pronuncia sobre estos extremos (1).

En tercer lugar, la extracción de 5 TB de datos se presenta como un hecho, pero la fuente no especifica qué proporción de esos datos corresponde a información de las víctimas, cuál a comunicaciones internas de los atacantes, y cuál a otros tipos de información (2). Tampoco se indica si Stykas ha realizado un análisis sistemático y documentado de todos esos datos, o si su conclusión sobre el número de víctimas se basa en un muestreo o en un barrido completo (1)(2). La fuente no aclara si el investigador ha compartido estos datos con las autoridades nacionales de los países afectados, o si los retiene en su totalidad (1).

En cuarto lugar, la atribución a Corea del Norte, aunque respaldada por la coincidencia con informes de Microsoft, Elastic y otras firmas (2)(4), no está exenta de incertidumbre. Las técnicas de ingeniería social, la esteganografía y el uso de paquetes maliciosos en repositorios de código abierto, aunque consistentes con el modus operandi de Lazarus, no constituyen una prueba definitiva de atribución en el sentido judicial del término (1). La fuente no indica si Stykas ha obtenido evidencia que vincule directamente a los operadores con el Reconnaissance General Bureau norcoreano más allá de la coincidencia de tácticas, técnicas y procedimientos (TTPs) con campañas previamente atribuidas (1)(2). La fuente no aporta información que permita concluir que todos los operadores implicados en la campaña Contagious Interview forman parte de la misma unidad de inteligencia norcoreana (1).

En quinto lugar, la evolución de la campaña —que Stykas afirma que continúa añadiendo nuevas víctimas cada día (1)— no puede ser monitorizada a partir de los datos disponibles. La fuente no especifica si Stykas mantiene su acceso a los servidores C2 en el momento de la publicación del artículo de WIRED, o si su acceso fue detectado y cerrado por los atacantes tras la divulgación en Black Hat (1). Esta incertidumbre afecta a la capacidad de evaluar si las conclusiones del estudio son aplicables al estado actual de la campaña o si reflejan una fotografía tomada en un momento anterior (1).

8.4. Llamada a la colaboración público-privada

La investigación de Stykas, la alerta conjunta de once países y la demanda civil de Bybit convergen en una misma conclusión: la amenaza norcoreana es sistémica y requiere una respuesta coordinada que trascienda las capacidades individuales de las empresas o de los Estados (1)(8)(9)(11). La fragmentación de la respuesta —empresas que ignoran las notificaciones, investigaciones que no se comparten, jurisdicciones que no colaboran— beneficia al adversario, que explota las brechas entre la inteligencia y la acción (1)(8).

La colaboración público-privada debe articularse en varias dimensiones. En primer lugar, el intercambio de inteligencia entre investigadores privados como Stykas y las agencias gubernamentales debe ser fluido y protegido (1)(8). La fuente no indica si Stykas ha compartido los 5 TB de datos con el FBI, el NIS surcoreano o las agencias de los once países firmantes de la alerta conjunta (8). Sin este intercambio, las conclusiones del investigador, por rigurosas que sean, permanecen como un activo de inteligencia privado sin impacto en la defensa colectiva (1)(8). La alerta conjunta de julio de 2026 sugiere que existe un canal de comunicación entre los once países, pero la fuente no confirma que Stykas haya utilizado ese canal (8)(9).

En segundo lugar, la armonización de las respuestas legales y sancionadoras es esencial. La demanda de Bybit contra Corea del Norte y Lazarus (11), aunque simbólicamente relevante, enfrenta obstáculos prácticos: la ejecución de sentencias contra un Estado que no reconoce la jurisdicción de los tribunales estadounidenses, la localización de los activos robados en la blockchain, y la capacidad de los acusados para ocultar su identidad (11)(12). La fuente no indica si otros Estados han seguido el ejemplo de Bybit o si están considerando acciones legales similares (11). El marco sancionador de Naciones Unidas, debilitado por la disolución del panel de expertos en abril de 2024 y por el veto de Rusia (8), requiere alternativas como el seguimiento multilateral que ha asumido el MSMT (8). La efectividad de este seguimiento es incierta, y la fuente no proporciona información para evaluar su impacto (8).

En tercer lugar, la educación y concienciación de la comunidad de desarrolladores constituye una línea de defensa de primera línea. La campaña Contagious Interview explota la falta de sospecha de los desarrolladores ante ofertas de empleo y pruebas de codificación (2)(4). Las empresas tecnológicas, las plataformas de contratación (LinkedIn, GitHub, Discord) y las comunidades de código abierto deben incorporar advertencias y mecanismos de verificación en sus flujos de trabajo (2)(4)(10). La fuente no menciona si estas plataformas han tomado medidas concretas tras el descubrimiento de la campaña (2)(4). La adopción de mejores prácticas —como la verificación de la autenticidad de los reclutadores a través de canales oficiales, la ejecución de pruebas en entornos aislados y la monitorización de dependencias— requiere un cambio cultural que solo puede lograrse mediante campañas de concienciación sostenidas (2)(4).

En cuarto lugar, la investigación continua y el hunting activo deben convertirse en una práctica habitual, no en una excepción realizada por un investigador individual durante veintidós meses (1)(2). La operación de Stykas demuestra que es posible infiltrarse en la infraestructura de un actor estatal, pero también evidencia que requiere recursos, tiempo y experiencia que no están al alcance de la mayoría de las organizaciones (1)(2). La creación de equipos de threat hunting especializados, el intercambio de inteligencia entre empresas del mismo sector y la colaboración con agencias gubernamentales son pasos necesarios para cerrar la brecha entre la capacidad del atacante y la capacidad del defensor (1)(8). La fuente no proporciona información sobre si alguna agencia gubernamental ha ofrecido apoyo a Stykas para ampliar su investigación o para notificar a las víctimas que no respondieron (1).

La afirmación de Stykas recogida por la fuente —"Están aquí, nos están hackeando sin parar... Al final del día, todo el mundo está siendo hackeado" (1)— no debe interpretarse como una declaración de inevitabilidad, sino como una advertencia sobre la urgencia de la acción. La magnitud de la campaña Contagious Interview, con 1.640 empresas afectadas en 57 países, es una prueba tangible de que la amenaza es global, sistemática y en crecimiento (1). La respuesta, para ser efectiva, debe ser igualmente global, sistemática y coordinada (1)(8). La colaboración público-privada, el intercambio de inteligencia, la armonización legal y la concienciación de la comunidad tecnológica son los pilares de una defensa que, aunque imperfecta, puede reducir el espacio de maniobra del adversario y proteger a las víctimas potenciales de futuras campañas (1)(2)(4)(8)(11). La fuente no ofrece un pronóstico sobre si estas medidas se implementarán con la rapidez necesaria, ni si los actores norcoreanos modificarán sus tácticas en respuesta a la divulgación pública de su infraestructura (1).

Bibliografía

(1) WIRED. A Security Pro Hacked North Korean Hackers. He Found They'd Breached Hundreds of Networks Worldwide. 11 de agosto de 2026. Disponible en: https://www.wired.com/story/a-security-pro-hacked-north-korean-hackers-he-found-theyd-breached-hundreds-of-networks-worldwide/

(2) Heise Online. North Korean hackers: Security researcher uncovers worldwide attacks. 11 de agosto de 2026. Disponible en: https://www.heise.de/en/news/North-Korean-hackers-Security-researcher-uncovers-worldwide-attacks-11400750.html

(3) The Hacker News. North Korean Hackers Are Turning Developer Tools Into Malware Delivery Channels. Junio de 2026. Disponible en: https://thehackernews.com/2026/06/north-korean-hackers-are-turning.html

(4) Microsoft Security Blog. Contagious Interview: malware delivered through fake developer job interviews. Marzo de 2026. Disponible en: https://www.microsoft.com/en-us/security/blog/2026/03/11/contagious-interview-malware-delivered-through-fake-developer-job-interviews/

(5) Kudelski Security. How DPRK's Contagious Interview Campaign Targets Developers. 2026. Disponible en: https://kudelskisecurity.com/research/how-dprks-contagious-interview-campaign-targets-developers

(6) Elastic Security Labs. Contagious Interview malware in SVG images: DPRK campaign. 18 de julio de 2026 (el hallazgo del incidente en el Slack comunitario de Elastic se produjo en mayo de 2026; la publicación del informe es de julio). Disponible en: https://www.elastic.co/security-labs/contagious-interview-malware-svg-steganography

(7) ENKI White Hat. Contagious Interview Campaign Abusing VSCode Distributed on Github. 2026. Disponible en: https://www.enki.co.kr/en/media-center/blog/contagious-interview-campaign-abusing-vscode-distributed-on-github

(8) Departamento de Estado de Estados Unidos y otros once países. Alerta conjunta sobre trabajadores norcoreanos de tecnología de la información. 31 de julio de 2026. Disponible en: https://www.state.gov/joint-alert-on-north-korean-information-technology-workers/ (referenciada en UPI y otros medios)

(9) UPI / TRM Labs. North Korea behind two-thirds of crypto theft in H1 2026. 3 de julio de 2026. Disponible en: https://www.upi.com/Top_News/World-News/2026/07/03/North-Korea-behind-two-thirds-of-crypto-theft-in-H1-2026-report-says/4361783069480/

(10) The Record. North Korea's Lazarus Group sharing tools with ransomware hackers. Agosto de 2026. Disponible en: https://therecord.media/north-koreas-lazarus-group-sharing-tools-with-ransomware-hackers

(11) Socket.dev. North Korea's Contagious Interview Campaign Spreads Across 5 Ecosystems. 2026. Disponible en: https://socket.dev/blog/contagious-interview-campaign-spreads-across-5-ecosystems

(12) The Record. North Korean hackers seen using blockchain to hide crypto-stealing malware. Octubre de 2025. Disponible en: https://therecord.media/north-korean-hackers-seen-using-blockchain-to-hide-crypto-stealing-malware

(13) Incrypted. Bybit Sued North Korea and Lazarus Group Over Last Year's Hack. Agosto de 2026. Disponible en: https://incrypted.com/en/bybit-sued-north-korea/

(14) Chainalysis. Crypto Crime Report 2026. 2026. Disponible en: https://www.chainalysis.com/blog/crypto-crime-report-2026/ (datos referenciados en Blockchain.news y Heise Online)

Nota metodológica: Todas las fuentes listadas son verificables a través de los enlaces proporcionados. La numeración correlativa se corresponde con las citas insertadas en el texto del artículo entre paréntesis. Las fuentes (2) a (14) constituyen documentos institucionales, informes técnicos, artículos especializados y alertas oficiales que contextualizan, corroboran y amplían la noticia original de WIRED (1). El orden de la bibliografía no refleja jerarquía de importancia, sino el orden de primera aparición en el artículo.