Microsoft destapa cómo usan la IA los hackers de Corea del Norte: más de 100 cebos en PDF, docenas de ellos creados en minutos, y tres empresas pantalla en cinco días

• Adrián Villellas @AdrianVillellas
• Ingeniero informático, divulgador y creador de contenido tecnológico desde 2017, escribiendo para blogs y medios tanto en español como en inglés.
• • 01/11/2026 21:31
  • Actualizado: 01/11/2026 21:31

Microsoft publicó el 29 de octubre un informe sobre ocho grupos de hackers de Corea del Norte y su uso de la inteligencia artificial. Tres de ellos, Jade Sleet, Coral Sleet y Jasper Sleet, ya la emplean en todas sus operaciones. Otro creó más de 100 documentos trampa en PDF, docenas de ellos en cuestión de minutos.

El análisis de Microsoft Threat Intelligence describe la IA como un «multiplicador de fuerza» para estos grupos. Les sirve para hacer más rápido y a mayor escala lo que ya hacían. Aun así, la empresa sostiene que estas operaciones «siguen dirigidas por humanos y no se han vuelto totalmente autónomas».

Jade, Coral y Jasper, arriba

Microsoft reparte a los grupos en cuatro fases de adopción: emergente, en expansión, en aceleración y operativa. En la última, la IA ya forma parte de la rutina diaria. Ahí coloca a Jade Sleet, Coral Sleet y Jasper Sleet, expertos en ingeniería social, es decir, en engañar a personas para que entreguen accesos o datos.

En aceleración figuran Diamond Sleet, Onyx Sleet, Pearl Sleet y Sapphire Sleet. Emerald Sleet aparece en expansión, con un uso más limitado. Ningún grupo queda en la fase emergente.

Con o sin IA, los fines son los mismos. Corea del Norte, sometida a sanciones internacionales, busca dinero para el régimen, información estratégica y, a veces, sabotaje. Sus objetivos habituales son empresas de criptomonedas, finanzas y tecnología, cadenas de suministro de software, gobiernos y centros educativos.

Empresas pantalla en cinco días

Entre el 8 y el 12 de junio de 2026, Jade Sleet se hizo pasar por reclutadores de una falsa empresa de blockchain con IA. Ofrecía puestos de ingeniero de software a profesionales de ciberseguridad, inteligencia artificial y selección de personal. En esos mismos días lanzó campañas parecidas con otras dos empresas pantalla.

La primera tapadera usaba dominios propios, perfiles en redes sociales y conocimiento del sector, y las otras dos, una infraestructura comparable. Para Microsoft, ese ritmo demuestra que el grupo usa la IA generativa para estudiar a sus víctimas y multiplicar los contactos.

A Onyx Sleet, Microsoft le atribuye más de 100 archivos PDF creados en agosto y septiembre de 2026, cada uno con detalles de su destinatario. Los metadatos mostraban docenas de archivos fabricados en pocos minutos, algo que el informe atribuye «muy probablemente» a una plataforma de IA. Los objetivos eran usuarios de Corea del Sur.

Currículos, caras y voces retocadas

Jasper Sleet consigue empleos en remoto con identidades falsas, un fraude que Microsoft ya describió en junio de 2025. Google, por su parte, detectó informáticos norcoreanos infiltrados en empresas españolas. Según el nuevo informe, la preparación de sus perfiles ha ganado velocidad, escala y relevancia en el último año.

La IA les ayuda a redactar currículos, biografías y respuestas de entrevista. También a resolver pruebas de programación, traducir con tono nativo y retocar fotos, vídeo, voz y fondos.

En el caso de Emerald Sleet, el equipo detectó la posible creación de voz y vídeo sintéticos. Microsoft admite que no ha podido medir su impacto real. Cree muy probable, eso sí, que varios grupos valoren esa herramienta para sus engaños.

Cursor, GitHub y el agente ARTEX

Para fabricar malware, el informe cita plataformas de programación asistida como Cursor. Probablemente han ayudado a Jade Sleet, Coral Sleet, Pearl Sleet y Sapphire Sleet a generar, depurar y reescribir código. Coral Sleet, por ejemplo, infecta desde abril de 2026 repositorios privados de GitHub con un sistema diseñado casi con seguridad así.

Sapphire Sleet probablemente usó IA en su ataque a desarrolladores de Rust de agosto de 2026. Su malware supuso «una mejora notable» respecto a otras campañas del grupo. Diamond Sleet, por su parte, ha vuelto al sector del petróleo y el gas por primera vez desde 2023.

El paso más reciente de Onyx Sleet y Pearl Sleet se llama ARTEX. Es un marco de código abierto de pruebas de penetración con agentes de IA. Microsoft los ha visto usarlo en sus operaciones desde finales de octubre de 2026.

La misma herramienta aparece en un informe del 21 de octubre sobre Storm-0940, un grupo alineado con el Estado chino. Con ella intentó iniciar sesión en más de 2.250 organizaciones y, en varios casos, logró acceso privilegiado en menos de tres horas. OKDIARIO contó esta semana cómo investigadores usaron IA de OpenAI y Google para destapar dos fallos críticos en PHP.

Señales de un candidato falso

Microsoft pide vigilar más a quienes llegan a través de agencias de personal, la vía más fácil para los trabajadores norcoreanos. Recomienda ver al candidato en cámara en varias videollamadas. Si alega problemas de vídeo o micrófono para no participar, la empresa lo considera una señal de alarma.

También aconseja contrastar nombres, direcciones y fechas del currículo. Las referencias, mejor por teléfono o vídeo que por correo. Conviene confirmar un teléfono real, no de voz por internet, y mirar si el mismo perfil trabaja en varias compañías.

Víctimas y botín, sin cuantificar

El informe no dice cuántas organizaciones han caído ni cuánto dinero han obtenido los grupos. Casi todas sus conclusiones son valoraciones con fórmulas como «probablemente», basadas en la telemetría de Microsoft y en informes del sector. Tampoco detalla qué plataformas de IA generativa usan, salvo Cursor y ARTEX.

En ningún momento el informe habla de máquinas fuera de control. Según Microsoft, la IA acelera las tareas repetitivas, pero las personas siguen marcando los objetivos. En agosto, Google ya alertó de que Corea del Norte intentaba manipular Gemini para preparar ataques.

El informe se ha publicado en el blog de Microsoft Security el 29 de octubre de 2026.

Crédito de la imagen: Microsoft Threat Intelligence.