¿Qué pasa cuando una prueba de programación maliciosa llega a una empresa de seguridad?

Una técnica muy utilizada

Los desarrolladores son objetivos muy atractivos. Sus portátiles y cuentas suelen tener acceso al código fuente, a los sistemas de compilación y a la infraestructura de producción, por lo que los atacantes se esfuerzan mucho por acceder a ellos. La contratación falsa es una de las formas más habituales de hacerlo: el atacante se hace pasar por un empleador, lleva a cabo un proceso de entrevista creíble y, a continuación, le pide al candidato que descargue y ejecute una tarea de programación.

Esta técnica ha saltado a los titulares esta semana tras el robo de 6300 millones de dólares a Binance, que empezó con una entrevista de trabajo. Según Binance, en septiembre contactaron con un ingeniero de software a través de una plataforma de empleo legítima y le pidieron que descargara una tarea de programación en su ordenador del trabajo. El FBI ha atribuido el ataque a Corea del Norte.

Por los pelos

En septiembre, un partner del sector nos avisó a través de un canal de intercambio de información: alguien había comprometido uno de los Mac de nuestros empleados. El día anterior, uno de nuestros empleados había recibido un señuelo similar y había abierto una «tarea de programación» de GitHub en VS Code. Un comando oculto en la configuración del espacio de trabajo se ejecutó en cuanto se abrió el terminal y, en dos minutos, el cargador BeaverTail y la puerta trasera InvisibleFerret ya estaban en marcha. Que quede claro: no estamos sugiriendo que este fuera necesariamente el mismo malware utilizado en Binance. La preocupación más general es que múltiples grupos de amenazas norcoreanos utilizan la ingeniería social basada en temas laborales. Así que no se trata de un truco aislado asociado a una sola campaña, sino parte de un manual de estrategias más amplio y bien establecido.

Una pista externa es un regalo, pero también resulta muy incómoda. Para cuando llega, la mayoría de tus otros controles ya han fallado. El nuestro falló por una razón muy trivial: el agente de endpoint del Mac no funcionaba bien. Los activos desprotegidos son uno de los puntos débiles más comunes y menos glamurosos que vemos en nuestra base de clientes. Esta vez nos afectó a nosotros.

Publicamos habitualmente análisis de causas raíz para incidentes como este. Echa un vistazo a INC-2026-002 para más detalles sobre el ataque y nuestras medidas correctivas.

Un señuelo similar, un ataque diferente

Ambos ataques se aprovecharon de herramientas de desarrollo de confianza. En nuestro caso, el atacante utilizó una función del espacio de trabajo de VS Code y un puñado de scripts. Según Binance, el atacante sustituyó el componente legítimo de pyenv de la instalación de Homebrew del ingeniero por una versión maliciosa, la utilizó para contactar con un servidor controlado por el atacante y borró los rastros sobre la marcha. Binance afirma que sus herramientas endpoint no detectaron ese malware. Nuestra protección de endpoints ya había detectado la carga útil utilizada contra nosotros: SophosLabs confirmó que el primer script instalado en el Mac ya lo había detectado como Troj/Dloadr-EJE. Un agente operativo habría detenido la cadena de ataque.

Qué hacer al respecto

Te sugerimos tres cosas.

Localiza los endpoints que han dejado de comunicarse. Ya contábamos con comprobaciones de cumplimiento de los dispositivos y supervisión de la cobertura de los endpoints, pero este incidente puso de manifiesto una brecha entre ambas. La correlación de los datos de inicio de sesión de identidad con la telemetría de los endpoints la subsanó: un dispositivo que sigue iniciando sesión pero que no envía informes a tu consola de endpoints es una brecha de cobertura. Al unir esas vistas, salieron a la luz dispositivos que superaban el cumplimiento de identidad y gestión de dispositivos, pero que no enviaban informes a nuestra consola corporativa.

Vale la pena señalar que encontramos una larga lista de casos extremos que impedían que estos datos se fusionaran correctamente (algunos exclusivos de Sophos, como la forma en que probamos internamente las versiones beta de nuestro software para endpoint). Esta complejidad había frustrado intentos anteriores de conciliación, pero esta vez, con la ayuda de un agente de IA, pudimos resolver los aspectos más complicados de forma mucho más eficiente. Al abordar parte de esa complejidad histórica, reforzamos nuestros controles de cumplimiento en la gestión de dispositivos para evitar que se repita. La investigación sirvió de base para una propuesta de detección de este tipo de lagunas de visibilidad.

Considera los ataques de Corea del Norte contra el personal de TI como una única amenaza. Hace un año publicamos nuestro manual para CISO sobre los trabajadores de TI norcoreanos. Incluye una matriz de controles, una guía de implementación y diapositivas de formación, todo ello elaborado a partir de nuestros propios controles de contratación y de la investigación de la CTU. El manual se centra en evitar las contrataciones fraudulentas. Las entrevistas falsas siguen el mismo esquema, pero a la inversa. En lugar de hacerse pasar por un candidato para colarse en tu empresa, el atacante se hace pasar por un empleador para acceder al portátil de tu empleado. La investigación también sirvió de base para una propuesta de detección de este tipo de lagunas de visibilidad.

Muchos controles se solapan: verificación de identidad, principio del privilegio mínimo, supervisión de herramientas de acceso remoto no autorizadas y endpoints que realmente funcionen. Como pone de manifiesto el incidente de Binance, defenderse contra dispositivos de desarrolladores comprometidos es complicado, pero fundamental. En Sophos, uno de nuestros principales riesgos se centra en garantizar que contamos con un «firewall» sólido entre nuestros entornos corporativos y de producto. Nuestro modelo de amenazas tiene en cuenta el compromiso tanto de los endpoints o identidades privilegiadas de los desarrolladores como de los administradores de sistemas de TI.

Determina hasta dónde pueden llegar tus herramientas de IA. El atacante de Binance utilizó una herramienta interna de IA para pasar de un ingeniero a otros dos. Tanto si un atacante utiliza indebidamente una herramienta mediante la inyección de comandos como si lo hace un usuario comprometido, la defensa es la misma: da por hecho que un atacante vulnerará la capa de IA y limita lo que puede alcanzar. En nuestra entrada de blog sobre la «trifecta letal» establecemos siete patrones para hacerlo, entre los que se incluyen el aislamiento de credenciales, los endpoints de herramientas sellados y la aprobación humana para acciones irreversibles.

Una organización criminal patrocinada por el Estado

Corea del Norte es un actor estatal poco habitual. La mayoría de los grupos patrocinados por el Estado roban secretos. Corea del Norte también roba dinero, a gran escala, para financiar el régimen. Chainalysis estima que robó 2.02 mil millones de dólares en criptomonedas en 2025, la mayor parte procedente del atraco a Bybit, de 1.5 mil millones de dólares. Solo el ataque a Binance supone aproximadamente el triple de esa cifra.

Además, innova como una startup. Los investigadores de la Counter Threat Unit (CTU) de Sophos siguen la pista a varios grupos norcoreanos que se solapan:

• NICKEL ALLEY lleva a cabo la campaña «Contagious Interview»: empresas falsas, reclutadores falsos y repositorios de código malicioso, además de señuelos de ClickFix y paquetes npm envenenados. La técnica de VS Code que usaron contra nosotros coincide con su modus operandi.
• NICKEL TAPESTRY lleva a cabo la estafa de los trabajadores de TI falsos. Lleva activo al menos desde 2016, se está expandiendo por Europa y Japón, usa IA generativa para crear currículos falsos y ha pasado a la extorsión mediante el robo de datos.
• NICKEL GLADSTONE es un subgrupo centrado en el ámbito financiero que lleva atacando plataformas de intercambio de criptomonedas al menos desde 2018, incluso a través de TraderTraitor, el nombre que el FBI ha relacionado con el ataque a Binance.

Un aviso conjunto de septiembre de la Agencia Nacional de Policía de Japón, el FBI y sus partners pone en perspectiva la magnitud del problema. Entre diciembre de 2025 y julio de 2026, los autores de «Contagious Interview» (a los que el aviso denomina «WaterPlum») comprometieron al menos 30 000 dispositivos en más de 100 países y se hicieron con fondos o credenciales de más de 7 000 carteras de criptomonedas. El aviso también reveló que ellos y algunos trabajadores de TI norcoreanos dependen de la misma oficina gubernamental.

El nexo común es el objetivo: los profesionales de TI. Los desarrolladores, los ingenieros de DevOps y los administradores tienen las claves, y Corea del Norte ha aprendido que el mercado laboral es la forma más fácil de llegar a ellos. Los atacantes que atacaron a Binance necesitaban el portátil de un ingeniero. Lo mismo hicieron los que nos atacaron a nosotros. La diferencia fue a qué podía acceder ese portátil y la rapidez con la que alguien se dio cuenta.