Qué descubrió Recorded Future

El grupo Insikt de Recorded Future identificó varios grupos de actividad asociados con PurpleDelta, la denominación que utiliza la empresa para describir operaciones norcoreanas de trabajadores informáticos que recurren a identidades fraudulentas. La actividad analizada se desarrolló principalmente entre finales de 2024 y principios de 2025, y afectó a compañías de software y tecnología, empresas de selección y consultoría, y organizaciones de los sectores sanitario y biotecnológico.

Los investigadores identificaron al menos 22 identidades ficticias. Uno de los grupos presentó candidaturas en más de 1.100 empresas a través de al menos ocho plataformas de contratación y llegó a enviar hasta 60 solicitudes al día. Recorded Future considera muy probable que los operadores hubieran conseguido empleo en al menos 10 organizaciones.

La escala apunta a un sistema de contratación repetible, no a casos aislados de currículos falsos. Las identidades podían crearse, adaptarse y sustituirse cuando fuera necesario, lo que permitía seguir buscando acceso incluso después de que se detectara uno de los perfiles.

Cómo se utilizó la IA para construir las identidades falsas

Los perfiles no se basaban únicamente en un currículum inventado. Según la investigación de Recorded Future, los operadores combinaron identidades fabricadas con fotografías de perfil generadas mediante IA, asistentes de ChatGPT configurados a medida y documentos de identidad obtenidos a través de canales ilícitos.

La IA les ayudó a adaptar las candidaturas y a mantener la coherencia de cada identidad durante las distintas fases del proceso de selección. En las entrevistas por videollamada, algunos operadores habrían utilizado transcripción en directo y respuestas generadas por IA, mientras que las herramientas de traducción les permitían justificar dificultades de comunicación o de idioma.

La investigación también describió a operadores que gestionaban varias identidades al mismo tiempo. Las grabaciones de reuniones y las herramientas de captura de pantalla añadían otro riesgo, porque podían exponer información tratada o mostrada dentro de los sistemas de la empresa. Las pruebas disponibles no demuestran que todas las identidades emplearan todas estas técnicas, pero la combinación muestra cómo la IA puede reducir el tiempo y el esfuerzo necesarios para administrar múltiples perfiles.

Por qué una contratación fraudulenta se convierte en un problema de seguridad

Un empleado falso puede ser más peligroso que un candidato falso porque el propio proceso de contratación genera confianza. Una vez dentro, el operador podría obtener acceso al código fuente, herramientas internas, información de clientes o financiera, conversaciones estratégicas y credenciales corporativas. El nivel de exposición depende del puesto y de los controles de acceso de cada organización, pero el trabajo remoto puede dificultar la verificación de quién está utilizando realmente la cuenta y el dispositivo.

El incentivo económico también tiene una dimensión geopolítica. PurpleDelta está asociada con la generación de ingresos y la recopilación de inteligencia para Corea del Norte, y los informes sobre la red norcoreana más amplia de trabajadores informáticos han relacionado los ingresos obtenidos mediante empleos ilícitos con programas estatales sancionados y con la financiación de armas de destrucción masiva.

La investigación más amplia de Recorded Future describe las identidades sintéticas como una amenaza empresarial doble: pueden facilitar el fraude financiero y, al mismo tiempo, la evasión de sanciones, la generación de ingresos ilícitos y el robo de propiedad intelectual.

La relación con el auge de las estafas laborales

PurpleDelta ataca a las empresas a través del proceso de contratación, mientras que las estafas laborales más conocidas se dirigen a las personas que buscan trabajo. Las tácticas son distintas, pero ambas explotan el trabajo remoto, la confianza en los servicios digitales y unos controles de identidad insuficientes.

En un caso reciente, el Better Business Bureau (BBB) del norte de Alabama alertó sobre supuestos puestos de entrada de datos desde casa promocionados bajo el nombre de «Parkway Greenhouse LLC». Los solicitantes dijeron haber recibido ofertas rápidas y, después, peticiones de información de sus cuentas bancarias.

El impacto económico de las estafas laborales también ha aumentado con fuerza. Los datos de la Comisión Federal de Comercio de Estados Unidos (FTC) muestran que las pérdidas denunciadas por estafas de empleo y de agencias de colocación falsas pasaron de 90 millones de dólares en 2020 a 501 millones en 2024, mientras que el número de denuncias casi se triplicó. Por separado, el BBB informó de que las denuncias por estafas laborales se duplicaron con creces en 2025 frente al año anterior.

La lección común para empresas y candidatos es clara: un perfil digital convincente no demuestra que detrás haya una persona real, un empleador legítimo ni una ubicación auténtica.

Qué deberían verificar las empresas

La recomendación central de Recorded Future es comprobar quién está realmente detrás de una cuenta, en lugar de limitarse a validar documentos, currículos o perfiles en línea. Un proceso más sólido debería combinar varias señales:

• Identidad: aplicar métodos de comprobación más exigentes, incluidas pruebas de presencia real en directo o por vídeo y comparaciones con registros oficiales de identidad.
• Ubicación: verificar que los datos de red y de IP, la geolocalización, la zona horaria, la información de nómina e impuestos y la autorización para trabajar coincidan con la ubicación declarada por el empleado.
• Dispositivos: buscar dispositivos repetidos entre contrataciones supuestamente no relacionadas, huellas digitales de dispositivo inusuales, software de control remoto, uso de VPN o proxies y patrones anómalos de inicio de sesión.
• Comprobación continua: repetir las verificaciones de identidad, dispositivo y ubicación después de la contratación, especialmente si el empleado cambia de cuenta, equipo, datos bancarios o identidad declarada.
• Acceso con privilegios mínimos: limitar los sistemas a los que puede acceder una persona recién contratada o conectada de forma remota hasta confirmar su identidad y su comportamiento.

Estas medidas deben funcionar en conjunto, no como una única prueba que determine por sí sola si una persona es auténtica. Un dispositivo conocido, un documento plausible o una videollamada satisfactoria pueden resultar engañosos cuando un operador coordina varias identidades.

La principal lección para la contratación remota

PurpleDelta demuestra por qué la verificación de identidad no puede terminar cuando un candidato acepta una oferta. La pregunta más importante no es si el currículum parece auténtico, sino si la misma persona verificada, desde la misma ubicación comprobada, utiliza el mismo equipo autorizado durante toda la relación laboral.

Una identidad fabricada es desechable. Eliminar una cuenta o un nombre no necesariamente impide que el operador regrese con otro perfil. Las comprobaciones continuas de identidad, ubicación, dispositivos y comportamiento de acceso ofrecen a las empresas más posibilidades de detectar al operador, en lugar de limitarse a borrar el último perfil utilizado.

Qué descubrió Recorded Future

El grupo Insikt de Recorded Future identificó varios grupos de actividad asociados con PurpleDelta, la denominación que utiliza la empresa para describir operaciones norcoreanas de trabajadores informáticos que recurren a identidades fraudulentas. La actividad analizada se desarrolló principalmente entre finales de 2024 y principios de 2025, y afectó a compañías de software y tecnología, empresas de selección y consultoría, y organizaciones de los sectores sanitario y biotecnológico.

Los investigadores identificaron al menos 22 identidades ficticias. Uno de los grupos presentó candidaturas en más de 1.100 empresas a través de al menos ocho plataformas de contratación y llegó a enviar hasta 60 solicitudes al día. Recorded Future considera muy probable que los operadores hubieran conseguido empleo en al menos 10 organizaciones.

La escala apunta a un sistema de contratación repetible, no a casos aislados de currículos falsos. Las identidades podían crearse, adaptarse y sustituirse cuando fuera necesario, lo que permitía seguir buscando acceso incluso después de que se detectara uno de los perfiles.

Cómo se utilizó la IA para construir las identidades falsas

Los perfiles no se basaban únicamente en un currículum inventado. Según la investigación de Recorded Future, los operadores combinaron identidades fabricadas con fotografías de perfil generadas mediante IA, asistentes de ChatGPT configurados a medida y documentos de identidad obtenidos a través de canales ilícitos.

La IA les ayudó a adaptar las candidaturas y a mantener la coherencia de cada identidad durante las distintas fases del proceso de selección. En las entrevistas por videollamada, algunos operadores habrían utilizado transcripción en directo y respuestas generadas por IA, mientras que las herramientas de traducción les permitían justificar dificultades de comunicación o de idioma.

La investigación también describió a operadores que gestionaban varias identidades al mismo tiempo. Las grabaciones de reuniones y las herramientas de captura de pantalla añadían otro riesgo, porque podían exponer información tratada o mostrada dentro de los sistemas de la empresa. Las pruebas disponibles no demuestran que todas las identidades emplearan todas estas técnicas, pero la combinación muestra cómo la IA puede reducir el tiempo y el esfuerzo necesarios para administrar múltiples perfiles.

Por qué una contratación fraudulenta se convierte en un problema de seguridad

Un empleado falso puede ser más peligroso que un candidato falso porque el propio proceso de contratación genera confianza. Una vez dentro, el operador podría obtener acceso al código fuente, herramientas internas, información de clientes o financiera, conversaciones estratégicas y credenciales corporativas. El nivel de exposición depende del puesto y de los controles de acceso de cada organización, pero el trabajo remoto puede dificultar la verificación de quién está utilizando realmente la cuenta y el dispositivo.

El incentivo económico también tiene una dimensión geopolítica. PurpleDelta está asociada con la generación de ingresos y la recopilación de inteligencia para Corea del Norte, y los informes sobre la red norcoreana más amplia de trabajadores informáticos han relacionado los ingresos obtenidos mediante empleos ilícitos con programas estatales sancionados y con la financiación de armas de destrucción masiva.

La investigación más amplia de Recorded Future describe las identidades sintéticas como una amenaza empresarial doble: pueden facilitar el fraude financiero y, al mismo tiempo, la evasión de sanciones, la generación de ingresos ilícitos y el robo de propiedad intelectual.

La relación con el auge de las estafas laborales

PurpleDelta ataca a las empresas a través del proceso de contratación, mientras que las estafas laborales más conocidas se dirigen a las personas que buscan trabajo. Las tácticas son distintas, pero ambas explotan el trabajo remoto, la confianza en los servicios digitales y unos controles de identidad insuficientes.

En un caso reciente, el Better Business Bureau (BBB) del norte de Alabama alertó sobre supuestos puestos de entrada de datos desde casa promocionados bajo el nombre de «Parkway Greenhouse LLC». Los solicitantes dijeron haber recibido ofertas rápidas y, después, peticiones de información de sus cuentas bancarias.

El impacto económico de las estafas laborales también ha aumentado con fuerza. Los datos de la Comisión Federal de Comercio de Estados Unidos (FTC) muestran que las pérdidas denunciadas por estafas de empleo y de agencias de colocación falsas pasaron de 90 millones de dólares en 2020 a 501 millones en 2024, mientras que el número de denuncias casi se triplicó. Por separado, el BBB informó de que las denuncias por estafas laborales se duplicaron con creces en 2025 frente al año anterior.

La lección común para empresas y candidatos es clara: un perfil digital convincente no demuestra que detrás haya una persona real, un empleador legítimo ni una ubicación auténtica.

Qué deberían verificar las empresas

La recomendación central de Recorded Future es comprobar quién está realmente detrás de una cuenta, en lugar de limitarse a validar documentos, currículos o perfiles en línea. Un proceso más sólido debería combinar varias señales:

• Identidad: aplicar métodos de comprobación más exigentes, incluidas pruebas de presencia real en directo o por vídeo y comparaciones con registros oficiales de identidad.
• Ubicación: verificar que los datos de red y de IP, la geolocalización, la zona horaria, la información de nómina e impuestos y la autorización para trabajar coincidan con la ubicación declarada por el empleado.
• Dispositivos: buscar dispositivos repetidos entre contrataciones supuestamente no relacionadas, huellas digitales de dispositivo inusuales, software de control remoto, uso de VPN o proxies y patrones anómalos de inicio de sesión.
• Comprobación continua: repetir las verificaciones de identidad, dispositivo y ubicación después de la contratación, especialmente si el empleado cambia de cuenta, equipo, datos bancarios o identidad declarada.
• Acceso con privilegios mínimos: limitar los sistemas a los que puede acceder una persona recién contratada o conectada de forma remota hasta confirmar su identidad y su comportamiento.

Estas medidas deben funcionar en conjunto, no como una única prueba que determine por sí sola si una persona es auténtica. Un dispositivo conocido, un documento plausible o una videollamada satisfactoria pueden resultar engañosos cuando un operador coordina varias identidades.

La principal lección para la contratación remota

PurpleDelta demuestra por qué la verificación de identidad no puede terminar cuando un candidato acepta una oferta. La pregunta más importante no es si el currículum parece auténtico, sino si la misma persona verificada, desde la misma ubicación comprobada, utiliza el mismo equipo autorizado durante toda la relación laboral.

Una identidad fabricada es desechable. Eliminar una cuenta o un nombre no necesariamente impide que el operador regrese con otro perfil. Las comprobaciones continuas de identidad, ubicación, dispositivos y comportamiento de acceso ofrecen a las empresas más posibilidades de detectar al operador, en lugar de limitarse a borrar el último perfil utilizado.