Microsoft limpia 3.000 cuentas de correo electrónico vinculadas a trabajadores de TI de Corea del Norte

Microsoft ha suspendido 3.000 cuentas de Outlook y Hotmail vinculadas a un esquema norcoreano que involucra a nacionales de la RPDC que se hacen pasar por trabajadores remotos bajo identidades falsas.

Los funcionarios estadounidenses han advertido durante mucho tiempo que Corea del Norte utiliza ingresos ilícitos de hackeos de criptomonedas, fraude y operaciones de TI para eludir las sanciones internacionales y mantener sus programas militares. Las autoridades ahora están endureciendo la represión contra lo que denominan una operación criminal global que canaliza secretamente millones al régimen autoritario de Kim Jong Un.

Microsoft cierra 3,000 cuentas de correo electrónico vinculadas a Corea del Norte

Microsoft ha suspendido más de 3.000 cuentas de correo electrónico en una operación contra el esquema internacional operado por trabajadores de TI de Corea del Norte que se hacen pasar por profesionales tecnológicos remotos.

Las acciones de Microsoft siguen a una operación coordinada que involucra al Departamento de Justicia de EE. UU., el FBI y otras agencias federales. Juntos, han comenzado a desmantelar una conspiración sofisticada con el nombre en código «Jasper Sleet» de Microsoft Threat Intelligence. Es una operación que explota los mercados de trabajo freelance y las empresas tecnológicas de todo el mundo.

La operación no solo defrauda a los empleadores, sino que también se cree que financia directamente el programa de armas nucleares de Corea del Norte.

Según el equipo de Microsoft Threat Intelligence, el esquema involucra a profesionales de TI capacitados de la República Popular Democrática de Corea (RPDC) que asumen identidades falsas para conseguir empleo remoto con empresas extranjeras, especialmente en Estados Unidos.

Muchos de estos trabajadores son altamente cualificados, y algunos empleadores los elogiaban sin saberlo como los mejores profesionales.

«Estos no son hackers que irrumpen en los sistemas», dijo el Centro de Inteligencia de Amenazas de Microsoft (MSTIC). «Son desarrolladores cualificados, ingenieros de aseguramiento de calidad y especialistas en soporte de TI que superan las entrevistas, completan trabajo real y se mezclan, excepto por un detalle crítico: trabajan para la RPDC».

En muchos casos, cómplices que a veces son ciudadanos estadounidenses facilitan el acceso al alquilar sus identidades o operar lo que las autoridades describen como «granjas de portátiles».

Las granjas de portátiles son ubicaciones físicas donde se envían y mantienen los portátiles emitidos por empleadores desprevenidos. Al menos 29 de estos sitios han sido registrados por la policía, con portátiles instalados con software de acceso remoto o redirigidos físicamente a China o Rusia.

El Departamento de Justicia detalló recientemente el caso de un empleado de una peluquería en Maryland que será sentenciado en agosto. Se descubrió que el hombre había tenido 13 trabajos simultáneamente en nombre de trabajadores de TI de Corea del Norte, ganando casi $1 millón en pagos salariales remotos.

Según las estimaciones de las Naciones Unidas, el programa de trabajadores de TI de Corea del Norte genera hasta $600 millones anuales. Estos ingresos a menudo terminan apoyando operaciones de ciberdelincuencia y las ambiciones nucleares del país.

Microsoft contraataca con IA y herramientas de detección

En un artículo de blog publicado esta semana, Microsoft detalló la suspensión de 3.000 cuentas de correo electrónico de consumidores, principalmente Outlook y Hotmail, que estaban siendo utilizadas por los operativos norcoreanos.

«Más allá de las 3.000 cuentas de correo electrónico de consumidores que fueron desactivadas recientemente, en nuestros esfuerzos por interrumpir la actividad de los actores y proteger a nuestros clientes de esta amenaza, Microsoft ha continuado desactivando cuentas de persona a medida que se identifican y rastreando el uso de IA por parte del actor», dijo Jeremy Dallman, director senior del Centro de Inteligencia de Amenazas de Microsoft.

Microsoft ha observado que los trabajadores norcoreanos se están volviendo cada vez más sofisticados. Ahora aprovechan herramientas de IA para corregir errores gramaticales en currículos y cartas de presentación, mejorar sus fotos para parecer más profesionales o occidentalizadas y usar tecnología FaceSwap para imponer sus imágenes en documentos de identidad robados.

Algunos incluso están experimentando con software de cambio de voz para ayudar a los facilitadores a pasar las entrevistas de trabajo en su nombre. Aunque Microsoft no ha observado el uso de deepfakes de voz y video impulsados por IA en tiempo real durante entrevistas reales, la empresa advirtió que podría ser solo cuestión de tiempo.

«Si tiene éxito, esta táctica podría permitir a los trabajadores de TI de Corea del Norte hacer entrevistas directamente y dejar de depender de facilitadores que los representen», dijo Microsoft.

Estas tácticas de IA mejoradas permiten a los operativos enmascarar mejor su origen, haciendo más difícil que los empleadores identifiquen señales de alerta. Los métodos comunes incluyen reciclar nombres, direcciones de correo electrónico y plantillas de perfil en varias plataformas de empleo como LinkedIn, GitHub y mercados freelance.

Para detectar y defenderse contra estas tácticas, Microsoft ha implementado una solución personalizada de aprendizaje automático que marca la actividad sospechosa utilizando lo que denomina un análisis de «viaje en el tiempo imposible», que incluye monitorear inicios de sesión en ubicaciones geográficamente implausibles dentro de marcos de tiempo estrechos, como el acceso desde EE. UU. seguido de cerca por China o Rusia.

Microsoft también está reforzando sus herramientas de protección de identidad y urge a las empresas a adoptar protocolos de autenticación fuertes y sistemas de detección de riesgos en tiempo real. La firma tecnológica ha colaborado con agencias gubernamentales de EE. UU. para compartir inteligencia y construir soluciones técnicas que puedan aplicarse en toda la industria de la ciberseguridad.

La empresa se ha comprometido a mantener la presión sobre la amenaza en evolución. «Jasper Sleet está cambiando y evolucionando constantemente sus perfiles», dijo Dallman. «Estamos observando cómo se adaptan, especialmente con la IA, y trabajando para mantenernos un paso por delante».