Corea del Nord ja fitxa la IA

Les mateixes tàctiques, més de pressa

Microsoft Threat Intelligence, l'equip d'experts, investigadors i analistes de seguretat amb què Microsoft rastreja atacs informàtics, va publicar el 29 d'octubre de 2026 un informe sobre com fan servir la IA els grups de hackers de Corea del Nord. Convé saber qui el signa: Microsoft també ven productes de seguretat, i el mateix informe els recomana.

Segons Microsoft, Corea del Nord opera sotmesa a àmplies sancions internacionals i fa servir els atacs informàtics, entre altres mitjans il·lícits, per esquivar-les. Els seus grups actuen sobretot per aconseguir diners per al règim, reunir intel·ligència estratègica i, en alguns casos, sabotejar per motius polítics. Els seus objectius habituals són empreses de criptomonedes i de finances, companyies informàtiques i cadenes de subministrament de programari, governs i centres educatius.

La IA no canvia aquests objectius, sosté Microsoft, sinó que els reforça: els grups la fan servir per millorar els mètodes de sempre i rendir més, no per llançar operacions autònomes. I l'informe ho remarca: les operacions amb IA «continuen dirigides per humans i no s'han tornat totalment autònomes».

Tres grups ja la tenen integrada

Microsoft classifica els grups nord-coreans de més impacte en quatre fases d'adopció de la IA. En la plenament integrada, la IA ja forma part de la feina rutinària; en la d'«accelerant», s'estén de pressa a diverses funcions; en la d'«ampliant», arriba a algunes tasques però encara no al conjunt, i en l'emergent, l'ús és limitat o experimental.

Segons aquesta avaluació, l'adopció general és alta i cap grup nord-coreà no continua en la fase emergent. La taula resumeix en quin punt és cadascun i per a què fa servir la IA.

Falsos reclutadors, falsos empleats

Entre el 8 i el 12 de juny de 2026, segons Microsoft, Jade Sleet es va fer passar per reclutador d'una suposada empresa d'intel·ligència blockchain amb IA per contactar amb professionals de la ciberseguretat, la IA, el blockchain i la selecció de personal, als quals oferia entrevistes per a llocs d'enginyer de programari. Aquells mateixos dies va repetir la jugada amb dues empreses pantalla més. Per a Microsoft, aquest ritme demostra que el grup fa servir la IA generativa per estudiar abans els seus objectius i arribar a més gent.

Jasper Sleet va un pas més enllà: fabrica identitats falses per aconseguir feines remotes legítimes. Segons Microsoft, l'ús de la IA que se li sospita per preparar currículums es reflecteix, en l'últim any, en perfils falsos que surten més de pressa, en més quantitat i més ben ajustats a cada oferta, i la seva eina d'IA li permet mantenir coherents diversos treballadors falsos alhora.

Onyx Sleet treballa a l'engròs. Microsoft li atribueix més de 100 fitxers PDF esquer creats l'agost i el setembre de 2026 amb detalls de cada objectiu; les metadades mostren desenes de fitxers fets en pocs minuts, molt probablement amb una plataforma d'IA. Alimenten campanyes massives de phishing contra usuaris de Corea del Sud.

Emerald Sleet, el grup menys avançat, mostra un possible ús de veu i vídeo generats amb IA, tot i que Microsoft no n'ha pogut determinar l'impacte complet. I Diamond Sleet, que des de l'agost de 2026 torna a atacar el sector del petroli i el gas per primera vegada des del 2023, ha muntat empreses falses de tecnologia de comunicacions, amb webs i personatges a mida, per atacar operadores de telecomunicacions; segons Microsoft, el seu ús més intens de la IA generativa suggereix que la IA el podria estar fent més eficient.

Malware escrit amb ajuda

Microsoft també veu la IA en la fabricació de malware. Eines de programació amb IA com Cursor, l'editor de codi d'Anysphere, empresa que SpaceX va comprar l'agost de 2026, han permès probablement a Jade Sleet, Coral Sleet, Pearl Sleet i Sapphire Sleet generar, convertir, depurar i reescriure codi, i preparar mecanismes per quedar-se als equips infectats i amagar el que fan. Cursor és una eina legítima: el que descriu Microsoft és l'ús probable que en fan aquests grups.

Amb la IA, afegeix Microsoft, els atacants refan les seves eines més de pressa i canvien de rumb tan bon punt els defensors els bloquegen.

Des de l'abril de 2026, Coral Sleet té en marxa un sistema per ficar codi maliciós en repositoris privats de GitHub, la plataforma d'allotjament de codi propietat de Microsoft, i incorporar-los a la seva cadena de malware. Segons Microsoft, aquesta capacitat nova es va construir molt probablement amb una plataforma de desenvolupament amb IA.

Sapphire Sleet, per la seva banda, probablement va fer servir la IA en l'atac de l'agost de 2026 contra programadors de Rust, un llenguatge de programació, des dels primers contactes fins a la instal·lació del malware. Segons Microsoft, aquell malware era clarament millor que el d'altres campanyes del grup: compilava codi sobre la marxa, molt probablement per esquivar les defenses.

La IA també porta la gestió

Els grups nord-coreans també fan servir la IA per gestionar operacions a escala, segons Microsoft: automatitzen tasques repetitives, resumeixen la informació que recullen de les organitzacions atacades i decideixen més de pressa què fer un cop són a dins. Les persones, precisa l'informe, probablement continuen marcant la intenció i els objectius.

I, segons Microsoft, aquest ús ja s'estén a la IA agèntica, una tecnologia encara incipient.

Agents d'IA, només en dos grups

Des de finals d'octubre de 2026, Microsoft ha detectat Onyx Sleet i Pearl Sleet fent servir en les seves operacions ARTEX, que descriu com una eina de codi obert de proves de penetració amb agents d'IA.

No són tots els grups nord-coreans, sinó aquests dos. Per a Microsoft, el cas indica que Corea del Nord està disposada a incorporar com més aviat millor les noves tecnologies d'IA.

Com enxampar un fals empleat

La part més útil de l'informe per a qualsevol empresa és la que tracta de la contractació. Microsoft assenyala les empreses de treball temporal com la via més fàcil perquè treballadors nord-coreans s'escolin a les companyies, i demana vigilar més els empleats que hi arriben a través d'elles.

Abans de contractar, Microsoft recomana comprovar que els perfils professionals del candidat no s'assemblen massa als d'altres persones i que el seu telèfon no el fan servir altres comptes; revisar que noms, adreces i dates quadrin al currículum; trucar a les referències per telèfon o per videotrucada, no només per correu, i mirar si la mateixa identitat treballa en diverses empreses alhora.

També demana veure el candidat davant la càmera en diverses videotrucades: si al·lega problemes de vídeo o de micròfon que li impedeixen participar, segons Microsoft, és un senyal d'alarma. I recomana confirmar que té una petjada digital real: un telèfon que no sigui de veu per internet (VoIP), un domicili i perfils a les xarxes socials.