El Departamento de Justicia de EE. UU. acusa a 14 personas de participar en un esquema para colocar a informáticos norcoreanos en empresas con identidades robadas. El caso muestra cómo funciona el fraude y por qué cualquier empresa que contrate a distancia, también en España, puede ser objetivo.
El pasado 13 de octubre, el Departamento de Justicia de Estados Unidos anunció una operación contra los esquemas con los que Corea del Norte coloca a informáticos en empresas extranjeras. El balance: 14 personas acusadas, dos detenidas y 187 dispositivos incautados. Según los fiscales, el dinero de esos sueldos acaba en entidades controladas por Pionyang para financiar sus programas de armas.
Imagen 1. Comunicado del Departamento de Justicia de EE. UU., 13 de octubre de 2026. Fuente: justice.gov.
Qué anunció la justicia estadounidense
La acusación se presentó el 1 de octubre ante el tribunal federal del Distrito Norte de Ohio y se hizo pública el 13. Señala a dos estadounidenses, Michael James Bostelle, de Pensilvania, y Juan Cecilio Pena Carrillo, de Texas, los dos detenidos, y a diez personas con base en China. La identidad de otros dos acusados se mantiene bajo sello judicial. El escrito recoge cuatro cargos: conspiración para cometer fraude electrónico, blanqueo de capitales y robo de identidad, y robo de identidad agravado.
Según el Departamento de Justicia, entre 2019 y julio de 2025 el esquema generó unos 3 millones de dólares para los trabajadores. Afectó a más de 70 empresas de sanidad, comunicaciones, apoyo en ciberseguridad, comercio minorista y fabricación, y usó las identidades de más de 25 estadounidenses. Conviene leer estas cifras como lo que son: los datos de este caso, no el total de lo que obtiene Corea del Norte con este método.
Por separado, el FBI registró más de 40 viviendas de Texas entre el 21 y el 25 de septiembre, en la llamada Operación Lonestar Roundup. Allí incautó unos 187 portátiles y aparatos KVM, que permiten manejar un ordenador a distancia.
Imagen 2. Primera página de la acusación, sellada el 1 de octubre ante el tribunal federal del Distrito Norte de Ohio. Fuente: documento judicial, vía CyberScoop.
Cómo funciona el fraude
El esquema se apoya en ayudantes dentro de EE. UU. Según la acusación, estos recibían los portátiles que las empresas enviaban a los supuestos empleados y los guardaban en sus casas, lo que se conoce como “granja de portátiles”. Allí instalaban programas de acceso remoto, de modo que el trabajador norcoreano manejaba el equipo desde fuera. Con redes privadas virtuales y servidores intermedios, parecía que trabajaba desde territorio estadounidense. Después, el ayudante reenviaba los pagos a cuentas controladas por Corea del Norte.
El escrito incluye un ejemplo concreto. Trey Nolte, residente en Ohio, que aparece en la acusación aunque no está acusado, fundó una empresa pantalla llamada Dark Falls LLC. Según el documento, recibió más de 320.000 dólares en cuentas abiertas con nombres falsos y envió unos 131.897 a China. En febrero de 2023, Jin Long, uno de los acusados con base en China, le pidió registrar una empresa en Texas para abrir cuentas bancarias. Nolte respondió, según el escrito: “Parece blanqueo de dinero”.
La acusación también describe cómo se engañaba a quienes contrataban. En 2019, uno de los acusados le explicó a Nolte que “los empleadores solo quieren ver a un estadounidense” y que él mismo escribiría las respuestas de la entrevista. En julio de 2024 le pidió contratar a un actor para hacerse pasar por un candidato en una entrevista presencial en Akron (Ohio). Y uno de los falsos empleados presentó un certificado firmado por un supuesto psicólogo para no tener que encender la cámara. Son acusaciones que todavía deben probarse ante el tribunal.
Por qué le importa a una empresa española
El fenómeno ya tiene un eslabón en España. El 12 de marzo, la Oficina de Control de Activos Extranjeros (OFAC) del Tesoro estadounidense sancionó a un residente en Barcelona por colaborar desde 2024 en la obtención de contratos de servicios informáticos para un norcoreano que dirige desde Laos a un grupo de trabajadores freelance. Es una sanción administrativa, no una condena penal. Hasta ahora no se ha identificado públicamente ninguna empresa española afectada.
Imagen 3. El Tesoro de EE. UU. sancionó en marzo a facilitadores «con base en Corea del Norte, Vietnam, Laos y España». Fuente: home.treasury.gov.
El problema tampoco es solo estadounidense. Google documentó en abril de 2025 su expansión hacia Europa, con objetivos en los sectores de defensa y Administración pública.
Imagen 4. Países afectados por los trabajadores informáticos norcoreanos según Google Threat Intelligence Group (abril de 2025). España aparece resaltada. Fuente: Google Cloud / Mandiant.
A finales de julio, EE. UU. y otros diez países emitieron la primera alerta conjunta de este grupo sobre estos esquemas, dirigida a gobiernos, empresas y plataformas en línea. Firman, entre otros, Francia, Alemania, Italia, Países Bajos y Reino Unido; España no figura entre los emisores. La alerta advierte de que estos trabajadores integran la inteligencia artificial para ocultar su identidad. El Ministerio de Asuntos Exteriores norcoreano la calificó de «información falsa» y de «acusación política estereotipada».
La alerta recuerda además que una resolución del Consejo de Seguridad de la ONU obliga a todos los Estados miembros, España incluida, a repatriar a los norcoreanos que obtengan ingresos en su territorio, salvo excepciones limitadas, y que contratarlos puede vulnerar leyes nacionales. Para una empresa, el riesgo ya no es solo reputacional: también es de cumplimiento normativo.
Imagen 5. Alerta conjunta del 31 de julio de 2026 y organismos emisores. España no está entre ellos. Fuente: Departamento de Estado de EE. UU.
Hay otro detalle relevante para cualquier departamento de selección europeo. Según el FBI, una de las tapaderas habituales de estos trabajadores es presentarse como europeos del este desplazados por la guerra de Ucrania. Google ya había detectado en 2025 perfiles que se presentaban como ucranianos. El propio FBI advierte, sin embargo, de que los controles demasiado agresivos generan falsos positivos y perjudican a candidatos legítimos: la nacionalidad declarada no es, por sí sola, un indicio.
La lectura práctica es esta: el método no depende del país de la empresa. Depende de que alguien contrate a distancia y se fíe de lo que ve en una videollamada. Es una valoración propia, no un dato de las fuentes. Y el riesgo no se acaba con el sueldo. Los gobiernos firmantes de la alerta y el FBI advierten de que estos trabajadores, una vez dentro, pueden actuar como una amenaza interna, y el FBI cuenta que algunos han amenazado con filtrar datos de la empresa para exigir pagos.
Qué cambia y qué recomienda el FBI
El 13 de octubre, el FBI publicó un aviso con varias novedades. Destacan tres. Cada vez pagan más a estadounidenses para que hagan las entrevistas, cedan sus cuentas profesionales o alojen los equipos. Algunos trabajadores subcontratan trabajos enteros a freelancers de Pakistán, India, Nigeria y países vecinos. Y han llegado a amenazar de muerte a antiguos jefes y a sus familias para cobrar. La agencia estima que el Gobierno norcoreano se queda entre el 85 % y el 90 % de lo que ganan.
Imagen 6. Aviso al público del FBI del 13 de octubre de 2026. Fuente: FBI / IC3.
Su recomendación principal es no fiarse de un solo indicio. Una videollamada o un documento de identidad no bastan. El FBI pide combinar varias comprobaciones de identidad durante toda la relación laboral, porque señales que por separado parecen inocentes resultan reveladoras cuando se combinan.
El Departamento de Justicia, además, informó de que los investigadores descubrieron una red de correos fraudulentos usada por estos trabajadores y publicó 11 direcciones para que las empresas las añadan a sus indicadores. El FBI matiza que fiarse solo de listas de bloqueo no es fiable: puede dejar fuera a candidatos válidos y perjudicar a las propias víctimas del robo de identidad.
Imagen 7. Las 11 direcciones de correo publicadas por el Departamento de Justicia. Fuente: justice.gov.
Hay una pregunta que el caso deja abierta, y es la que debería hacerse cualquier empresa que contrate a distancia: si la persona que hizo la entrevista es la misma que luego trabaja con el portátil de la empresa. Mientras no se pueda responder con certeza, el fraude seguirá siendo rentable.
