Trabajadores TI norcoreanos: aviso del NCSC y la Policía de NZ

El National Cyber Security Centre (NCSC) de Nueva Zelanda y la Policía neozelandesa han publicado un aviso conjunto (TLP CLEAR, octubre de 2026) sobre los trabajadores TI de Corea del Norte (DPRK) que intentan ser contratados por organizaciones neozelandesas. Describe cómo operan, las señales de alerta y los controles que conviene aplicar para no contratarlos sin darse cuenta.

Qué ha pasado

Según el aviso, Corea del Norte ha desplegado por el mundo miles de trabajadores TI muy cualificados, que buscan empleo en desarrollo de software, diseño web, diseño gráfico y servicios TI. El objetivo es obtener ingresos para el gobierno norcoreano, también para sus programas de armas nucleares y misiles balísticos, eludiendo las sanciones de la ONU. Estos trabajadores también pueden intentar obtener propiedad intelectual extranjera y robar datos para pedir un rescate.

El NCSC y la Policía informan de casos de trabajadores norcoreanos que han intentado, y en algunos casos conseguido, un empleo en Nueva Zelanda y en el extranjero. Las empresas que recurren a colaboradores internacionales, sobre todo a través de plataformas de freelance, pueden incorporarlos sin advertirlo. Los objetivos más probables son organismos públicos, proveedores de defensa, empresas tecnológicas, entidades financieras, grandes empresas y cualquiera con acceso a información sensible, servicios críticos, tecnologías estratégicas o redes comerciales internacionales. Algunos trabajadores pasan por agencias de selección para presentarse de forma más creíble.

Cómo operan

Se hacen pasar por freelance en remoto con identidades falsas. Los métodos que indica el aviso:

• identidades robadas o compradas, a veces obtenidas de registros públicos;
• currículums y referencias inventados, respuestas en las entrevistas asistidas por IA o con deepfakes;
• actividad sobre todo desde China, Laos y Rusia, con VPN y herramientas de escritorio remoto para ocultar la ubicación;
• coordinación a través de GitHub, Telegram, LinkedIn, Upwork y otras plataformas.

En algunos casos, tras ser despedidos, los trabajadores han amenazado con divulgar información confidencial, intentando filtrar datos de la empresa o venderlos a competidores.

También hay ciudadanos neozelandeses utilizados sin saberlo para ocultar la identidad y la ubicación: reciben en su dirección el correo, incluidos los portátiles de la empresa; acceden a los portátiles y configuran una VPN, para que la actividad parezca salir de su dirección IP neozelandesa; reciben los pagos y los transfieren a la cuenta del trabajador norcoreano.

Las señales de alerta

Por sí solas no indican una actividad ilícita, pero según el aviso, sobre todo cuando aparecen dos o más, justifican controles más exhaustivos.

Identidad: varios perfiles en línea con fotos distintas o sin foto; contacto solo por redes sociales o apps de mensajería; negativa a aparecer en vídeo o uso de herramientas de enmascaramiento con IA; datos del documento incoherentes o cambiantes; trayectoria laboral o presencia en línea incoherentes; nombres occidentalizados o seudónimos; documentos neozelandeses robados o alterados, incluidos permisos de conducir y pasaportes; correos de empresa falsos creados para superar la comprobación de referencias.

Ubicación y accesos, los más útiles para quien gestiona los sistemas:

• petición de enviar el hardware a una dirección distinta de la del documento;
• acceso a los sistemas con login remoto en lugar de hacerlo desde el dispositivo corporativo entregado;
• uso de software para compartir y controlar el escritorio remoto;
• actividad fuera del horario declarado o previsto, y dificultad para localizar a la persona en horario laboral;
• sesiones activas sin interrupción durante más de 24 horas;
• varios accesos a la misma cuenta desde distintas direcciones IP en poco tiempo, también desde países diferentes.

Pagos: cuentas bancarias en China, peticiones de pago en criptomonedas o mediante plataformas de pago.

Impacto para las empresas europeas e italianas

El aviso se refiere a Nueva Zelanda y no menciona casos en Europa ni en Italia. Pero los métodos que describe se apoyan en herramientas que se usan en todas partes: plataformas de freelance, agencias de selección, entrevistas solo a distancia, acceso remoto a los sistemas. Para las entidades sujetas a NIS2, la seguridad de los recursos humanos y el control de acceso forman parte de las medidas de gestión de riesgos: verificar la identidad y limitar los privilegios de los colaboradores remotos es parte del mismo trabajo. La Unión Europea también aplica las sanciones de la ONU contra Corea del Norte, así que pagar a estos trabajadores es además un problema legal, que debes valorar con tus asesores.

Qué hacer ya

Las medidas que recomiendan el NCSC y la Policía neozelandeses:

1. Verifica la identidad: nombre, nacionalidad, ubicación, contactos, estudios y trabajos anteriores deben coincidir entre la candidatura, el documento, las redes sociales y las plataformas de pago. Busca falsificaciones en los documentos y verifica títulos y referencias directamente con centros y empresas, no con los datos de contacto que da el candidato.
2. No confíes solo en las agencias de selección para verificar la identidad.
3. Desconfía de los números VoIP, haz búsquedas inversas de las fotos de perfil para detectar retoques con IA, prefiere entrevistas en persona o al menos una reunión en una oficina local, y sospecha si el trabajador no puede recibir correo en la dirección de su documento.
4. No aceleres la incorporación: concede los accesos solo después de completar los procedimientos y validar la identidad con documentos oficiales.
5. Pagos: nada de criptomonedas, solo una cuenta bancaria a nombre de la persona verificada; desconfía de las peticiones de pagar a cuentas con otros nombres y de comunicarte fuera de plataformas verificadas.
6. Limita el acceso a la información sensible según el principio de necesidad de saber, con controles de acceso y permisos reducidos.
7. Exige a todos, sobre todo a quien trabaja solo en remoto, un dispositivo corporativo gestionado en lugar del login remoto desde otros dispositivos.
8. Supervisa los dispositivos corporativos: patrones de acceso anómalos, anomalías de VPN y aplicaciones de escritorio remoto que puedan ocultar la ubicación.
9. Audita a los colaboradores que ya trabajan solo en remoto, buscando actividad sospechosa y señales de alerta.

Cómo ayuda ARXDOME

ARX Sentry muestra en las páginas del SOC los accesos, los accesos nocturnos, el escritorio remoto y las ráfagas de intentos, con los eventos enriquecidos con el país de origen; su inventario de software y procesos ayuda a encontrar herramientas de control remoto o clientes VPN no previstos en las máquinas de la empresa. Con ARX Horizon puedes consultar desde el portal la geolocalización y la reputación de una dirección IP sospechosa, y con ARX Shield aislar de la red una máquina mientras haces las comprobaciones.

Última actualización: 9 de octubre de 2026