La entrevista de trabajo que instala el malware
Un reclutador se pone en contacto por un puesto que encaja contigo de forma inquietante. Hay una entrevista por vídeo muy cordial y después una pequeña prueba de programación para descargar y resolver. Ese es todo el ataque.
Siete organismos de Japón, Estados Unidos, Australia y Alemania firmaron el 18 de septiembre un aviso conjunto que describe a un grupo norcoreano al que llaman WaterPlum, conocido entre los investigadores como Contagious Interview. Entre diciembre de 2025 y julio de 2026 llegó a más de 30.000 ordenadores en más de 100 países. Los operadores se llevaron credenciales de unas 7.000 cuentas de criptomonedas y movieron cerca de 1.700 millones de yenes, algo menos de 10,7 millones de dólares, hacia Corea del Norte. En la campaña aparecieron cinco familias de malware, con nombres como BeaverTail e InvisibleFerret, repartidas mediante paquetes npm y proyectos de Visual Studio Code.
Los objetivos eran diseñadores web, ingenieros y especialistas en criptomonedas, pero el truco en sí no exige ningún conocimiento técnico para funcionar. A algunas víctimas les dijeron que su cámara fallaba durante la entrevista y las guiaron por un "arreglo" que en realidad era un comando para pegar y ejecutar. Otras simplemente abrieron el ejercicio para casa. Lo que salió de esas máquinas va mucho más allá de las carteras: contraseñas, contenido del portapapeles, pulsaciones de teclado y fotografías de documentos de identidad. El aviso señala que esos documentos robados se reutilizan, de modo que los informáticos norcoreanos pueden hacerse pasar por personas reales cuando solicitan empleo en el extranjero.
La defensa aquí no tiene nada de espectacular. Nada de lo que un desconocido te envíe durante un proceso de selección debería ejecutarse en el ordenador con el que gestionas el banco, y ningún reclutador serio necesita que pegues un comando en un terminal para arreglar una webcam. Una prueba técnica de verdad puede esperar a que hayas confirmado que la empresa existe por un teléfono o una dirección que hayas encontrado tú. Si crees que ya ejecutaste algo que no debías, la comprobación de seguridad de Tendvane enumera lo que está instalado y lo que arranca con Windows, que es justo donde este tipo de cosas suele instalarse.