Tras una búsqueda exhaustiva, los responsables de contratación de KnowBe4 creyeron haber encontrado al candidato ideal para incorporarse al equipo interno de inteligencia artificial de la empresa.
Sobre el papel, Kyle cumplía todos los requisitos para el puesto de desarrollador. Era un ingeniero de software con amplia experiencia, causó una buena impresión en todas sus entrevistas por vídeo y contaba con excelentes referencias. Se comprobó que sus antecedentes eran correctos.
Sin embargo, después de que la empresa de seguridad le enviara a Kyle el ordenador portátil de la empresa, empezaron a suceder cosas extrañas. En primer lugar, intentó instalar el malware « » ( ) en el equipo, pero la instalación fue bloqueada por el software de protección de puntos finales «» ( ) del sistema. Cuando el centro de operaciones de seguridad de la empresa se puso en contacto con él a través de Slack, Kyle afirmó que había comprometido accidentalmente su sistema mientras intentaba solucionar un problema con su router.
Esa excusa no tenía ningún sentido, por lo que el equipo de seguridad intentó que se uniera a una conversación de audio. Kyle dijo que no podía hablar y, a continuación, dejó de comunicarse por completo. Eso fue suficiente para el Centro de Operaciones de Seguridad (SOC) de . En menos de 30 minutos, KnowBe4 personas habían bloqueado la cuenta de Kyle. A continuación, facilitó los detalles de sus comunicaciones a la consultora de seguridad Mandiant y, posteriormente, al FBI.
«Gracias a Mandiant y al FBI, nos dimos cuenta de que se trataba de una operación sofisticada, bien financiada y patrocinada por un Estado», afirma Stu Sjouwerman, director ejecutivo de la empresa, quien escribió una entrada en su blog sobre el incidente en julio, como parte de una iniciativa para alertar a otras empresas.
Sin embargo, para cientos de empresas estadounidenses —y aún más en todo el mundo—, esa advertencia llega demasiado tarde.
Tenemos que hablar de Kyle… y de los «deepfakes»
Como líder en formación innovadora sobre concienciación en materia de seguridad y en formación sobre concienciación en materia de seguridad, KnowBe4 está muy al tanto de las tendencias en inteligencia sobre amenazas y de las prácticas recomendadas de ciberhigiene . Lo cual no hace sino poner de relieve lo insidioso que es el problema de Kyle. Se enteraron de que «Kyle» era, con toda probabilidad, un ciudadano norcoreano que se hacía pasar por ciudadano estadounidense. Para eludir los controles de selección de personal de la empresa, había utilizado una identidad robada y una fotografía retocada con inteligencia artificial para superar las comprobaciones de antecedentes. Se pagó a un actor profesional para que interpretara a Kyle en las entrevistas en vídeo, mientras que el empleado real probablemente se encontraba en algún lugar de Asia. Las referencias se confirmaron por correo electrónico.
«. Con una sola imagen de alta resolución del rostro de una persona y unos 10 segundos de audio, puede utilizar una herramienta de código abierto para engañar a cualquiera en Zoom o Teams.»Ben Colman, director ejecutivo y cofundador de Reality Defender
Sjouwerman destaca que no se perdió ningún dato de la empresa, que no se produjo ninguna brecha de seguridad en los sistemas sensibles de y que las medidas de seguridad de KnowBe4 funcionaron exactamente como debían. Kyle fue despedido de inmediato.
Aun así, Sjouwerman admite que su empresa se ha librado por los pelos. Si el falso desarrollador no hubiera intentado instalar malware de inmediato, podría haber obtenido acceso a los repositorios de software de la empresa y a los servidores en la nube de .
La confesión de Sjouwerman es poco habitual, pero el ataque que sufrió su empresa no lo es. Poco después de que publicara su relato, KnowBe4 recibió noticias de más de una docena de empresas que habían recibido solicitudes de candidatos falsos similares, una de las cuales incluso había contratado a «Kyle».
Los atacantes se ocultan a plena vista
Según el Departamento de Justicia de Estados Unidos, más de 300 empresas han sido infiltradas por trabajadores norcoreanos del sector de las tecnologías de la información que se hacían pasar por ciudadanos estadounidenses. Esto incluye tanto a empresas de la lista «Fortune 500 » como a organizaciones con tan solo 12 empleados, señala Roger Grimes, defensor de la defensa basada en datos para KnowBe4 y autor de un informe técnico de ( ) en el que se detalla cómo identificar y prevenir ataques similares.
Según datos de May 2024, los empleados fraudulentos con sede en el extranjero habían cobrado casi 7 millones de dólares en concepto de salario de empresas estadounidenses. Según el FBI, la mayor parte de ese dinero se canalizó directamente al Gobierno de Corea del Norte para ayudar a financiar sus programas de armamento.
Estos trabajadores extranjeros del sector de las tecnologías de la información contaron con la ayuda de una red de «facilitadores» en Estados Unidos. Estos colaboradores gestionan redes de ordenadores portátiles a las que acceden de forma discreta empleados ubicados en el extranjero, además de proporcionar referencias falsas, servicios de blanqueo de capitales y otros servicios. El pasado mes de mayo, la Oficina de Investigación de Delitos Informáticos ( ) del Departamento de Justicia detuvo a dos ciudadanos estadounidenses por su participación en ayudar a trabajadores extranjeros del sector de las tecnologías de la información a engañar a sus empleadores estadounidenses.
En la mayoría de los casos —y aquí está el punto clave que conviene destacar para los responsables de las empresas— los empleados extranjeros parecen haber realizado el trabajo para el que fueron contratados. No son personas holgazanas, por lo que no resulta tan fácil detectarlas. Por supuesto, contratar sin saberlo a trabajadores del sector de las tecnologías de la información procedentes de la República Popular Democrática de Corea (RPDC) expone a cualquier organización a una serie de riesgos.
Contratar a cualquier persona procedente de Corea del Norte podría suponer una infracción de las sanciones internacionales impuestas a dicho país, lo que podría exponer a las empresas a riesgos legales. Contar con un empleado procedente de un Estado-nación hostil también implica que la empresa tiene más probabilidades de sufrir ataques internos de tipo « », señala Sjouwerman. Según él, las universidades norcoreanas forman a un gran número de profesionales de las tecnologías de la información y de hackers de «sombrero negro», y todos se conocen entre sí. Las empresas que han sido objeto de infiltración son más vulnerables a las filtraciones de datos, el fraude financiero y los ataques a la cadena de suministro.
«Imagínese que el pirata informático le envía un mensaje de texto a su amigo informático de Morgan Stanley: “Oiga, alguien de Morgan Stanley está hablando mal de Kim Jong-Un”. «Causa todo el daño que pueda».
Los «deepfakes» son cada vez más realistas y fáciles de crear
En retrospectiva, hubo algunas señales de alarma que KnowBe4 debería haber detectado, admite Sjouwerman.
«. Hay miles de personas como estas en todo el mundo que trabajan para empresas que no tienen ni idea.»Stu Sjouwerman, director ejecutivo de KnowBe4
Por ejemplo, aunque «Kyle» afirmaba vivir en Atlanta, pidió a KnowBe4 que enviara el ordenador portátil de su empresa a una dirección en el estado de Washington, donde se encuentra una de las «granjas de ordenadores portátiles» conocidas. Sjouwerman añade que su equipo debería haber sido más minucioso a la hora de buscar discrepancias en el historial laboral del solicitante y de comprobar sus referencias. Desde entonces, la empresa ha renovado considerablemente sus procesos de contratación.
Sin embargo, dado que se trata de operaciones sofisticadas, gestionadas por el Estado, es posible que ya hayan cambiado de táctica, advierte Grimes.
Además, la creciente sofisticación de los vídeos «deepfake» generados por IA hará que las entrevistas de trabajo a distancia resulten aún más delicadas, señala Ben Colman, director ejecutivo y cofundador de Reality Defender, empresa que ofrece servicios de detección de «deepfakes» a las empresas.
Según señala Colman, en los últimos 18 meses, el coste de crear «deepfakes» se ha reducido 100 veces. Si a esto le sumamos la proliferación de herramientas de código abierto para la superposición de rostros y voces, resulta más fácil que nunca crear vídeos creíbles en tiempo real en los que prácticamente cualquier persona diga prácticamente cualquier cosa, lo que no hará sino avivar una avalancha de información errónea , desinformación y , así como de desinformación.
«Con una sola imagen de alta resolución del rostro de una persona y unos 10 segundos de audio, puede utilizar una herramienta de código abierto para engañar a cualquiera en Zoom o Teams», añade.
Colman afirma que Reality Defender colabora con los equipos de recursos humanos y de selección de personal de grandes bancos, medios de comunicación y organismos públicos como parte de su proceso de verificación de empleados. Sin embargo, en general, no existe una conciencia generalizada sobre el problema de los falsos teletrabajadores.
«Hay miles de personas como estas en todo el mundo que trabajan para empresas que no tienen ni idea», afirma Sjouwerman. «Recomiendo encarecidamente a otros directores generales que evalúen sus prácticas de contratación actuales y, en particular, que perfeccionen el proceso de contratación de ingenieros que trabajan a distancia».
Las empresas deben aplicar un modelo de amenazas a sus procesos de selección de personal e informar a la alta dirección de los riesgos que conlleva la contratación de ciudadanos extranjeros, afirma Grimes. Durante las entrevistas, plantee preguntas cuyas respuestas probablemente conozca alguien que se haya graduado en una universidad concreta, haya vivido en una ciudad específica o haya trabajado en una empresa anterior, pero que no se puedan encontrar fácilmente en Internet.
«Siempre que sea posible, la forma más segura de evaluar a alguien es en persona», añade.
«Siempre que sea posible, exija a los empleados que teletrabajan que se reúnan en persona con un empleado, un jefe de equipo o un representante designado de la organización, y que presenten un documento de identidad oficial para confirmar que son quienes dicen ser».
10 señales reveladoras de que su candidato a un puesto de trabajo en el ámbito de las tecnologías de la información podría no ser de fiar:
Aunque no existe una forma 100 % infalible de detectar a un candidato falso, las siguientes señales de alerta deberían llevar a cualquier responsable de contratación a investigar un poco más a fondo.
- 1. Falta de dominio del inglés a pesar de afirmar haber cursado estudios en EE. UU. o de llevar mucho tiempo residiendo allí
- 2. El acento no se corresponde con la región del mundo de la que afirman proceder
- 3. Las respuestas a las preguntas sobre la trayectoria profesional son incoherentes o imprecisas
- 4. Huella digital mínima fuera de los perfiles proporcionados
- 5. Identidades en redes sociales de « » incoherentes o de nueva creación
- 6. Descripciones de puestos de trabajo o material de trabajo copiado de procedente de otras fuentes
- 7. Solo utiliza dominios de correo electrónico públicos, como , por ejemplo, Gmail u Outlook.com
- 8. Se conecta siempre a a través de VPN o números VoIP
- 9. Las entrevistas telefónicas se realizaron desde centros de atención telefónica ruidosos
- 10. se muestra reacio a aparecer ante las cámaras y da excusas para justificarlo
