Falsos trabajadores remotos Lazarus: cómo Sofía Grimaldo y Mauro Eldritch detectaron a los norcoreanos infiltrados en procesos de contratación

En la DragonJAR Security Conference 2026, Sofía Grimaldo —Senior Talent Acquisition Specialist con más de siete años armando equipos tecnológicos en fintechs como Nubank, Revolut y Bitso— y Mauro Eldritch —hacker e investigador que lidera el equipo Quetzal de Bitso, primer equipo de research de Latinoamérica especializado en amenazas del sector FinTech y Web3— compartieron por primera vez el archivo audiovisual que el equipo Quetzal fue acumulando durante meses: las entrevistas grabadas con norcoreanos que se postularon, como cualquier candidato, a sus vacantes remotas. La charla, titulada "Entrevistando a Lazarus: Hablando con Agentes de Corea del Norte", recorre uno por uno los casos más ilustrativos de falsos trabajadores remotos Lazarus —el modus operandi, los facilitadores y, sobre todo, las técnicas que aplican recruiters y equipos de seguridad para detectarlos antes de que crucen el umbral de la empresa. El contexto lo amerita: los falsos trabajadores remotos Lazarus no son un caso aislado, sino una industria.

¿Qué es Lazarus y por qué le conviene trabajar en tu empresa

Lazarus es el nombre que recibe el conjunto de grupos de hackers patrocinados por el gobierno de Corea del Norte. Es una APT —amenaza persistente avanzada— con varias divisiones especializadas: una se dedica a perseguir disidentes políticos y periodistas, otra ataca al gobierno de Corea del Sur y otra, la que interesa a esta charla, está específicamente dedicada a conseguir trabajos en compañías occidentales. ¿Su motivación? Obtener salarios "limpios" —plata que no sale de un exchange vulnerado ni de un puente explotado, sino de nóminas legítimas— para financiar al régimen.

Mauro lo resume así en la charla: "Esta vez no son robados, no hay un exploit, no robaron un puente, no robaron un exchange. Las platas limpias. Entonces, con eso financian su régimen." La consecuencia práctica para cualquier empresa con vacantes remotas es directa: si contratas sin filtros avanzados, es posible que le estés pagando el sueldo a uno de los falsos trabajadores remotos Lazarus.

La táctica de los falsos trabajadores remotos Lazarus

El patrón que documentan Sofía y Mauro tiene cuatro ingredientes. El primero es la identidad robada: usan documentos reales —pasaportes, cédulas— de víctimas latinoamericanas, conseguidos en filtraciones masivas. El segundo es un CV de ensueño, armado quirúrgicamente para hacer match perfecto con la descripción de la vacante, con títulos, experiencia y habilidades que parecen demasiado buenas. El tercero es un facilitador local: una persona en el país de la víctima que presta domicilio, conexión de internet y una laptop encendida 24/7.

El cuarto son las herramientas de IA: Live Translation para conversar en idiomas que no hablan, deepfakes de video y audio para simular fluidez, backgrounds animados con gente caminando a setecientos metros para dar sensación de oficina real, y generadores de nombres que mezclan los más comunes del país buscado (Cuauhtémoc, por ejemplo, suena plausible en Google pero no es lo que un nativo mexicano reconoce como frecuente).

Los candidatos que grabaron (y por qué cada uno es una pista)

La charla muestra el archivo audiovisual completo: nueve entrevistas con falsos trabajadores remotos Lazarus que se creían a salvo detrás de sus deepfakes. Sofía presenta a cada "bebé norcoreano" con nombre propio y describe qué los delató.

• Mateo, el primero. Decía ser mexicano, tenía la mascarilla puesta y nunca se sincronizaba con su boca; la latencia de la llamada era terrible. El CV hacía match perfecto con la vacante, pero la experiencia que él describía en tiempo real no coincidía con lo que Sofía veía.
• Alfredo. Decía ser mexicano, haber estudiado en una universidad en Chihuahua y hablaba con temblores, rezos y mirada evitativa. Cuando Sofía le pidió pasar a español, respondió: "no hablo español".
• Julián/Arthur. En la llamada se presentó como Julián, pero arriba en su nombre de Google Meet seguía apareciendo Arthur. Se le olvidó cambiarlo antes de entrar.
• El jefe norcoreano. Cuando detectaron que Sofía "era la cazadora norcoreana número uno", mandaron a alguien mayor, con más confianza, respuestas sólidas e imagen mucho más nítida. Aun así, cayó.
• Sebastián. Decía ser colombiano pero prefería hablar en inglés. Tan bien preparado estaba que le ayudó a Sofía a mejorar el CV: "Lack of experience, you should add more skills". Sofía bromea en la charla: "Deberíamos contratarlos más como reclutadores que como ingenieros".
• Camilo. Colombiano, entró súper confiado. Cuando Sofía le preguntó si conocía Bitso, dio información muy específica sobre la empresa —productos, tipo de operaciones—. Fue el primero en picar en el canary token, lo que confirmó que estaba saliendo desde una conexión doméstica colombiana, descartando el VPS y el proxy.
• El cordobés sin cámara. Decía ser argentino, prefería hablar en inglés para practicar y no encendía la cámara. Le bloquearon todos los nodos VPN conocidos y saltó a una VPS barata en Japón.
• El teen. Joven, "mucho más fluido al hablar, con más confianza", primer trabajo fallido. Su VPS estaba en Estados Unidos.
• Manuel, el facilitador. Decía ser colombiano, no miraba al monitor y no respondía preguntas básicas de la profesión. Usaba gorra y lentes —elementos del propio playbook norcoreano para impostar identidades—. Sofía detectó que había robado la identidad de un ingeniero real y que, al picar de nuevo en el canary token, estaba físicamente en Perú. Una vez rechazado, desapareció de LinkedIn, Indeed y hasta las líneas de WhatsApp.

¿Qué es un facilitador y por qué es la pieza más peligrosa?

El facilitador es una persona local —muchas veces latinoamericana— que está en concordancia con los falsos trabajadores remotos Lazarus y les presta su identidad, su casa, su domicilio, sus recibos bancarios y, básicamente, su vida. Hay dos modelos documentados por Quetzal:

• Modelo A — 20%/80%. El facilitador pone la cara en las entrevistas, firma, hace todo el KYC presencial, y un desarrollador fantasma norcoreano hace el trabajo. Del sueldo, el 20% queda para el facilitador y el 80% va al régimen.
• Modelo B — 10%. El facilitador solo presta su identidad, su laptop y su dirección, se encarga de que la máquina esté viva y la otra persona se conecta remotamente. No aparece ni en los stand-ups. Se lleva el 10%.

El Departamento de Justicia de Estados Unidos, junto con el FBI, ya hizo arrestos masivos en granjas de laptops —se han encontrado hasta 200 laptops en un mismo lugar—. Es delito federal. Y, como recordó Mauro en la charla: si atrapan a un norcoreano, no lo van a traer a una alcaidía latinoamericana; al que detienen es al facilitador.

Cómo los detectaron: el método Quetzal

El equipo Quetzal respondió a los falsos trabajadores remotos Lazarus con una combinación de técnicas operativas que la propia charla desgrana.

1. Engagement controlado. El equipo de inteligencia hace engagement con los candidatos en sus propios canales —hablar con ellos más allá de la entrevista formal— para mapear horarios activos, plataformas que usan, cuentas, perfiles y combinaciones de nombres y apellidos favoritas. En la charla Mauro cuenta, por ejemplo, que el apellido Cruz es altísimamente usado por ellos.

2. Canary tokens. A partir del caso Camilo empezaron a deslizar canary tokens (links disfrazados de links de confirmación de entrevista) en absolutamente todo. Cada candidato que picaba les entregaba IP, navegador y zona horaria. Con esa información podían distinguir una conexión doméstica de un proxy o una VPS —y abrir nuevas líneas de investigación, como la del facilitador Manuel, que cayó dos veces en el canary token y terminó en Perú.

3. Partner anti-deepfake en el pre-screening. Antes de la entrevista, el candidato recibe un link seguro, pone su cara de frente y de los dos lados, y la herramienta devuelve un porcentaje de probabilidad de que sea IA, que esté usando máscara o que el video esté manipulado. Si el candidato se niega a hacerlo, no llega a la entrevista.

4. Bloqueo de VPN/VPS/proxy. En el pre-room bloquean nodos VPN conocidos y rangos de proxies de venta. Si el candidato salta a una VPS barata en Asia —como hizo el cordobés con una en Japón— ya tienen una nueva línea de investigación.

5. KYC continuo, en persona y aleatorio. El KYC inicial —incluso con selfie, video y prueba de vida— es insuficiente, según Mauro. El empleado puede recibir la laptop, hacer DHL/FedEx a Texas, y nunca más la vuelves a ver. La laptop puede aparecer en Nueva Jersey o haber sido enviada internacionalmente. Por eso el KYC tiene que ser presencial, periódico y aleatorio, sobre todo en compañías Remote First o Remote Only.

6. Grabación obligatoria. La regla personal del equipo Quetzal es: grabarlos. Hacerlos famosos. Cuando los "queman", los propios falsos trabajadores remotos Lazarus mandan al afiliado al back-office —a hacer papeleo, las tareas ingratas— porque la cara ya quedó quemada. Eso, dice Mauro, es bueno para la industria y para Latinoamérica: ese candidato se la va a ver mucho más difícil para conseguir trabajo.

Disrupción sin represalias: la política "fence off"

Quetzal también documentó, en una charla separada en DEF CON, su método de disrupción de infraestructura de malware. La idea: si un operador de malware deja un endpoint vulnerable, en lugar de derribarlo —lo que podría causar daño colateral a clientes legítimos—, le suben un dataset de un millón de personas falsas. El operador pasa tres meses parchando, codeando de nuevo o separando la paja del trigo. Sin daño material, sin daño moral, sin represalias activas. "Fence off", como en esgrima: sacártelo de encima.

La política de Quetzal, según Mauro, es deliberadamente gris y busca no cruzar líneas: "Una cosa es el chiste, ahí está la línea, no vamos a ser racistas. Las condiciones sobre las que alguien nace no la puede juzgar nadie más. No es un odio hacia Corea del Norte. Es una situación contractual, lamentablemente nos toca estar del lado contrario."

Lecciones operativas para recruiters y equipos de seguridad

Más allá del caso concreto, la charla deja una lista de cambios operativos que cualquier empresa con vacantes remotas puede aplicar desde el lunes siguiente para no contratar, sin saberlo, a los falsos trabajadores remotos Lazarus:

• KYC continuo y presencial, no solo al ingreso. La selfie con prueba de vida sirve para el día uno; el día cien ya no garantiza nada. Agenda KYC presenciales aleatorios, especialmente en esquemas Remote First o Remote Only.
• Bloquea VPN/VPS/proxy en el pre-screening. Si el candidato necesita saltar a una VPS en Asia para conectarse, esa es una señal de alerta, no un capricho técnico.
• Partner anti-deepfake obligatorio. Un link con validación de cara de frente y de los dos lados, integrado en el pre-screening. Filtra antes de la entrevista y reporta red flags por separado.
• Graba las entrevistas. La grabación es evidencia, no represalia. El norcoreano "quemado" pasa al back-office y a ese perfil le costará mucho más volver a aparecer.
• Entrena a recruiters y devs en red flags. Inconsistencias entre CV y video, idioma contradictorio, identidad que cambia entre canales, miedo a encender cámara, background animado, VPS asiáticas, IPs en rangos conocidos, research excesivo de la empresa: todas son señales que solo se detectan si alguien sabe qué buscar.
• Comparte indicadores entre empresas. Quetzal publica sus hallazgos en su Substack. El "componente del chiste", como dice Sofía, le da viralidad y la cara queda grabada —eso desalienta a los facilitadores tanto como a los propios actores.

Preguntas frecuentes

¿Qué es Lazarus y por qué busca trabajos remotos?

Lazarus es el nombre colectivo de los grupos de hackers patrocinados por el gobierno de Corea del Norte. Una de sus divisiones se especializa en conseguir empleo remoto en empresas occidentales: el objetivo es cobrar salarios legítimos —"limpios"— para financiar al régimen norcoreano.

¿Qué es un facilitador en este contexto?

Una persona local que presta su identidad, domicilio, conexión y laptop a un actor norcoreano. Hay dos modelos: el facilitador que hace las entrevistas y firma el KYC (se queda con el 20% del sueldo) y el facilitador que solo presta la infraestructura y deja la laptop encendida (10%). En ambos casos, es delito federal y es quien termina detenido cuando los atrapan.

¿Cómo se detecta a un falso trabajador remoto?

Los falsos trabajadores remotos Lazarus se delatan por señales repetidas: inconsistencia entre CV y video, idioma contradictorio, identidad que cambia entre canales, miedo a encender la cámara, background animado, conexión por VPN/VPS, research excesivo de la empresa, preguntas genéricas o excesivamente preparadas, y cualquier inconsistencia entre la zona horaria declarada y la IP real. Un canary token confirma la conexión.

¿Qué es un canary token y cómo se usa?

Es un link trampa (o un QR, o un archivo) que al abrirse reporta a quien lo creó la IP, el navegador y la zona horaria de quien lo abrió. En esta charla los usaron como link de "confirmación de entrevista": el candidato que lo abría les daba inteligencia accionable en segundos.

¿Por qué el KYC normal no alcanza?

Porque los falsos trabajadores remotos Lazarus pasan el KYC inicial (selfie, prueba de vida, documento) y luego se llevan la laptop a otro país —o cambian de persona detrás de la cámara—. El KYC tiene que ser periódico, presencial y aleatorio, sobre todo en esquemas remotos.

¿Qué sectores están siendo atacados?

Fintech y cripto siguen siendo los principales —porque permiten cobrar el sueldo en cripto y moverlo más fácil—. Pero la charla advierte que ya aparecen con fuerza en Big Pharma, medtech, ingeniería civil, construcción, salud y diseño industrial. Cualquier empresa con vacantes remotas en Latinoamérica es objetivo potencial de los falsos trabajadores remotos Lazarus.

Conclusión: el chiste como disruptor y la información compartida como defensa

Los falsos trabajadores remotos Lazarus ya no son un caso aislado: son una industria. El equipo Quetzal documentó, en su charla, que muchos de los ataques grandes a empresas latinoamericanas y de Estados Unidos se correlacionan con haber contratado, alguna vez, a un norcoreano sin saberlo. La defensa no es una herramienta —es una combinación de KYC continuo, partner anti-deepfake, canary tokens, bloqueo de VPN/VPS y, sobre todo, recruiters entrenados para detectar las señales que Sofía aprendió a leer después de ver decenas de entrevistas como las que aparecen en esta charla.

Y la lección más incómoda, que la propia Sofía y Mauro comparten: el chiste funciona. Cuando Quetzal publica los videos, los memes, el artículo, los norcoreanos mismos hablan entre ellos de "los del dragoncito verde" y dicen que ya no quieren tentar a Bitso porque les graban la cara y la suben. Hacerlos famosos —sin cruzar la línea del racismo, sin daño colateral, sin represalias activas— es, también, una forma de defensa.

Para seguir aprendiendo sobre seguridad ofensiva a partir de casos reales, regístrate en https://www.dragonjarcon.org. Allí podrás acceder a charlas como la que acabas de leer y conocer más sobre DragonJARCON, el congreso anual que reúne en Colombia a profesionales e investigadores de la seguridad informática.

Y si tu organización necesita este mismo nivel de análisis y escrutinio, conoce los servicios de seguridad ofensiva de DragonJAR en https://www.dragonjar.org/servicios-de-seguridad-informatica.

Mira la Charla Completa sobre los falsos trabajadores remotos de Lazarus

La grabación completa de Mauro Eldritch y Sofía Grimaldo —con todas las entrevistas a los falsos trabajadores remotos Lazarus y el método del equipo Quetzal— está disponible en nuestro canal de YouTube: