Un investigador accede a los sistemas de hackers norcoreanos y destapa 1.640 empresas vulneradas
Un investigador de ciberseguridad griego ha logrado acceder durante casi dos años a los sistemas internos de un grupo de hackers norcoreanos y ha identificado evidencias de que 1.640 empresas en 57 países han sido impactadas por las operaciones cibernéticas del régimen de Pyongyang. De ellas, entre 700 y 800 sufrieron intrusiones consideradas "realmente dañinas", según los datos que el investigador presentará en la conferencia Black Hat de Las Vegas.
Vangelis Stykas, director de tecnología de la firma de ciberseguridad Kumio, explicó a Wired que obtuvo acceso a múltiples servidores de comando y control utilizados por los hackers, e incluso a sus estaciones de trabajo, debido a que en algunos casos los propios atacantes se infectaron con su propio malware. "Tengo acceso a su Slack, tengo acceso a su Discord, tengo acceso a muchas cosas", afirmó Stykas, quien asegura haber visto alrededor de 5 terabytes de datos en total.
El alcance del acceso es, según el investigador, extraordinariamente amplio: claves de desarrolladores, acceso raíz a servidores, permisos totales en plataformas como Amazon Web Services y, en el caso de empresas de criptomonedas, acceso a claves privadas y billeteras blockchain.
Entre las organizaciones afectadas que Stykas ha decidido nombrar públicamente —por haber gestionado bien la divulgación o haber remediado las brechas— figuran el Hospital Infantil de Boston (que custodiaba una vasta base de datos de salud personal de estadounidenses durante la pandemia de Covid-19), la tecnológica japonesa AEON Smart Technology, el fabricante chino de teléfonos Oppo, las firmas de criptomonedas Coinbase y Uniswap Labs, el Consejo Judicial Supremo de Italia, una filial del banco saudí Al Rajhi Bank y Digitaal Vlaanderen, organismo del Gobierno flamenco en Bélgica.
Las reacciones de las empresas han sido dispares. Un portavoz del Gobierno flamenco confirmó a Wired que fue notificado el 3 de marzo de 2026 por el Centro de Ciberseguridad de Bélgica (CCB) y que el incidente fue "contenido y remediado". El Hospital Infantil de Boston aclaró que la brecha afectó a un "dispositivo personal de un ex contratista independiente" y no a sus sistemas, y que no se encontró evidencia de acceso no autorizado. Por su parte, Coinbase informó que investigó a un contratista en Estados Unidos y no encontró vínculos con Corea del Norte; no obstante, detectó posibles riesgos en su configuración tecnológica y terminó el contrato en menos de 30 días, sin que se comprometieran datos sensibles.
El método empleado por los hackers es relativamente sencillo pero altamente eficaz: la conocida técnica "Contagious Interview", documentada por Microsoft desde 2022. Los atacantes atraen a desarrolladores de software con falsas ofertas de trabajo con salarios muy atractivos. Cuando la víctima muerde el anzuelo, se le pide descargar un programa como prueba de coding, que en realidad instala malware en su equipo.
Un hallazgo especialmente preocupante es el efecto multiplicador de los contratistas externos comprometidos. Stykas asegura haber visto contratistas con acceso simultáneo a hasta 30 empresas, lo que amplía enormemente el radio de explosión potencial de cada ataque.
Llama la atención que, pese a tener acceso a datos extremadamente sensibles —incluida una empresa estadounidense con acceso a historiales criminales de ciudadanos norteamericanos—, los hackers mantuvieron un enfoque casi exclusivo en el robo de criptomonedas, ignorando otros sistemas. No obstante, los expertos advierten que ello no debería generar excesiva tranquilidad.
Las operaciones cibernéticas norcoreanas son, según un informe de la firma Dtex del año pasado, extensas y fluidas. El régimen cuenta probablemente con varios cientos de operadores cibernéticos altamente capacitados, entrenados desde edades tempranas, y con "varios miles" de trabajadores de TI que obtienen empleo remoto fraudulento en empresas legítimas para generar ingresos destinados al sancionado régimen. Tanto los hackers como los trabajadores de TI reciben cuotas anuales de ingresos.
Marcus Hutchins, investigador de inteligencia de amenazas de la firma Expel, confirmó que la magnitud del hallazgo de Stykas resulta coherente con el alcance de las campañas norcoreanas que él mismo ha rastreado, con listas de víctimas igual de largas. Aunque coincide en el enfoque casi exclusivo hacia el robo de criptomonedas en algunos casos, advirtió que esto no debería ser motivo de consuelo, ya que los equipos de hackers suelen ceñirse a sus objetivos asignados.
El caso ilustra una realidad incómoda: mientras un solo investigador fue capaz de penetrar en la infraestructura de los atacantes y mapear más de mil empresas afectadas, las organizaciones víctimas permanecieron en muchos casos ajenas a la intrusión hasta que fueron alertadas. La investigación de Stykas sugiere que el verdadero número de víctimas podría ser aún mayor y que la amenaza de los trabajadores de TI norcoreanos disfrazados de desarrolladores sigue representando uno de los vectores de ataque más efectivos y difíciles de detectar del panorama actual de ciberseguridad.