Los perfiles laborales falsos, las fotografías creadas con inteligencia artificial (IA), los correos electrónicos personalizados, la explotación de posibles vulnerabilidades y el uso de servicios legítimos para ocultar comunicaciones son algunas de las herramientas que los ciberdelincuentes utilizan para infiltrarse en las organizaciones y promover diferentes estafas.
Una investigación de Kaspersky –a la que tuvo acceso iProUP- identificó una campaña de ciberespionaje denominada Operación FlashHole, atribuida al grupo Lazarus, que combina identidades profesionales ficticias con técnicas avanzadas para comprometer equipos y robar información.
El caso demuestra cómo una supuesta oportunidad laboral o un portafolio digital pueden convertirse en la puerta de entrada a un ataque informático.
La campaña está activa desde julio de 2025 –al menos– y afectó a un mínimo de tres organizaciones de Corea del Sur vinculadas con los sectores de software, construcción y fabricación de equipos de comunicaciones por cable.
Aunque los ataques documentados se concentraron en Asia, los especialistas advierten que estas técnicas también representan un riesgo potencial para empresas de otras regiones, incluida América Latina.
Los investigadores del Equipo Global de Investigación y Análisis (GReAT) de Kaspersky presentaron sus hallazgos en el Security Analyst Summit de Bali, en octubre de 2026.
Cómo funcionan las estafas con perfiles laborales falsos e inteligencia artificial
Una de las particularidades de la Operación FlashHole es el uso de sitios web que simulan currículums y portafolios profesionales para despertar la confianza de sus víctimas-objetivos.
En una de las páginas detectadas, los atacantes presentaban la trayectoria de un supuesto desarrollador sénior de dispositivos de red e incorporaban una fotografía generada con IA para darle credibilidad a la identidad ficticia.
Los investigadores identificaron señales compatibles con una imagen artificial, como la ausencia de metadatos EXIF y una textura poco natural.
También consideraron probable que los atacantes hayan utilizado IA para adaptar las páginas fraudulentas a las características de cada víctima.
El engaño comienza con mensajes de spear-phishing, una modalidad de fraude digital que utiliza comunicaciones personalizadas para aumentar las probabilidades de que una persona confíe en el remitente y abra un enlace.
En lugar de recurrir a un correo masivo y genérico, los atacantes prepararon páginas relacionadas con perfiles profesionales, currículums o trabajos que podían resultar relevantes para sus destinatarios.
Esta estrategia aprovecha la confianza que suelen generar los contactos laborales y la apariencia de legitimidad de los sitios web.
En el entorno corporativo, el riesgo no se limita a que un empleado entregue sus credenciales: un enlace puede convertirse en el punto inicial de una infección informática.
/https://assets.iproup.com/assets/public/images/lazyload.gif)
Perfiles falsos y fotos con IA se usan para estafar organizaciones (Fuente: Imagen creada con IA)
Cómo una posible vulnerabilidad permitió avanzar sobre los equipos
El caso presentó una diferencia importante respecto de los engaños tradicionales: la investigación detectó indicios que visitar una de las páginas maliciosas podía iniciar una cadena de infección que involucraba a CrossWeb EX, un programa legítimo de seguridad y autenticación utilizado ampliamente en Corea del Sur.
Los investigadores sospecharon que los atacantes aprovecharon una posible vulnerabilidad de ese software para ejecutar código malicioso, aunque no pudieron determinar con precisión el mecanismo que desencadenaba el proceso.
Por eso, el hallazgo aún no permite confirmar que cualquier visita a una página falsa provoque automáticamente una infección.
No obstante, sí demuestra que una herramienta confiable puede convertirse en parte de una cadena de ataque cuando existe una falla o una condición susceptible de ser aprovechada.
La investigación identificó, además, una infraestructura de malware que combina herramientas conocidas con componentes que no fueron documentados previamente.
Entre ellos aparecen TouchHub y ClientHub, capaces de:
- instalar amenazas adicionales
- ejecutar instrucciones en equipos comprometidos
- y mantener comunicaciones con los operadores del ataque
Los investigadores detectaron también variantes que utilizan Dropbox para intercambiar información con los atacantes. El uso de servicios legítimos dificulta distinguir determinadas conexiones maliciosas de la actividad habitual de una organización y refuerza la necesidad de supervisar el comportamiento de las aplicaciones, además de controlar los accesos.
Lazarus suma cifrado poscuántico para ocultar sus operaciones
Otro de los aspectos más relevantes es la actualización de LPEClient, una herramienta que Lazarus utiliza para recopilar información de los equipos comprometidos y facilitar la instalación de otros programas maliciosos.
La nueva versión obtiene datos sobre el software de seguridad instalado, las protecciones de Windows y otras características del sistema, y después los comprime y cifra antes de enviarlos a los atacantes.
También utiliza ML-KEM-1024, un mecanismo de criptografía poscuántica diseñado para proteger el intercambio de claves frente a posibles ataques de futuras computadoras cuánticas. En esta campaña, esa tecnología no se utiliza para proteger a la víctima, sino para asegurar las comunicaciones del malware con la infraestructura de los ciberdelincuentes.
El software malicioso también incorpora técnicas para dificultar la detección, entre ellas la ejecución de código directamente en la memoria del equipo y modificaciones destinadas a interferir con determinados mecanismos de supervisión de seguridad.
Estas prácticas reducen las huellas convencionales que los investigadores pueden utilizar para reconstruir una infección.
Según Sojun Ryu, investigador sénior de seguridad de Kaspersky GReAT, los hallazgos permiten rastrear el uso de criptografía diseñada para resistir amenazas cuánticas hasta, al menos, septiembre de 2024. Esto indica que el grupo ya incorporaba esa capacidad a las comunicaciones de su malware más de un año antes de la divulgación pública de FlashHole.
Por qué las empresas deben revisar sus procesos de selección
El caso amplía los riesgos asociados con los procesos de selección de personal, en los que currículums, perfiles profesionales, portafolios y enlaces externos forman parte de las interacciones cotidianas.
Las fotografías sintéticas pueden dar una apariencia de autenticidad a una identidad inventada, mientras que los sitios personalizados ayudan a construir una historia coherente para el engaño.
Sin embargo, una imagen generada con IA no demuestra por sí sola que exista una estafa, del mismo modo que una fotografía aparentemente real no garantiza que una identidad sea auténtica. La respuesta debe combinar la verificación de identidad, la validación independiente de antecedentes profesionales y la revisión de los enlaces y archivos recibidos.
La prevención también requiere que los empleados aprendan a reconocer intentos de phishing dirigido y sepan cómo reportar mensajes sospechosos.
Kaspersky recomienda mantener los programas actualizados, instalar los parches de seguridad disponibles y revisar periódicamente las vulnerabilidades de las aplicaciones críticas. A eso se suma la necesidad de limitar los permisos de cada usuario según sus funciones y monitorear las conexiones a servicios en la nube que puedan utilizarse para ocultar comunicaciones maliciosas.
Las organizaciones también pueden apoyarse en herramientas de detección y respuesta, como soluciones EDR y XDR, y en servicios especializados para investigar incidentes y contener ataques.
