Contenido
En resumen: dos veces en 2026, un "cliente" falso intentó que ejecutara su código. En junio lo consiguió: el proyecto de prueba escondía malware en una de sus dependencias de npm, estuvo días ejecutándose y ningún antivirus dijo nada. En octubre me negué. Los dos siguieron un método que el FBI vincula con Corea del Norte; nadie ha atribuido formalmente mis dos casos, pero coinciden con él. El consejo del FBI: no ejecutes código de entrevistas en tu equipo de trabajo, usa una máquina virtual aparte si no queda más remedio y verifica quién te contrata por otro canal.
Junio: el proyecto de prueba era el malware
La historia completa está en mi artículo anterior, Dos trabajos falsos en Upwork, un Mac infectado. La versión corta: un "cliente" de una plataforma de freelance me dio una prueba de programación.
"He sent over a Node.js test project called "Online_Store". The malicious code was hidden in one of its npm dependencies." (me envió un proyecto de prueba en Node.js llamado "Online_Store". El código malicioso estaba escondido en una de sus dependencias de npm).
Tardé en darme cuenta: "By the time I noticed, it had been running in the background for days." (cuando me di cuenta, llevaba días funcionando en segundo plano).
Y nada me avisó: "neither macOS's built-in XProtect nor traditional antivirus made a sound, either time." (ni XProtect, el antivirus integrado de macOS, ni los antivirus tradicionales dijeron nada, ninguna de las dos veces).
Octubre: cámara apagada, "instala esta app de reuniones"
Cuatro meses después, un "cliente" nuevo, esta vez de una empresa falsa. En la videollamada, "He kept his camera off" (tuvo la cámara apagada todo el tiempo). Luego "we had to switch to a meeting app called "Zeff"" (teníamos que pasarnos a una app de reuniones llamada "Zeff"), y para conseguirla yo debía "run a curl | bash command in the terminal, or download a DMG. I didn't install it." (ejecutar un comando curl | bash en la terminal o descargar un DMG. No la instalé).
Los comandos y las direcciones quedan fuera del vídeo y de este artículo: se trata de reconocer el anzuelo, no de lo que instala.
Un método conocido
Mirando atrás, los dos intentos tenían la misma forma: "Both attacks followed the same playbook: contact, build trust, the ask, the payload. The second time, I stopped at the payload." (los dos ataques siguieron el mismo método: contacto, ganarse la confianza, la petición, la carga maliciosa. La segunda vez, me detuve en la carga).
Es una forma sobre la que el FBI ya ha advertido. Su anuncio de servicio público PSA 240903 se titula "North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks" (Corea del Norte ataca agresivamente al sector cripto con ataques de ingeniería social bien disfrazados). Mis casos coinciden con el patrón que describe; nadie los ha atribuido formalmente, así que no afirmo que Corea del Norte me hackeara.
Por qué apunta a las personas
En declaraciones a la BBC tras el hackeo a Binance, Mackenzie Jackson, de Aikido, describió un cambio. En palabras de la BBC: "He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it." (dice que los hackers han pasado de atacar la infraestructura de las empresas a atacar las máquinas de las personas que la gestionan).
Y sobre el cómo: "Jackson says techniques vary, but include tricking workers into installing malware under the pretext of a job interview, or interfering with code that developers rely on." (Jackson dice que las técnicas varían, pero incluyen engañar a trabajadores para que instalen malware con el pretexto de una entrevista de trabajo, o manipular código del que dependen los desarrolladores).
Jackson describía técnicas habituales, no cómo vulneraron a Binance.
Las señales de alerta
El FBI incluye esta entre sus indicadores: "Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories." (peticiones de hacer una "prueba previa a la contratación" o un ejercicio de depuración que implique ejecutar paquetes de Node.js, paquetes de PyPI, scripts o repositorios de GitHub no estándar o desconocidos).
De mis dos casos salen dos más: un "cliente" que mantiene la cámara apagada y quiere pasarse a una app de la que nunca has oído hablar, y una petición de pegar un comando en tu terminal.
La solución
- No en tu equipo de trabajo. El FBI: "Avoid taking pre-employment tests or executing code on company owned laptops or devices." (evita hacer pruebas previas a la contratación o ejecutar código en portátiles o dispositivos propiedad de la empresa).
- Si el código tiene que ejecutarse, mantenlo aparte. El consejo del FBI, resumido: usa una máquina virtual en un dispositivo que no esté conectado a la empresa, o un dispositivo que proporcione quien hace la prueba.
- Verifica por otro canal. El FBI: "Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms." (desarrolla tus propios métodos para verificar la identidad de un contacto usando plataformas de comunicación separadas y no conectadas entre sí).
Lo que creé después
Después, hice una herramienta: "So I built a small macOS menu bar app called Tsuba" (por eso creé una pequeña app de barra de menús para macOS llamada Tsuba). La idea: "before unfamiliar code runs for the first time, it takes a look for you." (antes de que un código desconocido se ejecute por primera vez, le echa un vistazo por ti). Tsuba es gratis y de código abierto. Viene después de los hábitos de arriba, no en lugar de ellos.
Fuentes
- Oliver Zhang, Dos trabajos falsos en Upwork, un Mac infectado, oliverz.dev, 28 oct 2026
- FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 sep 2024
- BBC News, página en directo sobre el hackeo a Binance, 30 oct 2026
El vídeo está animado con código y el guion se escribió con ayuda de IA; cada dato de arriba está contrastado con las fuentes. Ilustrativo: el árbol del proyecto y la dependencia en rojo, el escudo de "sin amenazas", la videollamada y el comando de terminal censurado. Este artículo explica el riesgo y la solución, no los pasos de un ataque. El vídeo está en inglés. Hecho con Shotloop, mi app gratis para Mac de explicativos hechos con código, corregidos plano a plano.