Imagina que a una persona de tu equipo técnico le escribe alguien por una plataforma de empleo. Es una oferta bien pagada, de una empresa de IA o de criptomonedas, con una entrevista por videollamada y una segunda ronda con el director. Al final le piden un detalle más: descargar una prueba técnica y ejecutarla en su ordenador. Lo hace desde el portátil del trabajo, porque es el que tiene a mano.

◢¿Cómo funciona una falsa entrevista de trabajo con malware?

Es una estafa de ingeniería social que usa la oferta de empleo como señuelo. El informe de Binance describe cada paso. Primero, una videollamada con una supuesta persona de recursos humanos, que compartió una cuenta de redes sociales con fotos y vídeos personales para generar confianza. Después, una segunda entrevista, por una aplicación de mensajería popular, con alguien que decía ser el director general. Hacia el final le pidieron descargar una "tarea" que contenía un repositorio de código malicioso en su ordenador de trabajo.

Al ejecutarlo se instaló un programa malicioso que, según Binance, las herramientas de protección del equipo no detectaron en ese momento. Nadie tuvo que abrir un adjunto raro ni pulsar un enlace sospechoso: la víctima ejecutó código creyendo que era parte del proceso de selección.

◢¿Quién está detrás y cuánto se usa esta técnica?

◢¿Qué señales delatan una oferta falsa?

• ▹Te piden ejecutar código o instalar una aplicación en un equipo de la empresa o conectado a su red.
• ▹La "prueba técnica" consiste en ejecutar paquetes, scripts o repositorios que no conoces.
• ▹Insisten en un programa raro para algo sencillo, o te piden ejecutar un script para "arreglar" la cámara o la videollamada.
• ▹Quieren pasar la conversación a otra aplicación de mensajes.
• ▹Te llega una oferta inesperada, con un sueldo muy alto y sin negociar.

El aviso conjunto de 2026 añade un detalle: en algunas entrevistas los atacantes usaron un programa de cambio de cara con IA y, a los pocos minutos, desactivaron el vídeo y pidieron a la víctima que hiciera lo mismo por problemas de red. Si en una entrevista de repente se apaga la imagen y te piden que ejecutes algo, para.

◢¿Qué hacer si te piden una prueba técnica?

Una prueba técnica legítima no necesita tu ordenador de trabajo. Las autoridades coinciden en lo básico:

• ▹No ejecutes pruebas ni código de terceros en un equipo de la empresa. Si hay que ejecutarlo, hazlo en una máquina virtual dentro de un dispositivo personal aislado o en uno que te preste quien hace la prueba.
• ▹Desconfía de comandos con "curl", "base64" o "-enc" si no entiendes qué hacen.
• ▹Si abres un proyecto desconocido en Visual Studio Code, responde "No" a la pregunta de si confías en el autor. Así se abre en modo restringido y no se ejecuta el archivo de tareas del proyecto, que es un truco documentado en el aviso conjunto.
• ▹Verifica a la persona por otro canal, por ejemplo una videollamada en otra aplicación y la web oficial de la empresa, no por los enlaces que te han enviado.

◢¿Qué puede hacer la empresa?

El ataque a Binance no terminó en un portátil. Según su informe, el 20 de octubre los atacantes usaron el ordenador del ingeniero y una herramienta de IA interna para tomar el control de otros dos ingenieros, y el 29 de octubre usaron las credenciales robadas para llegar al servicio que firma las transacciones. Una sola máquina comprometida abrió el camino a lo importante.

Para una empresa normal, esto se traduce en pocas decisiones:

1. ▹Una norma escrita: nadie ejecuta código de fuera en un equipo de trabajo, y las pruebas de selección se hacen en dispositivos personales y aislados.
2. ▹Equipos de desarrollo con los mínimos permisos, sin credenciales de producción guardadas en el portátil. Es la misma idea que cuento en agentes de IA con demasiados permisos.
3. ▹Herramientas internas de IA con acceso limitado: si un atacante entra en una máquina, no debería poder usar la herramienta para llegar a otras.
4. ▹Una vía fácil para avisar. Quien ha ejecutado algo dudoso tiene que poder decirlo sin miedo a una bronca.

Si alguien ya ha ejecutado algo, el FBI recomienda desconectar el equipo de internet, pero dejarlo encendido para conservar las huellas del programa malicioso, y denunciarlo. El aviso conjunto añade que, aunque el antivirus lo elimine, hay que dar por hecho que los datos ya han salido: cambiar las contraseñas desde otro dispositivo y reinstalar el sistema.

◢Y si eres tú quien contrata

Esta técnica funciona también al revés: el aviso conjunto³ también trata de los trabajadores informáticos norcoreanos que consiguen empleos en empresas de otros países, con ayuda de personas que les gestionan ordenadores a distancia. Verifica la identidad de los candidatos en la selección y desconfía de quien nunca enciende la cámara.

◢Cómo lo trabajo en formación

Este tipo de ataque apunta sobre todo a perfiles técnicos, pero la norma de no ejecutar nada de fuera en un equipo de trabajo tiene que conocerla toda la plantilla. En las formaciones de ciberseguridad trabajo casos reales como este, para que la regla esté clara antes de que llegue la oferta.