El FBI desmantela una red de falsos teletrabajadores: incauta 187 equipos

El Departamento de Justicia de Estados Unidos anunció el 13 de octubre de 2026 que el FBI había desmantelado en Texas una red de alojamiento de portátiles: registró más de 40 viviendas e incautó 187 dispositivos, entre ordenadores portátiles y equipos KVM, durante Operation Lonestar Roundup. La infraestructura permitía a trabajadores informáticos vinculados a Corea del Norte conseguir empleos remotos con identidades robadas o falsificadas y acceder a sistemas de empresas estadounidenses mediante equipos situados en ese país.

La crónica de Nextgov/FCW sitúa la intervención a finales de septiembre y recoge la advertencia del responsable del FBI en Dallas, R. Joseph Rothrock: «Each laptop seized potentially represents one company that has hired a DPRK IT worker». La frase expresa una posibilidad, no un balance de compañías afectadas: un empleador podía tener varios equipos y el inventario incluía dispositivos que no eran portátiles.

Qué encontró el FBI en las viviendas de Texas

Las viviendas funcionaban como puntos de alojamiento de ordenadores enviados por los empleadores. Facilitadores establecidos en Estados Unidos recibían los portátiles, los preparaban para que otra persona los manejara a distancia e instalaban software de acceso remoto. También transferían salarios a cuentas controladas por Corea del Norte. La dirección estadounidense daba al equipo una ubicación física compatible con la historia presentada durante la contratación, aunque quien realizaba el trabajo estuviera en el extranjero.

Los KVM intervenidos —dispositivos para manejar teclado, vídeo y ratón— muestran por qué la infraestructura física era importante: permitía mantener y controlar ordenadores corporativos sin trasladarlos al lugar donde se encontraba el operador. El recuento de la operación abarca portátiles y KVM; no permite deducir cuántas identidades, contratos o empresas estaban vinculados a ellos.

Los investigadores detectaron además cuentas de Google presuntamente fraudulentas utilizadas en el esquema. Esas cuentas añadían infraestructura digital a una operación que también dependía de identidades falsas, direcciones residenciales y equipos corporativos. La investigación judicial sigue abierta.

La identidad falsa abría la puerta de la contratación

El acceso empezaba antes de que llegara un portátil a una vivienda. Los candidatos utilizaban documentos de identidad robados o fabricados, además de redes privadas virtuales y servidores intermediarios, para aparentar que trabajaban desde Estados Unidos. Una vez superada la selección, la empresa podía crear una cuenta, conceder permisos y enviar un portátil conforme a su procedimiento habitual de incorporación.

La combinación resolvía una dificultad concreta para los operadores: una identidad que parecía válida permitía obtener el puesto, pero el equipo corporativo debía acabar en manos de alguien que pudiera prepararlo. Por eso el domicilio de entrega formaba parte del engaño. Comprobar la identidad del candidato sin confirmar por un canal independiente el destino del portátil deja sin examinar una fase decisiva; confirmar la entrega tampoco demuestra quién controla después el equipo.

Cómo desviaban los portátiles y conservaban el acceso

El análisis de CrowdStrike, que identifica al grupo como Famous Chollima, describe denuncias policiales falsas por supuestos robos de portátiles para provocar envíos de reemplazo a direcciones de las granjas. También documenta mudanzas alegadas a última hora, cambios entre domicilios residenciales y contrataciones mediante agencias que podían ignorar el desvío del equipo del cliente final. Son rutas distintas hacia el mismo resultado: que el ordenador del empleador llegue al facilitador.

Una vez recibido, el portátil podía combinar componentes físicos con herramientas de gestión remota. Los operadores intentaron ocultar esas herramientas y disfrazaron el identificador de una capturadora de vídeo para que pareciera una cámara web. También se observaron identificadores compartidos entre identidades laborales distintas y la reutilización de un dispositivo disfrazado en organizaciones diferentes. Estas coincidencias relacionan cuentas que, vistas por separado, podían parecer empleados independientes.

Qué pueden revisar las empresas que contratan a distancia

Durante la selección, la señal más útil es la consistencia entre identidad, trayectoria y datos de contacto. Coincidencias inesperadas de teléfonos, correos, cuentas bancarias o fragmentos de currículos entre perfiles supuestamente distintos justifican una comprobación adicional. Las referencias conviene confirmarlas por canales obtenidos independientemente, y las diferencias entre el documento de identidad y una entrevista por vídeo deben investigarse con un procedimiento uniforme. Una señal aislada no identifica a un miembro de esta operación ni justifica acusar a un candidato legítimo.

Después de aceptar la oferta, recursos humanos y TI necesitan observar la entrega como una fase del alta, no como un trámite logístico. Un cambio de domicilio, una solicitud de reemplazo por robo o una dirección que no coincide con la verificada durante la contratación requieren confirmar al solicitante por un canal ya conocido. Registrar quién recibió el portátil y a qué cuenta corporativa quedó asociado permite reconstruir el recorrido si aparece una anomalía posterior.

Con la cuenta ya activa, los controles pasan del expediente de contratación al uso real del equipo. TI puede vigilar herramientas de acceso remoto no autorizadas, dispositivos que comparten identificadores entre cuentas y accesos que no encajan con la ubicación declarada. Seguridad puede limitar los privilegios iniciales a las tareas del puesto y revisar cualquier ampliación. Ninguna de esas señales es concluyente por sí sola; juntas permiten contrastar la identidad admitida, el destino del hardware y quién parece operar la sesión.

La investigación sigue abierta y todavía no hay un balance público de empresas afectadas por los dispositivos intervenidos. La actividad más amplia atribuida a Famous Chollima continuaba al publicarse los resultados. Si una organización descubre que envió un portátil a una de esas direcciones, conviene relacionar ese activo con la cuenta y los permisos concedidos: retirar el aparato de la vivienda no revoca por sí solo las credenciales ya emitidas.

Lee también:

• Verificar tu identidad no abre Daybreak Red: la aprobación tiene dos pasos
• NIST recibió 600 aportes sobre agentes: aún no hay una identidad única
• Colombia recurrió al teletrabajo para reducir el riesgo de falta de gas