WaterPlum y los falsos trabajadores TI norcoreanos: una misma estructura, dos vías de ataque

WaterPlum, también conocido como Contagious Interview, y el esquema de falsos trabajadores TI remotos de Corea del Norte están conectados por algo más que el uso del empleo como señuelo. La Agencia Nacional de Policía de Japón (NPA) y el FBI evalúan que los operadores de WaterPlum y algunos trabajadores TI norcoreanos actúan bajo el Buró General 313, integrado en el Departamento de Industria de Municiones y subordinado al Comité Central del Partido de los Trabajadores de Corea.5

Se trata de actividades distintas, pero complementarias:

• WaterPlum se hace pasar por reclutadores o empleadores para comprometer a personas que buscan trabajo, extraer información sensible y robar criptomonedas.
• El fraude de trabajadores TI utiliza identidades y ubicaciones falsas para conseguir puestos remotos reales, obtener ingresos y, potencialmente, situar a un infiltrado dentro de una empresa.517

La diferencia práctica importa: en un caso, el atacante compromete al candidato desde fuera; en el otro, intenta entrar como un empleado o contratista aparentemente legítimo.

La alerta del 18 de septiembre: las siete agencias participantes

La alerta conjunta de ciberseguridad del 18 de septiembre fue emitida por siete organismos de Japón, Estados Unidos, Australia y Alemania:1

1. La Agencia Nacional de Policía de Japón (NPA).
2. La Oficina Nacional de Ciberseguridad de Japón (NCO).
3. El Buró Federal de Investigaciones de Estados Unidos (FBI).
4. El Centro contra el Ciberdelito del Departamento de Defensa de Estados Unidos (DC3).
5. El Centro Australiano de Ciberseguridad de la Dirección de Señales de Australia (ASD’s ACSC).
6. El Servicio Federal de Inteligencia de Alemania (BND).
7. La Oficina Federal para la Protección de la Constitución de Alemania (BfV).

La evaluación identifica al grupo WaterPlum y lo vincula con la campaña conocida habitualmente como Contagious Interview.1

Cómo convertían una entrevista en una intrusión

WaterPlum se hacía pasar por reclutadores o empresas interesadas en contratar a profesionales de TI, entre ellos diseñadores web, ingenieros y especialistas en criptomonedas, blockchain y Web3.14

Los contactos imitaban etapas habituales de un proceso de selección técnica. A la víctima podían enviarle una supuesta prueba de programación o pedirle, durante una videollamada, que instalara una aparente corrección para la plataforma de conferencias. En realidad, los archivos o instrucciones servían para instalar malware en el equipo del candidato.15

El método aprovecha un contexto en el que es normal descargar materiales, probar código o resolver problemas técnicos con rapidez. En vez de vulnerar directamente a una compañía, los operadores usan la confianza y la urgencia asociadas a una oferta laboral atractiva como vía de acceso inicial.

Alcance de la campaña y robo de criptomonedas

Según la alerta, entre diciembre de 2025 y julio de 2026 WaterPlum infectó al menos 30.000 dispositivos en más de 100 países. También comprometió fondos o credenciales asociados a más de 7.000 billeteras de criptomonedas y recibió aproximadamente 10,71 millones de dólares en criptoactivos.14

No se trata solo de transferencias inmediatas: el robo de credenciales puede facilitar nuevos fraudes o accesos posteriores, incluso cuando los atacantes no consiguen mover activos en el primer momento.

El riesgo distinto de contratar a un trabajador con identidad falsa

El esquema de trabajadores TI se basa en que los operativos oculten su identidad y ubicación reales para obtener contratos remotos. La guía del Gobierno estadounidense advierte que estos trabajadores han utilizado intermediarios y facilitadores externos, y pide a las empresas reforzar las verificaciones de identidad y detectar cuentas sospechosas.17

El vínculo con WaterPlum es organizativo y estratégico, no una prueba de que toda víctima de malware termine involucrada en el fraude laboral ni de que cada falso trabajador participe en operaciones de WaterPlum.5 Aun así, ambas actividades explotan el mismo ecosistema de trabajo remoto:

• WaterPlum ataca a candidatos desde fuera de la organización mediante reclutadores falsos y materiales de entrevista maliciosos.
• Los falsos trabajadores TI intentan ingresar en la organización como contratistas o empleados, usando datos de identidad y ubicación engañosos.

Una vía busca el compromiso directo y el robo de criptomonedas; la otra puede generar ingresos sostenidos y crear un riesgo de acceso interno a largo plazo.

El caso de Nueva Zelanda: fraude de identidad y extorsión

El Centro Nacional de Ciberseguridad de Nueva Zelanda informó de que una gran empresa neozelandesa contrató a un profesional TI remoto que utilizaba una identidad falsa. Cuando la empresa comenzó a sospechar, el contratista amenazó con divulgar información sensible.18

El caso evidencia que el fraude de identidad no es únicamente un problema de recursos humanos, nóminas o cumplimiento normativo. Una persona contratada de manera fraudulenta puede acceder a sistemas corporativos, datos, credenciales o equipos entregados por la empresa antes de que se descubra el engaño.

Controles que las empresas deberían priorizar

Los equipos de selección, recursos humanos, TI, seguridad y compras deberían coordinarse para las contrataciones técnicas remotas. La guía estadounidense recomienda reforzar la comprobación de identidad —incluida una revisión estricta de documentos y entrevistas presenciales cuando corresponda— y aplicar sistemas que detecten información anómala en las cuentas.17

Medidas prácticas:

• Verificar por vías independientes. Contrastar documentos, historial profesional, referencias, datos de pago y ubicación declarada mediante fuentes que no procedan únicamente del candidato.
• Hacer significativa la validación en directo. Realizar entrevistas en vivo e investigar incoherencias sobre identidad, ubicación o presencia técnica; una videollamada por sí sola no demuestra necesariamente la identidad.
• Controlar la entrega de equipos y los permisos. Evitar enviar dispositivos corporativos antes de validar identidad y condiciones de trabajo. Tras la incorporación, aplicar equipos gestionados y acceso con privilegios mínimos.
• Vigilar accesos anómalos. Revisar el uso inesperado de proxies, ubicaciones de inicio de sesión incompatibles, comportamientos inusuales de control remoto y transferencias atípicas de datos.
• Preparar una respuesta de escalado. Definir de antemano cómo investigar, revocar accesos, revisar implicaciones legales y responder ante una posible extorsión.

La conclusión

WaterPlum demuestra que una entrevista laboral puede convertirse en un mecanismo de distribución de malware. El fraude de trabajadores TI demuestra que la contratación también puede ser una vía de intrusión.

La atribución compartida al Buró General 313 refuerza una idea central: las organizaciones deben proteger ambos lados del proceso de empleo, tanto a las personas que buscan trabajo frente a falsos reclutadores como a las empresas frente a la infiltración basada en identidades falsas.5