El cazador cazado: un investigador griego se infiltró en los servidores de hackers norcoreanos y descubrió 1.640 víctimas en 57 países

No todas las brechas fueron iguales. Stykas estimó que entre 700 y 800 de esas víctimas sufrieron intrusiones que describió como "realmente dañinas" . En esos casos graves, los atacantes lograron:

• Acceso de nivel raíz a los servidores corporativos
• Control total de los entornos de Amazon Web Services (AWS)
• Exfiltración de claves criptográficas maestras, incluyendo claves privadas de billeteras de criptomonedas

Víctimas señaladas: cripto, salud y electrónica de consumo

Stykas nombró públicamente alrededor de una docena de organizaciones que manejaron bien el proceso de divulgación o que ya habían descubierto la brecha de forma independiente . Entre ellas:

• Coinbase y Uniswap Labs (criptomonedas/finanzas)
• Oppo (fabricante chino de teléfonos inteligentes)
• Boston Children's Hospital (salud)
• Consejo Superior del Poder Judicial de Italia
• AEON Smart Technology (Japón)

La campaña fue amplia, afectando a empresas de tecnología, instituciones financieras, proveedores de salud y organismos gubernamentales en decenas de países .

El vector de ataque: entrevistas de trabajo falsas

El método principal de acceso inicial fue una campaña de ingeniería social que Stykas identificó como "Contagious Interview" . Los hackers norcoreanos se hacían pasar por reclutadores corporativos en redes profesionales como LinkedIn. Se dirigían a desarrolladores de software con ofertas de trabajo atractivas y, durante entrevistas falsas, engañaban a las víctimas para que descargaran pruebas de código o archivos PDF infectados con malware .

Una vez que el dispositivo de un contratista o empleado estaba comprometido, los atacantes se movían lateralmente hacia la red corporativa. En algunos casos, trabajadores de TI norcoreanos también se infiltraban directamente en las empresas mediante empleo remoto fraudulento .

Cómo entró Stykas y se quedó

Stykas no accedió mediante una intrusión sofisticada, sino porque los hackers norcoreanos infectaron accidentalmente sus propias estaciones de trabajo con su propio malware . Este fallo de seguridad operativa le dio un punto de apoyo en sus servidores de comando y control. Desde allí, accedió a sus canales internos de Slack y Discord, revisó datos robados y extrajo claves de desarrolladores, código fuente y comunicaciones internas .

Pasó 22 meses monitoreando en silencio sus operaciones sin ser detectado .

Lo que Stykas presentó en Black Hat 2026

En Black Hat, Stykas reveló :

• El alcance total de 1.640 organizaciones víctimas en 57 países.
• Que los hackers estaban utilizando cada vez más herramientas de IA para escalar sus operaciones .
• Una lista parcial de víctimas que incluía a Coinbase, Oppo y el Hospital Infantil de Boston .
• Evidencia de que cientos de víctimas sufrieron graves compromisos: acceso root a servidores, control de AWS y exfiltración de claves criptográficas .
• Los detalles de la campaña Contagious Interview como el principal vector de acceso inicial .

Implicaciones

Los hallazgos de Stykas subrayan una vulnerabilidad crítica en la seguridad corporativa moderna: la dependencia de contratistas remotos y el propio proceso de contratación como una superficie de ataque. También destacan cómo los grupos de hackers patrocinados por estados pueden ocultar una cantidad asombrosa de brechas —muchas más de las conocidas anteriormente— durante años.

El hecho de que un investigador individual pudiera infiltrarse y monitorear el aparato de hackeo de una nación durante casi dos años también sugiere importantes brechas de seguridad operativa dentro de las unidades cibernéticas de Corea del Norte .