En un escenario cada vez más complejo de ciberseguridad un grupo de hackers vinculado a Corea del Norte ha logrado infiltrarse en más de 1.600 organizaciones en 57 países, incluyendo a gigantes como OPPO y Coinbase. Esta campaña, que se extendió durante al menos dos años, tuvo como objetivo principal el robo de criptomonedas utilizando técnicas sofisticadas que incluyeron falsas ofertas de empleo para desarrolladores.
La investigación, presentada por el investigador de seguridad Vangelis Stykas en la conferencia Black Hat en Las Vegas, revela que los atacantes utilizaron malware oculto en pruebas de código para robar credenciales y acceder a sistemas internos de cientos de empresas. Esta técnica, conocida como Contagious Interview fue documentada previamente por Microsoft en 2026 y se ha convertido en un vector de ataque cada vez más común para grupos patrocinados por Corea del Norte.
La técnica de las ofertas de empleo falsas
Los hackers contactaban a desarrolladores con ofertas de empleo atractivas y les pedían completar pruebas de código que, en realidad, instalaban malware para robar credenciales y colarse en los sistemas. Una vez instalado, el malware sustraía las credenciales del desarrollador y proporcionaba acceso a las redes corporativas. Según Stykas, los atacantes no buscaban muchos datos; iban directos al dinero digital.
Sin embargo, el acceso permanente que consiguieron en cientos de organizaciones abre la puerta a futuras fases de espionaje o sabotaje. La persistencia en las redes corporativas concede a los atacantes la llave para futuros golpes, más allá del robo de criptomonedas.
El impacto en OPPO y otras empresas
La inclusión de OPPO en la lista de víctimas confirmadas por Stykas añade un capítulo incómodo a la trayectoria del fabricante. La compañía, que compite con Xiaomi y Samsung por el dominio del mercado de gama media en Europa y América Latina, no ha emitido comentarios sobre el incidente. La ausencia de una respuesta oficial alimenta la incertidumbre entre analistas e inversores, que temen un posible impacto en la confianza de sus más de 400 millones de usuarios.
Stykas refiere que OPPO se encuentra entre la docena escasa de entidades que, tras ser alertadas por él, corrigieron las brechas o al menos respondieron a sus avisos. No obstante, el simple hecho de figurar en un ataque de esta magnitud, asociado a un actor estatal norcoreano, puede afectar a la marca en un momento en el que la ciberseguridad se ha convertido en un factor de compra para el gran público.
La sombra de Corea del Norte
Esta operación encaja con el patrón histórico del Lazarus Group la unidad de ciberoperaciones del régimen de Pyongyang, responsable de algunos de los mayores robos de criptomonedas de la última década. El Centro Criptológico Nacional español (CCN-CERT) y el Instituto Nacional de Ciberseguridad (INCIBE) llevan años alertando sobre la amenaza de este grupo, cuyo radio de acción va desde el expolio de exchanges hasta el ataque al Banco de Bangladés en 2016.
En esta ocasión, Stykas ha identificado a más de una decena de organizaciones, entre las que también figuran Uniswap Labs y el Boston Children’s Hospital. Aunque el investigador subraya que el foco era claramente financiero, la penetración en cientos de redes corporativas de todo el mundo —incluyendo agencias gubernamentales que no han sido detalladas— representa una acumulación de accesos que podría reutilizarse para campañas de espionaje o desestabilización en cualquier momento.
Desde la perspectiva de las empresas españolas, el episodio refuerza la necesidad de extremar las verificaciones en los procesos de contratación de perfiles remotos y de reforzar la protección de las carteras digitales corporativas. Como recuerda el propio Stykas, los atacantes no necesitan un plan B cuando ya están dentro.
