Falsos reclutadores: prueba técnica con malware en LinkedIn

Una prueba técnica que parece normal puede costarte el control de tu ordenador

El FBI describió en un aviso público de septiembre de 2024 campañas de actores vinculados a Corea del Norte que se hacían pasar por reclutadores para atacar a empleados de empresas de criptomonedas y finanzas descentralizadas. El método: un ejercicio de programación que, al ejecutarse, instala malware.

Para un founder hispanohablante esto no es un problema ajeno. Cualquiera con acceso a código, credenciales o carteras desde su portátil es un objetivo razonable, y los equipos pequeños son justamente los que menos protocolos tienen para distinguir una prueba legítima de una trampa.

¿Cómo funciona la estafa de la prueba técnica con malware?

El mecanismo convierte una práctica legítima de selección, el ejercicio de programación, en la puerta de entrada del malware. El candidato descarga un proyecto, lo ejecuta para resolver la tarea y con eso ejecuta también el código malicioso escondido dentro.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Según el aviso del FBI, los atacantes estudian antes a sus víctimas en redes profesionales y portales de empleo, se hacen pasar por reclutadores o por empresas tecnológicas con webs de apariencia profesional, y alargan la conversación para ganarse la confianza antes de entregar el archivo.

Las señales que enumera el FBI las reconoce cualquier desarrollador:

Pruebas previas a la contratación o ejercicios de depuración que obligan a ejecutar paquetes de Node.js o PyPI, scripts o repositorios de GitHub desconocidos.
Insistencia en usar un programa propio para algo tan simple como una videollamada, o en ejecutar un script para desbloquear una llamada supuestamente bloqueada por tu ubicación.
Ofertas inesperadas de empresas conocidas, con sueldos poco realistas y sin margen de negociación.
Prisa por sacar la conversación a otra aplicación de mensajería.

La recomendación del FBI es no hacer esas pruebas en equipos de la empresa. Si una prueba exige ejecutar código, hay que hacerlo en una máquina virtual en un dispositivo que no esté conectado a la red corporativa, o en un equipo que proporcione quien evalúa. Traducido a la vida real: nunca ejecutes el proyecto de un desconocido en el ordenador donde tienes tu banca, tus contraseñas y tus documentos.

Pagar para trabajar y entregar tus datos: las otras dos trampas

La segunda trampa es el dinero. LinkedIn resume en su página de ayuda sobre estafas que las empresas legítimas no deben pedir transferencias, cheques, tarjetas regalo ni envíos de fondos como condición del proceso. También advierte de una variante menos obvia: la empresa que te pide comprar tu propio equipo (ordenador, iPad o móvil) y enviarlo a su departamento de informática. La FTC estadounidense lo dice sin rodeos en su guía sobre estafas de empleo: un empleador honrado nunca te pedirá que pagues para conseguir un trabajo.

La tercera trampa son tus datos. INCIBE documentó el caso de una usuaria que respondió a una oferta de traductora en un portal de empleo: la dieron por contratada sin entrevista, le pidieron una foto del DNI, que abriera una cuenta en un banco móvil y otra en una plataforma de criptomonedas, y después que recibiera pagos y los reenviara a terceros. El organismo le explicó que ese esquema podía estar sirviendo para blanqueo de capitales.

Ese desenlace es el más peligroso de todos: el candidato no solo pierde dinero, también puede acabar prestando su nombre y su cuenta a un delito.

El patrón se repite: un caso documentado por INCIBE

INCIBE dio a conocer otro caso que muestra la misma mecánica con un disfraz distinto, según recogieron medios como Diario de Avisos y Digital de León. Una mujer encontró en Instagram una oferta para ganar dinero haciendo fotografías de productos. Las tareas llegaban por Telegram y, al principio, los pagos por Bizum eran reales: eso fue lo que le dio confianza.

Después le ofrecieron trabajos mejor pagados a cambio de adelantar dinero. Primero 120 euros, luego 300. Cuando quiso retirar lo acumulado, le dijeron que su cuenta estaba bloqueada y le presentaron a un supuesto profesor que podía desbloquearla: le pidió 600 euros y después 1.300 más. La víctima había entregado 1.020 euros cuando empezó a sospechar, y no pagó la última cantidad.

El detalle más incómodo: su banco ya había detectado el fraude y le había bloqueado el Bizum. Ella aseguró que conocía a los destinatarios y siguió adelante. Terminó llamando al 017, la línea de ayuda de INCIBE, gratuita y disponible todos los días de 8:00 a 23:00.

¿Cómo comprobar si una oferta de trabajo es real?

Antes de dar un dato o ejecutar un archivo, estas comprobaciones (que salen de los avisos de LinkedIn, el FBI y la FTC) filtran la mayoría de los intentos:

Mira el dominio del correo. LinkedIn señala como alerta los mensajes que llegan desde direcciones genéricas de Gmail o Yahoo en lugar del dominio de la empresa.
Revisa el perfil del reclutador. Desconfía de perfiles incompletos, con pocos contactos o sin relación con empleados de la empresa que dicen representar. LinkedIn permite verificaciones de identidad y de lugar de trabajo, incluida una de reclutador verificado, y sus insignias pueden aparecer también en anuncios de empleo y páginas de empresa. Que no haya insignia no prueba nada; que la haya ayuda.
Verifica por otro canal. El FBI aconseja confirmar la identidad del contacto en una plataforma distinta, por ejemplo con una videollamada en directo por otra aplicación. Mejor todavía: busca tú el teléfono o el correo de la empresa en su web oficial y pregunta si esa vacante existe.
Busca el nombre junto a la palabra estafa. Es la recomendación de la FTC: añade términos como estafa, opiniones o quejas.
Cuéntaselo a alguien. La FTC lo sugiere porque hablarlo te da tiempo para pensar.

Y dos líneas rojas sin matices: no pagues nada y no envíes el DNI, datos bancarios ni fotos de documentos antes de una contratación formal. Es exactamente lo que LinkedIn identifica como señal de fraude.

¿Qué hacer si ya ejecutaste la prueba o enviaste tus datos?

Si ejecutaste el código, desconecta el ordenador de internet de inmediato. El FBI recomienda además dejarlo encendido para no perder rastros que puedan servir a una investigación, y guardar capturas de las conversaciones, nombres de usuario y cuentas del supuesto reclutador. Después, desde otro dispositivo limpio, cambia las contraseñas importantes, empezando por el correo y el banco.

Si enviaste documentación, las recomendaciones de INCIBE en el caso de la traductora funcionan como lista de tareas:

Cortar todo contacto con los supuestos empleadores.
Denunciar el anuncio en la plataforma donde lo encontraste y cerrar las cuentas que abriste para el supuesto trabajo.
Buscar periódicamente tu nombre en internet.
Consultar la CIRBE del Banco de España por si alguien pide préstamos a tu nombre.
Reunir anuncio, mensajes, correos y números de contacto y presentar denuncia ante la Policía Nacional o la Guardia Civil.

En LinkedIn, la ayuda oficial explica cómo denunciar la conversación o el perfil falso.

Qué significa esto para tu startup

Si tu equipo recluta, tú también eres parte del problema y de la solución. Los candidatos aprenden a desconfiar de las pruebas técnicas porque hay estafadores usándolas, y eso encarece tu propio proceso de selección.

Tres acciones concretas:

Fija un protocolo de pruebas técnicas y publícalo. Di explícitamente que nunca pides dinero, compras de equipo ni documentos de identidad antes de una oferta firmada, y que las pruebas se ejecutan en un entorno controlado. Un párrafo en tu página de empleo desactiva buena parte de los intentos de suplantación de tu marca.
Nunca pidas a un candidato que ejecute código en su equipo personal. Si la prueba requiere correr algo, dale un entorno en la nube o un repositorio con instrucciones claras. Y si alguien se hace pasar por tu empresa, avisa en tus canales oficiales: la suplantación de marca también te cuesta reputación.
Protege tus propios accesos. El mismo vector que ataca a un candidato sirve para entrar a tu infraestructura. Gestor de contraseñas, doble factor en todo lo crítico y equipos de trabajo separados de los personales.

Y si tu startup está en España, ten presente el 017 de INCIBE; en LATAM, los canales de denuncia de la policía cibernética local cumplen la misma función.

Conclusión

La responsabilidad no puede recaer solo en el candidato. Las plataformas de empleo saben que su producto es exactamente lo que necesita un estafador: gente dispuesta a confiar en un desconocido porque espera una oportunidad. Las insignias de verificación van en la buena dirección, pero mientras sean opcionales, la mejor defensa sigue siendo una sospecha muy simple: si para conseguir el trabajo tienes que pagar, entregar tus documentos o ejecutar algo en tu ordenador, el trabajo no existe.