Corea del Norte ya ficha a la IA

Las mismas tácticas, más deprisa

Microsoft Threat Intelligence, el equipo de expertos, investigadores y analistas de seguridad con el que Microsoft rastrea ataques informáticos, publicó el 29 de octubre de 2026 un informe sobre cómo usan la IA los grupos de hackers de Corea del Norte. Conviene saber quién firma: Microsoft también vende productos de seguridad, y el mismo informe los recomienda.

Según Microsoft, Corea del Norte opera bajo amplias sanciones internacionales y usa los ataques informáticos, entre otros medios ilícitos, para esquivarlas. Sus grupos actúan sobre todo para conseguir dinero para el régimen, reunir inteligencia estratégica y, en algunos casos, sabotear por motivos políticos. Sus objetivos habituales son empresas de criptomonedas y finanzas, compañías informáticas y cadenas de suministro de software, Gobiernos y centros educativos.

La IA no cambia esos objetivos, sostiene Microsoft, sino que los apoya: los grupos la usan para mejorar sus métodos de siempre y rendir más, no para lanzar operaciones autónomas. Y el informe lo subraya: las operaciones con IA «siguen dirigidas por humanos y no se han vuelto totalmente autónomas».

Tres grupos ya la tienen integrada

Microsoft ordena a los grupos norcoreanos de mayor impacto en cuatro fases de adopción de la IA. En la plenamente integrada, la IA ya forma parte del trabajo rutinario; en «acelerando», se extiende deprisa a varias funciones; en «ampliando», llega a algunas tareas pero aún no al conjunto, y en la emergente, el uso es limitado o experimental.

Según esa evaluación, la adopción general es alta y ningún grupo norcoreano sigue en la fase emergente. La tabla resume en qué punto está cada uno y para qué usa la IA.

Falsos reclutadores, falsos empleados

Entre el 8 y el 12 de junio de 2026, según Microsoft, Jade Sleet se hizo pasar por reclutador de una supuesta empresa de inteligencia blockchain con IA para contactar con profesionales de la ciberseguridad, la IA, el blockchain y la selección de personal, a los que ofrecía entrevistas para puestos de ingeniero de software. En esos mismos días repitió la jugada con otras dos empresas pantalla. Para Microsoft, ese ritmo muestra que el grupo usa la IA generativa para estudiar antes a sus objetivos y llegar a más gente.

Jasper Sleet va un paso más allá: fabrica identidades falsas para conseguir empleos remotos legítimos. Según Microsoft, el uso sospechado de IA para preparar currículos se refleja, en el último año, en perfiles falsos que salen más rápido, en mayor número y mejor ajustados a cada oferta, y su herramienta de IA le permite mantener coherentes varios trabajadores falsos a la vez.

Onyx Sleet trabaja a granel. Microsoft le atribuye más de 100 archivos PDF señuelo creados en agosto y septiembre de 2026 con detalles de cada objetivo; los metadatos muestran decenas de archivos hechos en pocos minutos, muy probablemente con una plataforma de IA. Alimentan campañas masivas de phishing contra usuarios de Corea del Sur.

Emerald Sleet, el grupo menos avanzado, muestra un posible uso de voz y vídeo generados con IA, aunque Microsoft no ha podido determinar su impacto completo. Y Diamond Sleet, que desde agosto de 2026 vuelve a atacar al sector del petróleo y el gas por primera vez desde 2023, ha montado empresas falsas de tecnología de comunicaciones, con webs y personajes a medida, para atacar a operadoras de telecomunicaciones; según Microsoft, su mayor uso de IA generativa sugiere que la IA podría estar haciéndolo más eficiente.

Malware escrito con ayuda

Microsoft también ve la IA en la fabricación de malware. Herramientas de programación con IA como Cursor, el editor de código de Anysphere, empresa que SpaceX compró en agosto de 2026, han permitido probablemente a Jade Sleet, Coral Sleet, Pearl Sleet y Sapphire Sleet generar, convertir, depurar y reescribir código, y preparar mecanismos para quedarse en los equipos infectados y ocultar lo que hacen. Cursor es una herramienta legítima: lo que describe Microsoft es su uso probable por parte de estos grupos.

Con la IA, añade Microsoft, los atacantes rehacen sus herramientas más deprisa y cambian de rumbo en cuanto los defensores los bloquean.

Desde abril de 2026, Coral Sleet tiene en marcha un sistema para meter código malicioso en repositorios privados de GitHub, la plataforma de alojamiento de código propiedad de Microsoft, y sumarlos a su cadena de malware. Según Microsoft, esa capacidad nueva se construyó muy probablemente con una plataforma de desarrollo con IA.

Sapphire Sleet, por su parte, probablemente usó IA en el ataque de agosto de 2026 contra programadores de Rust, un lenguaje de programación, desde los primeros contactos hasta la instalación del malware. Según Microsoft, ese malware era claramente mejor que el de otras campañas del grupo: compilaba código sobre la marcha, muy probablemente para esquivar las defensas.

La IA también lleva la gestión

Los grupos norcoreanos usan además la IA para gestionar operaciones a escala, según Microsoft: automatizan tareas repetitivas, resumen la información que recogen de las organizaciones atacadas y deciden más deprisa qué hacer una vez dentro. Las personas, precisa el informe, probablemente siguen marcando la intención y los objetivos.

Y, según Microsoft, ese uso se extiende ya a la IA agéntica, una tecnología todavía incipiente.

Agentes de IA, solo en dos grupos

Desde finales de octubre de 2026, Microsoft ha detectado a Onyx Sleet y Pearl Sleet usando en sus operaciones ARTEX, que describe como una herramienta de código abierto de pruebas de penetración con agentes de IA.

No son todos los grupos norcoreanos, sino esos dos. Para Microsoft, el caso indica la disposición de Corea del Norte a incorporar cuanto antes las nuevas tecnologías de IA.

Cómo cazar a un falso empleado

La parte más útil del informe para cualquier empresa es la que trata de contratar. Microsoft señala a las empresas de trabajo temporal como la vía más fácil para que trabajadores norcoreanos se cuelen en las compañías, y pide vigilar más a los empleados que llegan por ellas.

Antes de contratar, Microsoft aconseja comprobar que los perfiles profesionales del candidato no se parecen demasiado a los de otras personas y que su teléfono no lo usan otras cuentas; revisar que nombres, direcciones y fechas cuadren en el currículum; llamar a las referencias por teléfono o videollamada, no solo por correo, y buscar si la misma identidad trabaja en varias empresas a la vez.

También pide ver al candidato en cámara en varias videollamadas: si alega problemas de vídeo o de micrófono que le impiden participar, según Microsoft, es una señal de alarma. Y aconseja confirmar que tiene una huella digital real: un teléfono que no sea de voz por internet (VoIP), un domicilio y perfiles en redes sociales.