Por revistaeyn.com
ESET advierte que ninguna organización es inmune al riesgo de una empresa para contratar inadvertidamente a un saboteador que se hace pasar por un empleado nuevo.
“Las amenazas basadas en la identidad no se limitan al robo de contraseñas o la apropiación de cuentas, sino que se extienden a las personas que se incorporan a la plantilla. A medida que la IA mejora en la falsificación de la realidad, es el momento de mejorar los procesos de contratación”, advierte Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
Esta amenaza ha estado presente desde, al menos, abril de 2017, según una alerta de búsqueda del FBI y rastreado como WageMole por ESET Research. Según Microsoft, el gobierno estadounidense ha descubierto más de 300 empresas que han sido víctimas de este tipo de ataques, entre 2020 y 2022.
Este tipo de engaños es posible ya que los estafadores crean o roban identidades que coinciden con la ubicación de la organización objetivo y, a continuación, abren cuentas de correo electrónico, perfiles en redes sociales y cuentas falsas en plataformas de desarrolladores como GitHub para añadir legitimidad.
Durante el proceso de contratación, pueden utilizar imágenes y vídeos deepfake, o software de intercambio de caras y cambio de voz, para disfrazar su identidad o crear otras sintéticas.
Según los investigadores de ESET, el grupo WageMole está vinculado a otra campaña norcoreana que rastrea como DeceptiveDevelopment. Esta se centra en engañar a desarrolladores occidentales para que soliciten trabajos inexistentes.
Los estafadores piden a sus víctimas que participen en un reto de codificación o en una tarea previa a una entrevista. Pero el proyecto que descargan para participar contiene en realidad código troyanizado. WageMole roba estas identidades de desarrolladores para utilizarlas en sus falsos esquemas de trabajadores.
Una vez contratado el falso trabajador, estos individuos reciben el portátil corporativo y lo instalan en una granja de portátiles situada en el país de la empresa contratante. A continuación, el trabajador informático norcoreano utiliza VPN, servicios proxy, supervisión y gestión remota (RMM) y/o servidores privados virtuales (VPS) para ocultar su verdadera ubicación.
PROCESO DE COMPROBACIÓN
En términos de detección y protección, desde ESET advierten cómo evitar que una organización se convierta en víctima:
1. Identificar los falsos trabajadores durante el proceso de contratación:
· Comprobar el perfil digital del candidato, incluidas las redes sociales y otras cuentas en línea, en busca de similitudes con otras personas cuya identidad puedan haber robado. También pueden crear varios perfiles falsos para solicitar puestos de trabajo con nombres diferentes.
· Prestar atención a las discrepancias entre las actividades en línea y la experiencia declarada: un “desarrollador senior” con repositorios de código genéricos o cuentas creadas recientemente debería hacer saltar las alarmas.
· Asegurarse de que tiene un número de teléfono legítimo y único, y comprobar que su currículum no presenta incoherencias. Comprobar que las empresas mencionadas existen realmente. Ponerse en contacto directamente con las referencias (teléfono/videollamada) y prestar especial atención a los empleados de las empresas de personal.
· Dado que muchos solicitantes pueden utilizar audio, vídeo e imágenes falsificados, insistir en las entrevistas en vídeo y realizarlas varias veces durante la contratación.
· Durante las entrevistas, considerar una advertencia importante cualquier afirmación de que la cámara funciona mal. Pedirle al candidato que apague los filtros de fondo para tener más posibilidades de identificar los deepfakes (los indicios podrían incluir fallos visuales, expresiones faciales que parecen rígidas y poco naturales y movimientos de los labios que no se sincronizan con el audio) Hacerles preguntas basadas en la ubicación y la cultura del lugar donde “viven” o “trabajan”, por ejemplo, sobre la comida o los deportes locales.
2. Vigilar a los empleados en busca de actividades potencialmente sospechosas:
· Estar atento a señales de alarma como números de teléfono chinos, descarga inmediata de software RMM en un portátil recién entregado y trabajo realizado fuera del horario normal de oficina. Si el portátil se autentica desde direcciones IP chinas o rusas, también debe investigarse.
· Vigilar el comportamiento de los empleados y los patrones de acceso al sistema, como inicios de sesión inusuales, transferencias de archivos de gran tamaño o cambios en el horario de trabajo. Centrase en el contexto, no solo en las alertas: la diferencia entre un error y una actividad maliciosa puede estar en la intención.
· Utilizar herramientas contra amenazas internas para detectar actividades anómalas.
3. Contener la amenaza:
· Si se cree haber identificado a un trabajador norcoreano en la organización, actuar con cautela al principio para no ponerle sobre aviso.
· Limitar su acceso a recursos sensibles y revisar su actividad en la red, limitando este proyecto a un pequeño grupo de personas de confianza de los departamentos de seguridad informática, recursos humanos y jurídico.
· Conservar las pruebas e informe del incidente a las fuerzas de seguridad, al tiempo que busca asesoramiento jurídico para la empresa.
“Además, es buena idea actualizar los programas de formación sobre ciberseguridad. Y asegurarse de que todos los empleados, especialmente los responsables de contratación de IT y el personal de recursos humanos, comprenden algunas de las señales de alarma a las que hay que prestar atención en el futuro. Las tácticas, técnicas y procedimientos (TTP) de los actores de amenazas evolucionan constantemente, por lo que estos consejos también deberán cambiar periódicamente”, sugiere Gutiérrez Amaya de ESET.
