FBI incauta 187 portátiles a red norcoreana en Texas

El FBI registró 40 casas en Texas y decomisó 187 portátiles

Entre el 21 y el 25 de septiembre, agentes del FBI registraron más de 40 viviendas en Texas y decomisaron cerca de 187 portátiles y dispositivos KVM —teclado, video y mouse, los aparatos que permiten controlar varias computadoras desde un solo punto—. La operación recibió el nombre de Lonestar Roundup y, según el Departamento de Justicia, alrededor de 100 de esos equipos se incautaron solo en el norte de Texas.

La cifra importa por lo que representa: como resumió R. Joseph Rothrock, agente especial a cargo de la oficina del FBI en Dallas, "cada portátil incautado representa potencialmente una empresa que contrató a un trabajador de IT de la RPDC". RPDC es la sigla de la República Popular Democrática de Corea: Corea del Norte.

El fiscal federal Ryan Raybould fue más directo en la conferencia de prensa posterior: "Es muy difícil alegar que no sabías lo que estabas haciendo cuando tienes 30, 40 o 50 portátiles en tu casa". Y añadió que algunos de los implicados declararon no creer que sus actos fueran ilegales. Su respuesta: "Es francamente ridículo".

Cómo funciona una granja de portátiles

El mecanismo es simple y por eso escala. Un trabajador norcoreano se postula con una identidad robada o fabricada a un puesto remoto en una empresa estadounidense. Pasa las entrevistas. La empresa le envía un portátil a una dirección en Estados Unidos.

Ahí entra el facilitador: una persona que recibe el equipo, lo deja encendido en su casa, instala software de acceso remoto y cobra por ello. Desde el extranjero, el trabajador se conecta a través de VPN y proxies para que su IP parezca local. Una sola casa puede alojar decenas de portátiles, lo que Brett Leatherman, responsable de ciberdelincuencia del FBI, describió como un "mini centro de datos".

El dinero también pasa por el facilitador: abre cuentas bancarias o usa plataformas de transferencia para mover el salario hacia cuentas controladas por Corea del Norte. En el caso de Ohio, el imputado Juan Cecilio Pena Carrillo habría recibido unos US$190.000 de cinco empleadores por alojar equipos, según Gizmodo.

El caso de Ohio: 14 imputados y dos detenidos

En paralelo a los registros en Texas, el Departamento de Justicia anunció una acusación formal en el Distrito Norte de Ohio contra 14 personas, con dos detenciones: Michael James Bostelle, de 31 años y residente en Filadelfia, y Juan Cecilio Pena Carrillo, de 37 años y vecino de San Juan, Texas. Los cargos incluyen conspiración para fraude electrónico, conspiración para lavado de dinero y robo de identidad agravado.

Diez de los imputados están radicados en China —entre ellos Sun Sheng Ming, que da nombre al expediente— y dos permanecen bajo identidad sellada. El esquema operó entre 2019 y julio de 2025, afectó a más de 70 empresas y generó alrededor de US$3 millones en salarios que, según los fiscales, terminaron en entidades sancionadas por Estados Unidos.

Las víctimas no son solo gigantes tecnológicos: el Departamento de Justicia detalla empresas de salud, comunicaciones, soporte de ciberseguridad, retail y manufactura repartidas por Ohio, otros 16 estados y el Distrito de Columbia.

Un detalle que muestra el nivel de sofisticación: un juez federal emitió el 9 de octubre una orden para que Google entregara los registros de 11 cuentas que los investigadores identificaron como herramientas usadas para conseguir empleo de forma fraudulenta.

La IA sube el nivel y los cómplices se multiplican

Los currículums falsos ya no son el cuello de botella. Según el informe de amenazas de CrowdStrike de 2025, más de 320 empresas fueron víctimas de fraudes de identidad de sus empleados, un 220% más que el año anterior. Adam Meyers, responsable de contraataque de la firma, calculó una media de dos casos nuevos por día durante el mes previo a su declaración.

La técnica clave es el faceswap generado con IA: modifica el rostro, la voz y el acento del candidato durante la videollamada. Un reclutador ve a un profesional con acento tejano; del otro lado hay un operador en Pyongyang.

Por eso el FBI advierte de un giro nuevo: cada vez se contratan más cómplices en Occidente. Les pagan por aparecer ante la cámara en entrevistas y reuniones, por dar muestras de orina o huellas cuando la empresa aplica controles más estrictos, o simplemente por mantener un portátil encendido. La propia agencia señala que estos facilitadores suelen ser reclutados en situaciones de estrés financiero y que algunos han recibido amenazas de violencia.

CrowdStrike, que rastrea al grupo como Famous Chollima y colaboró con el FBI en la operación, fue explícita sobre el alcance de la victoria: las acciones "probablemente frenarán la actividad solo en las zonas inmediatas" y son "poco probables de generar efectos duraderos".

Cuánto dinero mueve y por qué no es un fraude menor

Según el Departamento del Tesoro, un informático norcoreano puede ganar hasta US$300.000 al año. El FBI estima que el régimen se queda con entre el 85% y el 90% de esos ingresos. Y el Tesoro calculó que los esquemas de trabajadores de IT generaron cerca de US$800 millones en 2024 a nivel global.

Leatherman lo dijo sin rodeos: "Cada uno de estos puestos de trabajo financia un programa de misiles nucleares y balísticos". La infraestructura montada para sostener a los falsos empleados también sirve como puerta de entrada a otras operaciones: el FBI atribuyó a Corea del Norte el robo de US$1.500 millones a la plataforma Bybit en 2025.

Los antecedentes muestran que el fenómeno no es nuevo ni residual. Christina Chapman fue condenada a 102 meses de prisión —ocho años y medio— por regentar una granja que afectó a más de 300 empresas y generó más de US$17 millones para Corea del Norte. Otros dos hombres de Nueva Jersey recibieron penas de 108 y 92 meses por un esquema de más de US$5 millones. Y en junio de 2025 el Departamento de Justicia ya había registrado 29 granjas de portátiles en 16 estados.

Qué significa esto para tu startup

Si contratas talento remoto fuera de tu país —y en el ecosistema hispanohablante eso es lo normal, no la excepción— estás dentro del universo de objetivos. No hace falta ser una Fortune 500: las víctimas documentadas incluyen empresas de retail y manufactura.

El riesgo real no es el salario pagado de más. Es que ese "empleado" tiene acceso a tu código, tus datos de clientes, tus credenciales de producción y tu infraestructura en la nube. El Departamento de Justicia señala que estos esquemas han derivado en extorsión de datos y exfiltración de información propietaria.

Hay un segundo riesgo, más silencioso: si tu empresa opera en Estados Unidos o le vende a clientes estadounidenses, un incidente de este tipo te expone a responsabilidad contractual y reputacional. Y si el "empleado" resulta ser un facilitador local, tú también puedes acabar en el radar de una investigación federal.

Cómo blindar tu proceso de contratación remota

Ninguna de estas medidas es cara. Todas son más baratas que un incidente.

• Verifica identidad en vivo, sin filtros. Exige una videollamada con documento oficial a la vista y cotejo biométrico. Si el candidato pone excusas para no encender cámara o usa fondos virtuales, es una bandera roja.
• Coteja la dirección de envío del equipo. El portátil debe llegar a un domicilio que coincida con la identidad verificada. Nunca a un tercero, un casillero o una dirección "de un familiar".
• Audita los accesos. Revisa los logs de VPN y de inicio de sesión. Si alguien dice estar en Bogotá y se conecta sistemáticamente desde otra geografía, tienes un problema.
• Aplica el principio de mínimo privilegio. Los primeros 90 días, sin acceso a producción ni a datos sensibles. El acceso se gana, no se hereda con el contrato.
• Bloquea el acceso remoto no autorizado. Los dispositivos KVM y el software de control remoto instalado por el empleado deben estar prohibidos y monitoreados en los equipos corporativos.
• Deja la política por escrito. Prohíbe explícitamente que un tercero haga la entrevista técnica, use el equipo o acceda a los sistemas. Y comunica que el incumplimiento es causa de despido.
• Verifica referencias por canales independientes. Un perfil de LinkedIn impecable no es una verificación. Llama a la empresa anterior por un número que consigas tú, no por el que te dio el candidato.

Un dato que ilustra lo poco preparadas que están muchas empresas: CrowdStrike documentó que una de las preguntas más efectivas para detectar a un candidato norcoreano es preguntar en la entrevista "¿qué tan gordo es Kim Jong Un?". Según Meyers, los candidatos cuelgan de inmediato. No es una política de contratación seria, pero sí una muestra de que la mayoría de los controles actuales no están diseñados para este tipo de adversario.

Conclusión

La operación Lonestar Roundup no cierra el problema: lo hace visible. El FBI lleva años desmantelando estas redes y el volumen sigue creciendo, ahora con IA que abarata el fraude y con cómplices locales que se contratan por dinero. CrowdStrike ya advirtió que el impacto será limitado y temporal.

Para un founder, la lectura es incómoda pero clara: la contratación remota global es una ventaja competitiva enorme y, al mismo tiempo, una superficie de ataque. La respuesta no es dejar de contratar remoto —sería renunciar al mejor talento por miedo—, sino tratar la verificación de identidad con el mismo rigor con el que tratas la seguridad de tu infraestructura. Verificación en vivo, mínimo privilegio y auditoría de accesos son tres medidas que puedes implementar esta semana.

Fuentes

• Xataka (fuente original)
• Departamento de Justicia de EEUU
• Yahoo News
• Gizmodo
• Chron
• The Next Web