El FBI está investigando un caso de infiltración que parece sacado de un guion de espionaje: un ciudadano norcoreano fue contratado como trabajador remoto por una agencia federal de Estados Unidos. La investigación fue confirmada por un alto funcionario del FBI durante una conferencia celebrada el 28 de julio en Washington D.C., según adelantó Federal News Network. Sería una de las escasas ocasiones en las que se tiene constancia de que una persona de un país sometido a sanciones llegó a trabajar dentro del propio gobierno estadounidense.

Un caso con muchas incógnitas

Todavía no se sabe qué agencia federal resultó afectada, cómo el trabajador logró superar los controles de contratación ni si llegó a robar datos o fondos. El FBI declinó hacer comentarios cuando TechCrunch contactó con la oficina. El caso recuerda, eso sí, a un precedente judicial: en 2024, el Departamento de Justicia presentó cargos contra un hombre de Maryland que ayudó a un hacker norcoreano a hacerse pasar por un estadounidense para trabajar como contratista de la Administración Federal de Aviación.

Las autoridades llevan tiempo alertando de estos esquemas. Se cree que miles de trabajadores norcoreanos han conseguido empleo remoto en empresas estadounidenses y europeas en los últimos años. Su estrategia consiste en usar identidades falsas para superar los procesos de selección y obtener un salario que acaba en manos del régimen, mientras roban propiedad intelectual y otros datos. Cuando el fraude se descubre, utilizan esa información para intentar extorsionar a las compañías.

Un laboratorio llamado Ballena Azul

Para entender mejor estas operaciones, los investigadores Mauro Eldritch, fundador de BCA LTD, y Heiner García, analista de Telefónica Tech y fundador de NorthScane, montaron una empresa ficticia de criptomonedas llamada Ballena Azul. La infraestructura corrió a cargo de la plataforma de ciberseguridad ANY.RUN. Durante cinco semanas, dieron trabajo a tres sospechosos de pertenecer a redes norcoreanas que se identificaban como Jack Anderson, Angelo Espree y Lucas Theo. Al menos dos de ellos presentaron documentos de identidad estadounidenses.

Uno de los hallazgos más valiosos fueron los servidores externos que los trabajadores usaban como intermediarios antes de conectarse a los sistemas de Ballena Azul. Según García, algunos de esos servidores ya estaban vinculados a campañas anteriores de distribución de malware como InvisibleFerret y BeaverTail/OtterCookie y seguían activos. Otros eran completamente nuevos y no aparecían en las listas de bloqueo convencionales. Ese tipo de infraestructura suele reciclarse entre operaciones, por lo que puede seguir activa durante mucho tiempo.

Los sospechosos también hicieron un uso intensivo de inteligencia artificial: empleaban ChatGPT para escribir código y completar tareas que se les resistían, y Google Gemini para modificar imágenes y falsificar documentos. Complementaban esas herramientas con software de escritorio remoto, carteras de criptomonedas y un servicio para compartir códigos de autenticación en dos pasos.

Para los investigadores, estos trabajadores no necesitan recurrir al malware para resultar peligrosos. Una vez contratados, obtienen acceso legítimo a sistemas internos, código fuente y datos sensibles. Cuanto más tiempo pasan sin ser detectados, más tiempo cobran un salario que, según los investigadores, acaba financiando al régimen.

La escala del esquema

El Departamento del Tesoro de EE.UU. calculó en marzo que los esquemas de trabajadores TI norcoreanos generaron cerca de 800 millones de dólares en 2024, dinero destinado a financiar los programas de armas de destrucción masiva de Pyongyang. Según firmas de análisis forense blockchain, el régimen de Kim Jong Un es responsable del 76% de los robos de criptomonedas y obtuvo al menos 2.000 millones de dólares en 2025, pese a estar excluido del sistema financiero internacional.

El fenómeno también ha dejado condenas fuera de Corea del Norte. En mayo, dos estadounidenses fueron sentenciados a 18 meses de prisión por mantener granjas de ordenadores a las que accedían trabajadores norcoreanos para hacerse pasar por empleados en EE.UU., en unos esquemas que generaron más de 1,2 millones de dólares y afectaron a casi 70 empresas.

De momento, el FBI continúa su investigación y no ha revelado qué agencia estaba afectada ni si el trabajador llegó a sustraer información o fondos.