🛡 CIBERCRIMEN 🛡

Trabajadores de TI norcoreanos utilizaron identidades estadounidenses robadas para ganar 3 millones de dólares.

⏰18 de octubre de 2026🛡CyberObservatorio

Idioma

◢ CIBERCRIMEN ◣

Trabajadores de TI norcoreanos utilizaron identidades estadounidenses robadas para ganar 3 millones de dólares.

⟫ 17/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

**La infiltración de trabajadores de TI norcoreanos en empresas estadounidenses: un esquema de espionaje en evolución**

La reciente operación del Departamento de Justicia de Estados Unidos (DoJ) ha puesto de manifiesto un complejo y preocupante esquema de infiltración que ha estado operando durante años, a través del cual Norcorea ha estado colocando trabajadores de tecnología de la información (TI) falsos dentro de empresas americanas. Este esquema no solo representa una amenaza directa a la seguridad nacional, sino que también pone en peligro la integridad de la propiedad intelectual y los secretos comerciales de numerosas empresas. La atención que se le ha dado a este asunto subraya la importancia de la ciberseguridad y la vigilancia en un mundo cada vez más interconectado.

El DoJ anunció la ejecución de acciones coordinadas que resultaron en la detención de dos ciudadanos estadounidenses y la presentación de cargos contra 14 personas en relación a este esquema. Entre el 21 y el 25 de septiembre, el FBI llevó a cabo registros en más de 40 residencias en Texas, confiscando aproximadamente 187 laptops y dispositivos de conmutación KVM. Lo alarmante es que estos dispositivos eran los mismos que las empresas estadounidenses habían enviado a sus nuevos empleados remotos, ignorando que estos trabajadores de TI eran en realidad agentes de inteligencia norcoreanos que utilizaban identidades robadas de ciudadanos estadounidenses.

El operativo, denominado "Operación Lonestar Roundup", se centró en desmantelar esta red de infiltración. Según el DoJ, este esfuerzo es parte de una estrategia más amplia para contrarrestar las tácticas del gobierno de la República Popular Democrática de Corea (RPDC) que busca financiar su régimen mediante el trabajo remoto en el sector de TI para empresas estadounidenses. Las acusaciones describen un esquema que se extendió desde 2019 hasta mediados de 2025, afectando a más de 70 empresas en 17 estados de EE.UU., incluyendo sectores críticos como la atención médica, las telecomunicaciones y la manufactura.

Los trabajadores de TI norcoreanos utilizaban identidades robadas o falsas para aplicar a trabajos remotos, operando bajo la fachada de trabajadores legítimos. A través de redes privadas virtuales (VPN) y servidores proxy, lograban simular que su trabajo se realizaba desde territorio estadounidense, lo que complicaba aún más su detección. Los cómplices estadounidenses recibían las laptops de los empleadores, instalando software de acceso remoto que permitía a los trabajadores norcoreanos utilizarlas. A cambio, estos cómplices eran remunerados, mientras que los ingresos generados por los trabajos se remitían a Corea del Norte a través de cuentas controladas por el régimen.

El impacto económico de este esquema es significativo. Según las estimaciones del DoJ, se calcula que los trabajadores de TI norcoreanos generaron alrededor de 3 millones de dólares en ingresos, que se presume fueron enviados a entidades sancionadas controladas por el régimen norcoreano. Este flujo de capital no solo alimenta el sistema económico del país aislado, sino que también permite que el régimen continúe sus actividades de espionaje y ciberataques.

Las autoridades han destacado que el esquema está evolucionando en respuesta a un aumento en la detección por parte de las empresas y las autoridades. Se ha observado que los trabajadores de TI norcoreanos están comenzando a reclutar facilitadores estadounidenses para contrarrestar las mejoras en la detección por parte del sector privado y las acciones de la ley. Este cambio indica una sofisticación creciente en las tácticas utilizadas por los operativos norcoreanos, quienes ahora subcontratan partes de sus operaciones a personas dentro de EE.UU., lo que complica aún más la atribución y la interceptación de sus actividades.

El grupo detrás de esta operación ha sido identificado por CrowdStrike como "Famous Chollima", que ha descrito la infraestructura de "granjas de laptops" como esencial para el éxito de estas operaciones. Estas instalaciones permiten a los operativos de Famous Chollima hacerse pasar por trabajadores remotos legítimos y desviar salarios ilícitos de vuelta a su régimen, manteniendo un acceso persistente a las organizaciones víctimas. La colaboración entre CrowdStrike y el FBI ha sido fundamental para identificar y desmantelar estas redes.

La amenaza que representan estos trabajadores de TI norcoreanos es alarmante. El FBI ha señalado que miles de ellos están actualmente infiltrados en empresas occidentales, representando un riesgo significativo para la seguridad nacional y la propiedad intelectual. Se estima que estos trabajadores pueden ganar hasta 300,000 dólares al año, con ingresos colectivos que ascienden a cientos de millones de dólares anualmente, fluyendo directamente hacia entidades designadas, incluyendo el Ministerio de Defensa norcoreano.

Este esfuerzo de aplicación de la ley es parte de una iniciativa más amplia del DoJ conocida como "DPRK RevGen Domestic Enabler Initiative", que ha realizado múltiples rondas de acciones desde junio de 2025, enfocándose en aquellos que ayudan a los trabajadores de TI norcoreanos a llevar a cabo sus esquemas en EE.UU. En el último año, se ha documentado que los hackers norcoreanos fueron responsables de aproximadamente la mitad de todas las intrusiones cibernéticas registradas, además de atacar intercambios de criptomonedas y proyectos de software de código abierto.

Para combatir esta amenaza, el DoJ ha proporcionado una lista de direcciones de correo electrónico utilizadas en estas operaciones, que las empresas pueden añadir a sus indicadores de detección. Además, el FBI ha emitido recomendaciones sobre cómo identificar aplicaciones de trabajadores de TI norcoreanos, señalando indicadores de alerta como inconsistencias en el historial laboral, reticencia a aparecer en video, solicitudes para redirigir entregas de laptops y cuentas de pago que pasan a través de intermediarios.

El U.S. Attorney David M. Toepfer ha enfatizado la gravedad de estos esquemas, que son un recordatorio claro de que los adversarios estatales, como Corea del Norte, están dispuestos a hacer grandes esfuerzos para explotar la fortaleza económica de EE.UU. para avanzar en sus agendas nefastas. Estas acciones del DoJ y el FBI subrayan la necesidad urgente de que todas las empresas estadounidenses mantengan una vigilancia constante en sus prácticas de contratación, a fin de protegerse contra las infiltraciones y el espionaje.

La ciberseguridad se ha convertido en un campo de batalla crítico en la lucha contra el espionaje y el robo de propiedad intelectual, y la reciente operación contra el régimen norcoreano es un ejemplo claro de cómo las amenazas evolucionan y se adaptan a los cambios en el entorno de seguridad. En este contexto, es imperativo que las organizaciones se mantengan alerta y adopten medidas proactivas para salvaguardar sus activos y su información.

◢ CIBERCRIMEN ◣

North Korean IT Workers Used Stolen US Identities to Earn $3 Million

⟫ 17/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

The Justice Department (DoJ) announced coordinated enforcement actions this week targeting North Korea’s long-running scheme to place fake IT workers inside American companies. Two US nationals were arrested, 14 people charged across two separate indictments, and the FBI searched more than 40 residences in Texas, seizing approximately 187 laptops and KVM switch devices. The Texas operation, called Operation Lonestar Roundup, ran between September 21 and 25. The seized devices are the same laptops American companies shipped to their newly hired remote employees, not knowing those IT workers were North Korean intelligence agents using stolen US identities. “Today the Department of Justice announced coordinated actions against the Democratic People’s Republic of North Korea (DPRK) government’s schemes to fund its regime through remote information technology (IT) work for U.S. companies.”states DoJ. “These actions include an indictment, two arrests, searches of multiple known or suspected “laptop farms” in Texas pursuant to “Operation Lonestar Roundup,” and the seizure of approximately 187 computer devices used by DPRK IT workers.” The scheme was simple. North Korean IT workers applied for remote jobs using stolen or fake identities. They used VPNs and proxy servers to make it look like they were working from the United States. American helpers received the laptops provided by employers and installed remote access software so the North Korean workers could use them. These helpers were paid for their role, while the money earned from the jobs was sent back to North Korea through accounts controlled by the regime. According to an indictment from the Northern District of Ohio, the scheme ran from 2019 to mid-2025 and targeted more than 70 US companies across 17 states. The companies operated in sectors including healthcare, communications, cybersecurity support, retail, and manufacturing. “In total, the scheme impacted more than 70 U.S. company employers and generated approximately $3 million in revenue for IT workers.” SoJ states.”The revenue is believed to have been sent to sanctioned entities controlled by the DPRK. Victim employers included companies in the health care, communications, cyber support, retail, and manufacturing sectors across Ohio, sixteen additional states, and the District of Columbia.” The North Korean IT workers earned about $3 million, which prosecutors believe was sent to North Korean entities subject to international sanctions. The authorities warn the scheme is evolving in response to better detection. “Increasingly, North Korean IT workers are turning to recruiting American facilitators to counter improved private sector detections and law enforcement actions.” states DoJ. “These workers are hiring facilitators to complete a wider variety of tasks, and in some cases subcontracting entire jobs to third-party foreign nationals. “ That’s not just using Americans as props. It’s actively outsourcing parts of the operation to people inside the US, which makes attribution harder and interception more complicated. Some IT workers are now subcontracting entire jobs to third-party foreign nationals. Others are hiring facilitators to handle a wider range of tasks beyond just managing the laptops. CrowdStrike, which helped the FBI investigate, tracks the group behind this operation asFamous Chollimaand describes the laptop farm infrastructure as vital to overcoming the physical and legal barriers of operating from outside the US. “These laptop farms enabled FAMOUS CHOLLIMA operatives to pose as legitimate remote workers and siphon illicit wages back to their regime while maintaining persistent access to victim organizations. Working alongside the FBI, CrowdStrike’s threat intelligence into the adversary and their operations, and technical analysis helped make these disruptions possible.”states CrowdStrike. “This operationmarks the beginning of a broader U.S. law enforcement effort to dismantle FAMOUS CHOLLIMA’s U.S. infrastructure. CrowdStrike’s Counter Adversary Operations team intends to remain an integral part of that effort.” The FBI’s separate public service announcement puts the operation in broader context: “thousands of North Korean state-controlled IT workers” are currently embedded at Western companies, posing what the agency calls a significant national security and intellectual property theft insider threat. North Korean IT workers have individually earned up to $300,000 per year under these schemes, and the collective revenue is measured in hundreds of millions annually, flowing directly to designated entities including the North Korean Ministry of Defense. This is the fifth round of enforcement actions announced since June 2025 under the DOJ’s DPRK RevGen Domestic Enabler Initiative (June 2025,November 2025,April 2026, andMay 2026). The initiative targets people in the United States who help North Korean IT workers carry out these schemes. According to CrowdStrike, North Korean hackers were responsible for about half of all documented hands-on cyber intrusions over the past year. The regime is also targeting cryptocurrency exchanges and open-source software projects. In 2025 alone, North Korean attackers stole at least $2 billion in cryptocurrency. The DOJ released a list of email addresses used in these operations, including accounts likerandyryang@gmail.comanddev.jerryyang@gmail.com, which companies can add to their screening indicators. The FBI’s public service announcement includes detailed mitigation guidance on spotting DPRK IT worker applications. The red flags are consistent: inconsistencies in work history, reluctance to appear on video, requests to redirect laptop deliveries, and payment accounts that route through intermediaries. “Threats posed by nation-states like North Korea are a stark reminder that our adversaries will go to great measures to exploit our nation’s economic strength to further and fuel their own nefarious agendas,” said U.S. Attorney David M. Toepfer for the Northern District of Ohio. “We are thankful to FBI Cleveland for their incredible work and persistence to put a stop to these bad actors. These charges serve as an urgent alert to all U.S. companies to remain vigilant in their hiring practices.” Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking, IT workers)

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD