Cómo más de 30 identidades falsas creadas por operativos norcoreanos fueron expuestas a través de una brecha en el dispositivo

El investigador de seguridad ZachXBT ha revelado un descubrimiento importante: datos confidenciales de dispositivos de personal informático norcoreano mostraron una operación organizada que empleaba más de 30 identidades fabricadas en varias plataformas. La información accedida—incluyendo perfiles del navegador Chrome, copias de seguridad en Google Drive y capturas de pantalla del sistema—pintó un cuadro de un equipo coordinado que aseguraba roles de desarrollador mediante fraude.

La escala de la operación

El alcance fue más allá de la simple creación de cuentas. Estos operativos adquirieron sistemáticamente credenciales de Upwork y LinkedIn usando documentos de identificación emitidos por el gobierno, y luego gestionaron sus actividades a través del software de escritorio remoto AnyDesk. Una dirección de wallet en particular, 0x78e1, surgió como directamente conectada a un robo de $680,000 dirigido a la plataforma Favrr durante junio de 2025, estableciendo vínculos claros entre la infraestructura de ingeniería social y el robo financiero.

Infraestructura y métodos descubiertos

Los sistemas accedidos revelaron cómo el equipo orquestaba sus actividades. Aprovecharon la suite de herramientas de Google para programar tareas, mientras compraban números de Seguro Social (SSNs), suscripciones a servicios de IA y acceso a VPN a través de canales ilícitos. Los registros del historial del navegador indicaron una dependencia extensa de Google Translate, específicamente para convertir texto hacia y desde coreano, mientras que los datos de geolocalización rastrearon muchas conexiones a través de direcciones IP rusas—una táctica común de ocultación.

Vulnerabilidades sistémicas expuestas

Más allá de las tácticas técnicas, la brecha destacó debilidades organizacionales. Reclutadores y moderadores de plataformas no lograron detectar banderas rojas evidentes en varias variaciones de identidad. La falta de intercambio de inteligencia entre plataformas y la coordinación en la verificación de identidades crearon brechas que permitieron a las mismas personas mantener personajes paralelos en redes de freelancers.

Este incidente subraya cómo la combinación de ingeniería social con la ofuscación de infraestructura sigue siendo un vector de ataque efectivo cuando las defensas institucionales operan en aislamiento.