La agencia policial japonesa expone a hackers norcoreanos en una acción conjunta con Estados Unidos, Australia y Alemania
La Agencia Nacional de Policía de Japón, junto con el FBI y las agencias de seguridad de Australia y Alemania, han identificado a un grupo norcoreano que se hacía pasar por reclutadores tecnológicos mientras robaba criptomonedas a profesionales de TI en todo el mundo. Desviaron activos por valor de 1.700 millones de yenes (unos 10,71 millones de dólares) a Corea del Norte.
El grupo se llama WaterPlum, pero usa "Contagious Interview" como alias, y atacaron a víctimas en todo el mundo, incluidos Japón, Estados Unidos, Europa y otros lugares, según un comunicado conjunto publicado por las siete agencias el viernes 18 de septiembre de 2026.
Siete agencias, una atribución pública
El aviso incluye los nombres de siete agencias: la Oficina Nacional de Ciberseguridad de Japón, la NPA, el FBI, el Centro de Delitos Cibernéticos del Departamento de Defensa, el Centro de Ciberseguridad ASD de Australia, así como el BND y el BfV de Alemania.
El anuncio se realizó bajo un marco de "atribución pública", una medida destinada a disuadir futuros ataques al exponer al Estado o grupo responsable de un ciberataque malicioso.
Según la evaluación de la Fiscalía Nacional y el FBI, los hackers de WaterPlum, junto con un grupo de informáticos norcoreanos, estaban bajo el mando de la 313.ª Oficina General del Departamento de la Industria de Municiones, una unidad dependiente del Comité Central del Partido de los Trabajadores de Corea. Esto significa que la operación formaba parte de un plan más amplio que Pyongyang utilizaba para financiar su programa de armamento. Las agencias de inteligencia estadounidenses ya habían formulado esta misma acusación en el pasado durante un episodio de robo de criptomonedas por parte de Corea del Norte, una acusación que el régimen norcoreano niega rotundamente.
Cómo funcionaba el plan de empleos falsos de Corea del Norte
El plan funcionaba así: los hackers se hacían pasar por responsables de contratación en empresas de IA, criptomonedas y startups de NFT, ofreciendo puestos de trabajo irresistibles a desarrolladores de software. Los candidatos debían someterse a entrevistas técnicas o completar ejercicios de programación antes de recibir instrucciones para descargar y ejecutar archivos como parte de la evaluación.
Los archivos descargados estaban infectados con malware. Los paquetes del Administrador de paquetes de Node contenían diversas variantes de malware, entre ellas: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy y StoatWaffle. Tras la instalación, el código creaba una puerta trasera que permitía el acceso mediante troyanos de acceso remoto, ytraccontraseñas del navegador, pulsaciones de teclas, capturas de pantalla, las claves privadas y las frases semilla utilizadas para acceder a las carteras de criptomonedas
Desde diciembre del año pasado hasta julio de este año, la operación corrompió más de 30.000 dispositivos en más de 100 países e información confidencial perteneciente a unas 7.000 cuentas de criptomonedas.
Destruida una granja de ordenadores portátiles en Japón
La operación se dividió en dos partes, y la segunda parte implicó trabajo. Según el anuncio del NPA, algunos trabajadores informáticos norcoreanos,dent en Corea del Norte, China y Rusia, obtuvieron subrepticiamentetracde programación remota y desarrollo web, mientras enviaban sus salarios a Corea del Norte.
En total, a lo largo de los años , cientos de millones de yenes fueron devueltos a Corea del Norte
Para ocultar el origen físico de ese trabajo, la red recurrió a personas locales que operaban granjas de computadoras portátiles y servidores virtuales privados para los hackers. Las autoridades japonesas detectaron, investigaron y desmantelaron una granja de computadoras portátiles operada por un cómplice en Japón, un hecho sin precedentes.
Parte de una operación cada vez más amplia de Corea del Norte
El aviso arroja más luz sobre una tendencia creciente que se ha desarrollado en los últimos meses. Se ha registrado un aumento del 420 % en el malware escrito en cadenas de bloques públicas, gran parte del cual proviene de Corea del Norte e Irán.
El robo de criptomonedas por parte de Corea del Norte fue clasificado como una importante amenaza para la seguridad durante una de líderes del G7 en junio de este año. Esto ocurrió después de que se descubriera que agentes vinculados a Corea del Norte habían robado aproximadamente 6750 millones de dólares desde 2016.
El señuelo para reclutar talento es una táctica recurrente. El investigador de Black Hat, Vangelis Stykas, afirmó que este año había traca hackers norcoreanos en 1640 empresas de 57 países, a menudo engañando a los desarrolladores con ofertas de trabajo falsas que instalaban malware, según informó Cryptopolitan .
Si estás leyendo esto, ya llevas ventaja. Mantente al día con nuestro boletín informativo.
Artículos Recomendados
