Los cibercriminales logran robar millones de dólares en empresas mediante falsas entrevistas de trabajo porque convencen a desarrolladores de ejecutar pruebas de código infectadas en sus propias computadoras corporativas.
En lugar de atacar servidores protegidos por barreras digitales, los delincuentes crean perfiles falsos en redes profesionales, ganan la confianza de la víctima en reuniones virtuales y envían ejercicios técnicos que instalan programas dañinos de acceso remoto. Una vez que el archivo infectado se pone en marcha, los atacantes toman el control del equipo, sustraen credenciales de seguridad y navegan por la red interna para desvalijar fondos de la organización.
Esta modalidad de ingeniería social laboral no requiere violar un cortafuegos. El engaño empieza con una interacción fluida en plataformas profesionales como LinkedIn, X o Upwork. Un supuesto cazador de talentos te contacta, te ofrece una propuesta económica atractiva y te invita a participar en un proceso de selección para una compañía reconocida del sector tecnológico o financiero.
A continuación, la banda criminal organiza encuentros virtuales reales para eliminar cualquier sospecha. En muchos casos participan falsos coordinadores de recursos humanos y supuestos directivos. Estas personas mantienen videollamadas, responden tus preguntas e incluso comparten perfiles personales en redes con datos creíbles para generar confianza.
Al término de la reunión, te piden resolver un ejercicio técnico para evaluar tus habilidades de programación. Te envían un enlace a un repositorio público en GitHub o Bitbucket, o te solicitan descargar una herramienta de videoconferencia modificada. Cuando ponés en marcha el proyecto en tu computadora, un software dañino se instala en segundo plano y toma el control de tu sistema sin levantar alertas de seguridad.
¿Qué le pasó a Binance en el mayor atraco cibernético de la historia?
En octubre de 2026, la entidad de análisis de datos de cadena de bloques Chainalysis reportó el robo de 6.340 millones de dólares a la plataforma Binance en su informe técnico. La intromisión de los atacantes vinculados al grupo norcoreano TraderTraitor no ocurrió por un fallo en la cadena de bloques, sino por una maniobra combinada de manipulación psicológica que duró casi cinco meses.
El antecedente directo surgió en junio de 2026, cuando un desarrollador del equipo de billeteras de la compañía buscó una herramienta de programación basada en inteligencia artificial. Durante esa búsqueda instaló una versión alterada del gestor de paquetes Homebrew para computadoras Mac. Si bien el equipo de seguridad interna detectó la anomalía y revocó los accesos, los cibercriminales lograron mapear la estructura del personal clave de la plataforma.
En septiembre de 2026, la organización criminal lanzó el ataque directo contra otro profesional del equipo. Un perfil falso que simulaba ser Director de Proyecto contactó al empleado mediante una red laboral donde él exhibía su experiencia en la compañía. Los estafadores coordinaron dos rondas de entrevistas en video y mantuvieron un diálogo constante para generar empatía.
Al finalizar la última charla, le solicitaron la descarga de un proyecto de código alojado en un repositorio remoto. Al poner en marcha la prueba en su equipo corporativo, se ejecutó un programa dañino de día cero indetectable para los antivirus tradicionales. Ese archivo modificó la herramienta pyenv del sistema operativo Mac y creó un canal directo de control remoto hacia los servidores de los atacantes.
El 20 de octubre de 2026, los cibercriminales utilizaron el equipo comprometido para navegar por la red interna de la empresa. Gracias a las credenciales del empleado y al uso de una herramienta corporativa de inteligencia artificial, los atacantes localizaron datos de otros desarrolladores y extrajeron un token de autorización para la gestión de contenedores.
El 29 de octubre de 2026, la banda criminal ingresó al sistema informático de autorización de transacciones y transfirió fondos a través de múltiples cadenas de bloques en menos de cuatro horas. Cuando la compañía suspendió los retiros, los atacantes aplicaron una función técnica del protocolo Ethereum para mantener la extracción directa desde la red. La empresa logró frenar el ataque con una transacción especial de revocación, congeló cerca de 2.850 millones de dólares con ayuda de aliados internacionales e indemnizó las pérdidas con sus propios fondos de reserva.
¿Qué código maligno ocultan las pruebas técnicas en los procesos de reclutamiento?
Las pruebas de código infectadas ocultan programas maliciosos de sustracción de información como BeaverTail y troyanos de acceso remoto como InvisibleFerret. Estos archivos operan en fases sucesivas para evadir los controles habituales de los antivirus.
La primera fase suele apoyarse en BeaverTail, un ejecutable especializado en el robo de datos que puede estar escrito en JavaScript o compilado en lenguaje Qt para sistemas Mac y Windows. Una vez en el dispositivo, este software examina los navegadores de Internet y busca extensiones asociadas a billeteras digitales como MetaMask, Coinbase o Binance Wallet para extraer llaves privadas y credenciales guardadas.
En la segunda fase, BeaverTail descarga un segundo componente denominado InvisibleFerret. Se trata de un programa malicioso desarrollado en Python que otorga acceso remoto completo al dispositivo. Esta herramienta registra las pulsaciones del teclado, toma capturas de pantalla, exfiltra archivos personales y permite instalar aplicaciones de control a distancia como AnyDesk.
Otra variante destructiva es OtterCookie, un programa que se conecta mediante herramientas de comunicación en tiempo real como Socket.IO para monitorear el portapapeles de la víctima y buscar frases semilla de billeteras digitales. Al mismo tiempo, los cibercriminales recurren a la técnica Etherhiding, que utiliza cadenas de bloques públicas como TRON o Binance Smart Chain para ocultar las instrucciones de sus servidores de mando.
Además, destaca la modalidad conocida como ClickFix dentro de campañas operadas por grupos de cibercrimen. Durante la videoconferencia previa, la plataforma falsa muestra un mensaje de error que alerta sobre supuestos problemas con la cámara o el micrófono. El sistema le pide al usuario que copie un comando de solución y lo pegue en la consola de su computadora, con lo cual la propia víctima instala el software maligno en su equipo.
Las herramientas tradicionales de defensa sufren graves dificultades para detectar estas amenazas. Dado que el código infectado se ejecuta dentro de entornos de desarrollo legítimos como Node.js o Python, los programas de protección consideran que la actividad forma parte del trabajo cotidiano del programador.
¿Por qué los atacantes eligen a los desarrolladores de software como blanco principal?
Los delincuentes eligen a los desarrolladores de software porque poseen credenciales administrativas, accesos a servidores de producción y permisos sobre el código fuente de las empresas. En la cultura de la industria tecnológica, probar código de terceros y descargar librerías es una tarea cotidiana.
Los cibercriminales conocen a fondo esta rutina de trabajo y aprovechan la confianza técnica de los profesionales. Saben que un programador no sospecha de un ejercicio enviado para una búsqueda laboral, porque resolver este tipo de pruebas forma parte del proceso habitual de selección de cualquier compañía del sector.
Además, los dispositivos de los ingenieros suelen almacenar claves de acceso a la nube, llaves privadas de servidores remotos y tokens de conexión a bases de datos. Un solo archivo infectado en la computadora de un empleado puede otorgar a la banda criminal la capacidad de moverse en silencio por toda la infraestructura informática.
El crecimiento del trabajo remoto internacional incrementó la exposición a este tipo de engaños. Al no existir una oficina física ni una interacción presencial, la validación de la identidad del reclutador resulta más compleja, lo que facilita la suplantación de identidad por parte de organizaciones criminales. iProfesional informó acerca de los riesgos en el entorno de trabajo y el uso de dispositivos personales.
¿Cuál es el origen de estas campañas y qué rol cumple el cibercrimen estatal?
Las operaciones de falso reclutamiento no responden a iniciativas aisladas de delincuentes comunes, sino que forman parte de una estructura delictiva coordinada desde Corea del Norte para obtener divisas y eludir sanciones internacionales. La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) detalló este esquema operacional.
Por un lado existe la campaña de infiltración de trabajadores de tecnología, conocida bajo el nombre de Wagemole. En esta variante, especialistas norcoreanos utilizan identidades robadas de personas reales en Occidente para contratarse de forma remota en empresas tecnológicas. Perciben sueldos en monedas estables y aprovechan su acceso interno para tareas de espionaje o facilitación de futuros ataques.
Por otro lado operan las campañas de reclutamiento fraudulento como Contagious Interview u Operation Dream Job, conducidas por grupos de cibercrimen de élite como Lazarus o TraderTraitor. En esta modalidad, los operarios no buscan ser contratados formalmente, sino utilizar el pretexto del proceso de selección para infectar a empleados clave con programas de sustracción de activos.
Informes de analistas de seguridad revelan que, en los 18 meses previos al caso Binance, estos esquemas acumularon más de 14,3 millones de dólares en pérdidas en ataques de menor escala. Esos incidentes previos permitieron a los atacantes poner a prueba sus herramientas, afinar los guiones de persuasión y perfeccionar su técnica antes de ejecutar el golpe millonario.
¿Cuál es el peligro específico para los profesionales y empresas?
El peligro para los profesionales argentinos radica en que la búsqueda de empleo remoto en divisas los vuelve un blanco directo de fraudes cibernéticos que comprometen los equipos laborales. La necesidad de conseguir ingresos en moneda extranjera frente a la situación económica nacional convierte a los talentos locales en objetivos muy atractivos para los atacantes.
La Unidad Fiscal Especializada en Ciberdelincuencia emitió alertas públicas sobre el avance de esta modalidad de fraude. La entidad judicial advirtió que los ciberdelincuentes utilizan ofertas de empleo ficticias no solo para robar dinero o datos personales, sino también para infectar dispositivos. iProfesional analizó el alcance de estos engaños.
Existe un riesgo severo asociado a la práctica de trabajar con computadoras personales en el entorno corporativo. Muchos programadores argentinos trabajan desde sus propios equipos para clientes de Estados Unidos, Europa o América latina. Si ejecutan una prueba infectada en su máquina personal, los atacantes pueden robar las claves de acceso de las organizaciones internacionales para las cuales prestan servicios. Estudios del sector indican que las trampas de ingeniería social tienen un impacto creciente en la región.
Las maniobras de captación laboral no solo buscan instalar código maligno, sino también engañar a las víctimas para realizar pagos falsos o tareas no remuneradas. La incorporación de herramientas de inteligencia artificial por parte de los delincuentes permite redactar mensajes en español rioplatense sin errores ortográficos. Esta evolución técnica vuelve a las estafas laborales más creíbles y difíciles de identificar a simple vista.
¿Qué medidas de seguridad deben adoptar los trabajadores y las organizaciones para evitar el engaño?
Las empresas deben aplicar la arquitectura de confianza cero y los profesionales tienen que probar cualquier código de entrevista únicamente en entornos virtuales aislados. La prevención exige combinar normas strictly de conducta laboral con controles tecnológicos rígidos.
La regla fundamental para cualquier trabajador es simple: nunca tenés que utilizar la computadora del trabajo para participar en procesos de selección externos ni para probar proyectos personales. Si recibís una propuesta laboral y querés resolver una evaluación técnica, tenés que hacerlo en un equipo personal desconectado de la red de tu empresa.
A nivel individual, resulta indispensable el uso de entornos virtuales efímeros o cajas de arena para ejecutar código de origen desconocido. Si una prueba te exige desactivar protecciones de seguridad, cerrar contenedores o pegar comandos extraños en la consola de tu sistema operativo, tenés que interrumpir el proceso de inmediato.
Antes de avanzar en una búsqueda de empleo, es conveniente realizar una comprobación por canales independientes. Podés buscar el nombre de la persona que te contactó en el sitio web de la compañía o llamar por teléfono a la sede de la organización para verificar la existencia de la vacante.
Por su parte, los equipos de sistemas tienen que implementar políticas de seguridad que restrinjan la modificación del sistema operativo y bloqueen la ejecución de scripts no autorizados. También deben segmentar sus redes internas para que la máquina de un empleado no pueda conectarse en forma directa con los servidores de custodia de activos de la compañía.
El factor humano requiere un entrenamiento constante con simulaciones de ataques reales. Cuando los empleados aprenden a reconocer los patrones de manipulación y cuentan con canales ágiles para reportar mensajes sospechosos, la vulnerabilidad de la organización se reduce de forma drástica.
