WaterPlum, el grupo norcoreano que infectó 30,000 dispositivos con entrevistas de trabajo falsas
Un aviso conjunto de fuerzas del orden confirma que el grupo norcoreano WaterPlum comprometió al menos 30,000 dispositivos entre diciembre de 2025 y julio de 2026, y transfirió más de 10.7 millones de dólares en criptomonedas robadas.
Un aviso conjunto de fuerzas del orden internacionales confirmó que el grupo de amenaza norcoreano conocido como WaterPlum comprometió al menos 30,000 dispositivos en todo el mundo entre diciembre de 2025 y julio de 2026, y transfirió más de 10.7 millones de dólares en criptomonedas robadas hacia estructuras vinculadas al régimen de Pyongyang.
El reclutamiento como vector de ataque
La mecánica del ataque es notable por su bajo costo y su alta tasa de éxito. Los operadores de WaterPlum se presentaban como reclutadores de empresas tecnológicas y avanzaban a la víctima por un proceso de selección aparentemente normal. En la etapa de evaluación técnica, entregaban una prueba de código que la víctima debía ejecutar en su propio equipo. Ese repositorio contenía el backdoor.
El ataque no explota una vulnerabilidad de software. Explota el comportamiento profesional esperado de un candidato: descargar, compilar y ejecutar código de un empleador potencial. El perfil objetivo —desarrolladores, ingenieros de blockchain, profesionales cripto— coincide exactamente con quienes custodian llaves privadas de billeteras digitales.
Más de 7,000 billeteras vaciadas
Con acceso persistente al equipo de la víctima, los operadores procedieron al saqueo de credenciales y llaves. El aviso documenta más de 7,000 billeteras de criptomonedas afectadas. La cifra de 10.7 millones de dólares corresponde a fondos ya transferidos y trazados; el monto real sustraído podría ser mayor.
Lectura desde Tabuga Intelligence
Para organizaciones en República Dominicana y la región, este caso reordena la conversación sobre seguridad de endpoints. El equipo comprometido no es el servidor corporativo: es la laptop personal de un profesional que buscaba empleo, muchas veces la misma máquina que luego se conecta a la VPN corporativa bajo esquemas de trabajo híbrido.
Tres controles concretos surgen de este incidente. Primero, aislar la ejecución de código de terceros en entornos efímeros —contenedores, máquinas virtuales descartables— y no en el sistema operativo principal. Segundo, verificar la identidad del reclutador por canales independientes al que inició el contacto. Tercero, separar de forma absoluta el equipo de trabajo del equipo donde se custodian activos digitales personales.
La ingeniería social dirigida a candidatos laborales es un vector que las políticas de seguridad corporativa rara vez cubren, porque ocurre fuera del perímetro y fuera del horario. Ese vacío es precisamente lo que WaterPlum monetizó durante ocho meses.
Fuentes: BleepingComputer (19 de septiembre de 2026) · The Register