Un candidato puede superar una entrevista por vídeo, recibir un portátil en una dirección estadounidense y entrar en nómina mediante una cuenta con el nombre esperado. Cada hecho puede parecer válido dentro de su propio sistema aunque la persona entrevistada, la identidad archivada, quien maneja el portátil y el destinatario final del salario no sean la misma persona.
Esa separación es el mecanismo del fraude de trabajadores TI remotos norcoreanos. Una alerta del 31 de julio alojada por el Centro de Quejas de Delitos en Internet del FBI describe identidades falsas, terceros que realizan entrevistas, suplantación asistida por IA, herramientas de escritorio remoto, granjas de portátiles y cuentas de pago de terceros. Por tanto, la trama no es solo un problema de ciberseguridad o un fallo de recursos humanos. Es un problema de diseño de controles entre RR. HH., TI, seguridad y finanzas.
Un registro de nómina válido aún puede describir a la persona equivocada
Los datos de una identidad robada pueden ser lo bastante auténticos para superar una comprobación documental o de antecedentes. La alerta actual dice que un tercero puede aportar la identificación, crear una cuenta, participar en una entrevista o incluso comparecer en persona, mientras un trabajador norcoreano realiza el trabajo contratado. Varios integrantes también pueden operar una misma identidad a distintas horas. Una empresa puede verificar un nombre real sin demostrar continuidad entre candidato, empleado y operador.
El pago crea otra separación. La alerta enumera discrepancias entre el titular y la cuenta de pago registrada, cambios frecuentes de datos bancarios y solicitudes de transferencias o criptomonedas. Por separado no son pruebas. Junto con datos de contacto reutilizados, cambios de dirección de envío o patrones de acceso incoherentes, pueden indicar que un registro laboral sirve a varios actores.
No es una debilidad hipotética. En abril, el Departamento de Justicia de Estados Unidos anunció condenas por una trama que usó al menos 80 identidades robadas para obtener empleos en más de 100 empresas estadounidenses. El departamento dijo que generó más de cinco millones de dólares para Corea del Norte y causó a las empresas al menos tres millones en costes legales, de remediación y otros. Esas cifras describen una red juzgada, no todo el mercado.
Las granjas de portátiles rompen la señal de ubicación
Los empleadores suelen tratar un dispositivo corporativo en una dirección nacional como prueba de que el trabajador está donde dicen los registros. Una granja de portátiles invalida esa inferencia. Un facilitador recibe y aloja los equipos de la empresa y da acceso remoto a operadores en el extranjero. Justicia dijo que los facilitadores de la trama condenada alojaron cientos de ordenadores de empresas víctimas en residencias estadounidenses.
Desde dentro, el dispositivo puede parecer normal: hardware aprobado, conexión nacional y credenciales válidas. La discrepancia está una capa detrás del equipo. La evidencia útil abarca, por ello, residencia declarada, dirección de entrega, custodia del dispositivo, software de control remoto y patrones como una cuenta que aparece desde varios países en poco tiempo.
No enviar portátiles tampoco resuelve todo. Google Threat Intelligence Group informó de expansión en Europa y actividad en entornos de dispositivo propio y virtualizados, donde el envío y el inventario de equipos aportan menos señales. El control debe seguir la sesión de trabajo, no una sola política de hardware.
La pérdida puede empezar cuando termina el salario
La primera transferencia es el sueldo. En marzo, el Tesoro estadounidense dijo que las tramas de trabajadores TI norcoreanos generaron casi 800 millones de dólares en 2024 y que el Gobierno se apropia de la mayoría de los salarios de trabajadores en el extranjero. El Tesoro vinculó esos ingresos a programas armamentísticos y sancionó a seis personas y dos entidades. Para el empleador, eso añade riesgo de sanciones y reputación al coste directo de una contratación falsa.
El riesgo de acceso no es uniforme. Las observaciones de respuesta a incidentes de Mandiant encontraron que los trabajadores investigados habían actuado principalmente dentro de sus responsabilidades, aunque los puestos de desarrollo y administración les daban acceso elevado. Un trabajo competente puede prolongar una relación fraudulenta; no elimina el riesgo interno.
Una advertencia del FBI dice que algunos copiaron código a repositorios personales, obtuvieron credenciales o cookies de sesión y extorsionaron a antiguos empleadores con datos propios tras ser descubiertos. Eso no implica que toda contratación falsa se convierta en intrusión. Significa que el despido no cierra el incidente: hay que revisar credenciales, repositorios, sesiones en la nube y movimientos de datos.
Una contratación defendible necesita una sola cadena de evidencias
Añadir otra comprobación de identidad aislada deja igual la arquitectura. Un proceso más fuerte conecta evidencias en cuatro momentos. En las entrevistas, los equipos pueden comparar al candidato en directo con documentos, datos de contacto previos y contenido repetido del currículo, y plantear preguntas específicas del trabajo que revelen quién lo hizo. Al incorporarlo, se pueden conciliar residencia declarada, entrega del equipo y titularidad de nómina antes de aprobar excepciones.
Tras iniciar el acceso, se pueden vigilar conjuntamente la atestación del dispositivo, herramientas de control remoto prohibidas, sesiones simultáneas extrañas y cambios geográficos bruscos. Los puestos de ingeniería de alto riesgo deben comenzar con privilegios mínimos y ampliarlos solo cuando el trabajo lo exija. Un cambio de cuenta bancaria, nueva dirección o anomalía de acceso no debería quedar en una cola separada si otra función ya registró una discrepancia.
Existe un contraargumento real: una verificación intensiva puede retrasar la contratación remota, recoger demasiados datos personales y perjudicar injustamente a candidatos internacionales legítimos. Nacionalidad, acento o trabajo remoto no prueban fraude. El enfoque defendible es transparente y basado en riesgo: usa incoherencias entre sistemas y controles más fuertes para acceso a código fuente, producción o activos financieros. También necesita una vía de recurso ante discrepancias inocentes.
La evidencia pública aún tiene límites. Los procesos judiciales y la respuesta a incidentes muestran tramas exitosas, no qué proporción de candidatos remotos participa ni la tasa de falsos positivos de cada control. Datos sobre resultados de detección, identificadores repetidos y qué intervenciones detienen pagos o accesos cambiarían la evaluación. Hasta entonces, la lección operativa es clara: identidad, dispositivo, acceso y nómina no pueden ser cuatro luces verdes independientes. Deben describir continuamente a la misma persona.