Estafas cripto en LinkedIn cuestan 11,8 millones de dólares, alerta Singapur

Las autoridades de Singapur advirtieron que las estafas cripto en LinkedIn disfrazadas de ofertas de empleo ya provocaron pérdidas por 11,8 millones de dólares (unos 15 millones de dólares singapurenses). El esquema no apunta al bolsillo directo de la víctima, sino a las empresas donde trabaja: los atacantes se hacen pasar por reclutadores, envían una supuesta prueba técnica y, con ella, cuelan malware que termina abriendo la puerta a los sistemas corporativos.

El aviso conjunto de la Agencia de Ciberseguridad de Singapur (CSA) y la Policía (SPF) describe una operación paciente y bien montada. Todo empieza con un contacto que parece legítimo: un perfil de reclutador que ofrece un puesto atractivo en el sector cripto o tecnológico y propone avanzar con una evaluación de programación.

Cómo operan las estafas cripto en LinkedIn

El punto de quiebre es esa «prueba de código». Cuando la víctima descarga y ejecuta el archivo del supuesto examen, en realidad instala software malicioso en su equipo. Ese malware no busca contraseñas al azar: va tras un token de sesión, la credencial temporal que un navegador guarda después de que el usuario ya inició sesión en un servicio.

Publicidad

Con ese token en mano, los atacantes lograron algo especialmente delicado: esquivar la autenticación de múltiples factores (MFA). En lugar de intentar forzar el segundo factor —el código del teléfono o la app—, reutilizan una sesión ya validada, como quien entra por una puerta que la víctima dejó abierta sin darse cuenta. Así alcanzaron un repositorio de código, el lugar donde una empresa guarda el software que desarrolla y, muchas veces, llaves de acceso a otros sistemas.

El robo de tokens de sesión se volvió una técnica preferida precisamente porque anula buena parte del valor del MFA. La víctima cree estar protegida por su segundo factor, pero el atacante nunca necesita pasarlo: opera con una sesión que el propio usuario autenticó minutos u horas antes.

Un patrón que se repite en la industria

El caso singapurense encaja con una tendencia que los investigadores de seguridad vienen documentando desde hace meses. Grupos vinculados a actores estatales, en particular operadores asociados a Corea del Norte, han usado ofertas de empleo falsas como cebo para infiltrar empresas de criptomonedas y desarrolladores individuales. La lógica es sencilla: los perfiles técnicos son un objetivo valioso y suelen tener acceso privilegiado a código y a fondos.

La modalidad de la «tarea de programación» es recurrente porque explota algo difícil de blindar: la buena fe de un candidato que quiere demostrar sus habilidades. Nadie sospecha de un ejercicio técnico enviado por un reclutador aparentemente serio, y menos cuando el proceso imita al de una contratación real, con entrevistas y mensajes de seguimiento.

La industria arrastra un problema estructural con el factor humano. Muchos de los incidentes más costosos del año no nacieron de fallos matemáticos en la criptografía, sino de engaños dirigidos a personas o de vulnerabilidades en el software que utilizan a diario. Sin ir más lejos, se han reportado casos como una vulnerabilidad en Zoom construida con inteligencia artificial capaz de tomar control de un dispositivo, o los ataques que obligaron a suspender los swaps de Boltz.

Qué recomiendan las autoridades

La CSA y la SPF pidieron a trabajadores y empresas extremar la cautela ante procesos de selección que lleguen sin contexto claro. Entre las señales de alarma figuran las pruebas técnicas que exigen descargar y ejecutar archivos ejecutables, los enlaces a repositorios poco conocidos y la presión para completar tareas con rapidez.

• Desconfiar de ofertas laborales no solicitadas que pidan instalar software o ejecutar scripts en el equipo personal o de trabajo.
• Verificar de forma independiente la identidad del reclutador y de la empresa, por canales oficiales y no solo por el mensaje recibido.
• Ejecutar cualquier prueba de código en entornos aislados, como máquinas virtuales, y nunca en dispositivos con acceso a sistemas corporativos.
• Cerrar sesiones activas y rotar credenciales ante cualquier sospecha, dado que un token robado puede seguir siendo válido.

Para las organizaciones, el episodio subraya la necesidad de acortar la vida útil de los tokens de sesión, monitorear accesos anómalos a repositorios y no confiar únicamente en el MFA como barrera final. La cifra de 11,8 millones de dólares refleja el daño acumulado de una técnica que seguirá siendo rentable mientras el eslabón más débil siga siendo la confianza de una persona frente a una oferta demasiado buena para ser cierta.