Corea del Norte: $1.2M en fraude IT remoto y cómo proteger tu startup

¿Cómo operan las granjas de portátiles de Corea del Norte?

$1.2 millones de dólares generados mediante esquemas fraudulentos de trabajadores IT remotos. Casi 70 empresas afectadas en Estados Unidos. Dos hombres condenados a 18 meses de prisión cada uno. Estas cifras no son un caso aislado: representan la punta del iceberg de una operación sistemática que explota las grietas del trabajo remoto.

Matthew Isaac Knoot y Erick Ntekereze Prince operaron lo que las autoridades llaman "granjas de portátiles" desde sus residencias en Tennessee y Nueva York. El mecanismo era simple pero efectivo: recibían laptops corporativos enviadas por empresas víctimas, instalaban software de escritorio remoto no autorizado, y permitían que trabajadores norcoreanos ubicados en China accedieran a las redes corporativas como si estuvieran físicamente en Estados Unidos.

Knoot operó su granja desde julio de 2022 hasta agosto de 2023, generando más de $250,000 en pagos a trabajadores asociados y causando más de $500,000 en costos de auditoría y remediación para las empresas afectadas. Prince, a través de su empresa Taggcar Inc., facilitó empleo remoto a al menos 3 trabajadores norcoreanos entre junio de 2020 y agosto de 2024, moviendo más de $943,000 en salarios que fueron ruteados al exterior.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

¿Cuál es el modus operandi de estos esquemas?

Las "laptop farms" funcionan como redes clandestinas de proxies físicos. Según el Departamento de Justicia de EE.UU. y reportes del FBI, el proceso sigue estos pasos:

Identidades falsas: Los trabajadores norcoreanos crean perfiles en LinkedIn, Indeed y plataformas freelance usando CVs generados con IA, fotos sintéticas y credenciales educativas falsificadas de universidades estadounidenses.
Direcciones de reenvío: Las empresas envían los equipos a residencias de "farmers" (facilitadores) en EE.UU. o Europa, no a los trabajadores reales.
Redirección de acceso: Se instalan aplicaciones como AnyDesk, TeamViewer o soluciones RDP personalizadas que permiten el control remoto desde Asia manteniendo una IP estadounidense.
Extracción de valor: Una vez dentro de las redes corporativas, los trabajadores acceden a sistemas sensibles, transfieren salarios vía criptomonedas o mulas de dinero, y en algunos casos ejecutan operaciones de espionaje o ransomware.

El FBI reporta un aumento del 220% en empresas afectadas por estas granjas: de aproximadamente 100 casos en 2024 a más de 320 empresas en 2025. Según el reporte IC3 del primer trimestre de 2026, el fraude laboral remoto vinculado a Corea del Norte creció un 15% anual, con más de 500 casos detectados solo en EE.UU. y Europa.

¿Qué empresas están en el punto de mira?

Las organizaciones de criptomonedas y tecnología son los objetivos principales. Chainalysis, en su Crypto Crime Report de febrero de 2026, identificó que las empresas de crypto han perdido más de $10 millones debido a estos esquemas. El patrón es claro: roles técnicos remotos con acceso a sistemas financieros, poca supervisión presencial, y procesos de onboarding acelerados.

El costo promedio de remediación por brecha laboral fraudulenta alcanza los $4.45 millones de dólares, según el informe IBM Cost of Data Breach 2025. Sin embargo, solo el 40% de las empresas verifican la geolocalización real durante el proceso de contratación remota, según CrowdStrike en su Threat Report 2026.

¿Hay casos similares en España y Latinoamérica?

Aunque no existen casos idénticos confirmados de granjas de portátiles norcoreanas en Latinoamérica o España, los patrones análogos están emergiendo rápidamente en la región:

En España: En marzo de 2026, la Guardia Civil ejecutó la Operación "Corea", deteniendo a 4 personas en Madrid y Barcelona por lavar más de $2 millones provenientes de salarios IT fraudulentos vinculados a Corea del Norte. Los detenidos utilizaban VPNs para simular ubicación española y movían fondos a través de Binance. Según Europol TE-SAT 2025, el 15% de los hacks de criptomonedas en la Unión Europea están vinculados a trabajadores IT remotos norcoreanos.

En Latinoamérica: México registró en octubre de 2025 dos arrestos por facilitar "cuentas mula" que recibían salarios norcoreanos vía criptomonedas, conectados a granjas operando en Texas. Kaspersky reportó en su LatAm Report 2026 un aumento del 150% en CVs falsos de origen norcoreano en plataformas como Workana y 99Freelas, con más de 10 empresas afectadas y pérdidas superiores a $500,000 en Colombia y Brasil combinados.

La región es particularmente vulnerable debido a procesos de verificación menos estandarizados y la creciente adopción de contratación remota sin los controles de ciberseguridad adecuados.

¿Qué significa esto para tu startup?

Si estás contratando talento remoto internacional —y la mayoría de las startups tecnológicas lo hacen— este caso no es una noticia lejana. Es un recordatorio de que los procesos de hiring remoto necesitan evolucionar de la confianza básica a la verificación zero-trust.

El problema no es contratar remoto. El problema es contratar remoto sin las capas de seguridad que el ecosistema actual exige. Mandiant proyecta en su M-Trends 2026 un aumento del 25% en fraude IT patrocinado por estados para 2026. Tu startup no necesita un equipo de ciberseguridad de 50 personas, pero sí necesita procesos básicos que la mayoría ignora.

Acciones concretas que debes implementar:

Verificación de identidad en vivo: Nunca aceptes entrevistas pregrabadas. Exige videollamadas en tiempo real donde puedas observar inconsistencias en acento, fondo o comportamiento. Herramientas como Onfido o Jumio ofrecen verificación biométrica con detección de deepfakes por $1-3 por verificación.
Geofencing obligatorio: Implementa VPN corporativa con bloqueo geográfico (Zscaler, Netskope) que alerte automáticamente si un empleado accede desde una IP fuera del país declarado. El costo es aproximadamente $10 por usuario/mes y reduce el riesgo significativamente.
Background checks estandarizados: Usa servicios como Checkr o Hibob para verificar SSNs (en EE.UU.), historial criminal, y autenticidad de perfiles de LinkedIn. Integra APIs de verificación de documentos como Notarize para validar pasaportes y diplomas originales.
Monitoreo continuo de comportamiento: Implementa User Behavior Analytics (UBA) para detectar patrones anómalos: accesos 24/7, descargas masivas, o uso de RDP no autorizado. CrowdStrike Falcon y Microsoft Defender ofrecen estas capacidades desde $50 por dispositivo/año.
No envíes hardware propio en etapas iniciales: Usa modelos BYOD (Bring Your Own Device) con Mobile Device Management (MDM) como Jamf hasta que la relación esté completamente verificada. Si debes enviar equipo, hazlo solo después de verificación presencial o notarial.
Cláusulas contractuales específicas: Incluye en los contratos de contractors internacionales cláusulas de residencia geográfica verificable, auditorías trimestrales, y consecuencias claras por violación de políticas de ubicación.

Según Gartner 2026, implementar un stack integrado de verificación (ejemplo: Okta + Onfido + Zscaler) reduce el riesgo de fraude laboral remoto en un 70%. La inversión es marginal comparada con el costo promedio de remediación de $4.45 millones.

¿Qué herramientas de verificación deberías considerar?

Basado en las recomendaciones de NIST, CISA y las mejores prácticas del sector en 2026, estas son las categorías críticas:

Verificación de identidad: Onfido, Jumio y Persona ofrecen escaneo de documentos con IA anti-falsificación y bases de datos de sanciones (incluyendo listas OFAC y DPRK). iProov specializes en detección de "liveness" para evitar deepfakes y fotos estáticas, con aprobación NIST.

Geofencing y control de acceso: Zscaler y Netskope proporcionan bloqueo geográfico de IPs y acceso zero-trust con alertas en tiempo real si alguien intenta bypass de VPN. Okta con GeoPlugin añade MFA con verificación de ubicación continua.

Plataformas de hiring con verificación integrada: Deel y Remote.com incluyen KYC (Know Your Customer) y chequeos geográficos nativos para contractors globales, cobrando entre 5-10% del payroll pero eliminando la necesidad de herramientas separadas.

La clave no es tener todas las herramientas, sino tener un stack coherente que cubra: verificación inicial, control de acceso continuo, y monitoreo de comportamiento. Cumplir con SOC2 y GDPR no es solo un requisito de enterprise —es una señal de madurez operativa que tus inversores y clientes van a valorar.

Conclusión

El caso de Knoot y Prince no es una anomalía. Es el séptimo y octavo "laptop farmer" condenado en 2025 bajo la iniciativa federal contra ingresos ilícitos norcoreanos, y probablemente no serán los últimos. A medida que el trabajo remoto se normaliza, los actores maliciosos encuentran nuevas formas de explotar la distancia física como ventaja operativa.

Para founders hispanohablantes, la lección es clara: la contratación remota internacional es una ventaja competitiva real, pero requiere infraestructura de verificación que muchas startups postergan por "mover rápido". El costo de esa postergación puede ser millones en remediación, daño reputacional, y en casos extremos, complicidad involuntaria en esquemas de evasión de sanciones.

La buena noticia: las herramientas existen, son accesibles, y su implementación es cuestión de semanas, no de meses. La pregunta no es si puedes permitirlas. Es si puedes permitirte no tenerlas.

¿Quieres estar al día de las amenazas y oportunidades del ecosistema startup? Únete gratis a la comunidad de Ecosistema Startup, donde +200K founders hispanohablantes comparten insights, alertas de seguridad y oportunidades de crecimiento. La información es tu primera línea de defensa.