Imagina un país aislado internacionalmente, sometido a duras sanciones económicas y con enormes dificultades para acceder al sistema financiero mundial. En teoría no tienen ni para encender bombillas. Ahora imagina que parte de sus ingresos no procede de exportaciones, fábricas o recursos naturales, sino del probablemente más avanzado y exitoso ejército de hackers dedicado a robar bancos, empresas y plataformas de criptomonedas.
No es el argumento de una película de espionaje. Es la historia de Lazarus Group, uno de los grupos de ciberamenazas más peligrosos, versátiles y sorprendentes del mundo.
En esta segunda entrega de nuestra serie “Conociendo al ciberMal”, viajamos hasta Corea del Norte para conocer una organización capaz de combinar espionaje, sabotaje, ransomware y atracos digitales al servicio de todo un Estado.
¿Quienes son Lazarus Group?
Lazarus Group no es una banda de ciberdelincuentes convencional. Es el nombre utilizado por investigadores de seguridad para identificar a un amplio conjunto de actores vinculados con el Reconnaissance General Bureau, el principal servicio de inteligencia de Corea del Norte.
A diferencia de organizaciones como Evil Corp, cuyo objetivo principal es enriquecerse, Lazarus opera para cumplir los intereses estratégicos del régimen norcoreano.
Sus misiones pueden adoptar formas muy diferentes: robar dinero, obtener información confidencial, sabotear infraestructuras, vengarse de quienes critican al Gobierno o conseguir criptomonedas con las que el país pueda esquivar las sanciones internacionales.
Bajo el término Lazarus se agrupan distintas unidades y campañas, algunas conocidas como APT38, Bluenoroff, Andariel, TraderTraitor o Hidden Cobra.
No siempre resulta sencillo determinar dónde termina una unidad y comienza otra, pero todas forman parte de un mismo ecosistema de operaciones patrocinadas por Corea del Norte.
El Departamento del Tesoro de Estados Unidos considera que Lazarus, Bluenoroff y Andariel están controlados por la inteligencia norcoreana y que sus actividades sirven para generar ingresos para el régimen. (U.S. Department of the Treasury)
El día que atacaron Hollywood
Lazarus saltó a la fama internacional en 2014 con el ataque contra Sony Pictures Entertainment.
La compañía estaba preparando el estreno de The Interview, una comedia en la que se representaba un complot para asesinar al líder norcoreano Kim Jong-un. Poco antes de su estreno, unos atacantes que se hacían llamar Guardians of Peace consiguieron acceder a la red interna de Sony.
Robaron correos electrónicos, datos personales, documentos confidenciales y películas todavía no estrenadas. Después utilizaron un malware destructivo para borrar sistemas y paralizar parte de la empresa.
La información sustraída fue publicada progresivamente para aumentar la presión sobre Sony. Los atacantes llegaron incluso a amenazar a los cines que proyectasen la película.
El mensaje era claro: aquello no era solo espionaje ni un intento de obtener dinero. Era una represalia política ejecutada mediante código malicioso Las autoridades estadounidenses atribuyeron posteriormente el ataque a operadores vinculados con el Gobierno norcoreano. (Departamento de Justicia)
El atraco al Banco Central de Bangladesh
En 2016, Lazarus demostró que también podía comportarse como una sofisticada banda de atracadores.
Los atacantes consiguieron infiltrarse en los sistemas del Banco Central de Bangladesh y manipular su acceso a la red internacional de transferencias bancarias SWIFT. Desde allí enviaron órdenes fraudulentas a la Reserva Federal de Nueva York para transferir cerca de 1.000 millones de dólares.
La mayoría de las operaciones fueron bloqueadas, en parte por errores y señales que despertaron las sospechas de los equipos de defensa de las entidades financieras. Sin embargo, los atacantes consiguieron sustraer aproximadamente 81 millones de dólares, que fueron enviados a cuentas en Filipinas y posteriormente blanqueados a través de casinos. No entraron en el banco con pasamontañas ni excavaron un túnel hasta la cámara acorazada. Entraron mediante phishing, malware, movimientos laterales y un profundo conocimiento de los procesos financieros.
Lazarus había inventado el atraco bancario del siglo XXI.
WannaCry: un ransomware que se escapó de control
Un año después llegó WannaCry, uno de los ciberataques más conocidos de la historia.
En mayo de 2017, este ransomware comenzó a propagarse automáticamente explotando una vulnerabilidad de Windows. En pocas horas infectó cientos de miles de equipos en numerosos países y afectó a hospitales, empresas de telecomunicaciones, organismos públicos y grandes corporaciones.
En España, compañías como Telefónica se vieron obligadas a aislar equipos y activar sus planes de emergencia. En Reino Unido, el ataque provocó graves interrupciones en hospitales y centros sanitarios del NHS.
WannaCry exigía el pago de un rescate en Bitcoin, pero su funcionamiento no parecía especialmente eficaz para generar beneficios. El volumen de dinero recaudado fue pequeño en comparación con el daño ocasionado.
Esto llevó a muchos analistas a preguntarse si el verdadero objetivo era económico o si se trataba también de una operación de sabotaje. Estados Unidos atribuyó formalmente el desarrollo y despliegue de WannaCry a hackers respaldados por Corea del Norte. (Departamento de Justicia)
De los bancos a los exchanges de criptomonedas
Con la llegada de las criptomonedas, Lazarus encontró su objetivo perfecto.
Los activos digitales "opacos" pueden transferirse rápidamente, atravesar fronteras y ser movidos entre miles de direcciones. Aunque las operaciones quedan registradas en las cadenas de bloques, los atacantes utilizan intermediarios, servicios de intercambio, cadenas diferentes y complejas técnicas de blanqueo para dificultar el seguimiento del dinero.
El grupo ha sido relacionado con algunos de los mayores robos de criptomonedas de la historia: aproximadamente 620 millones de dólares sustraídos del puente Ronin en 2022, 100 millones del puente Harmony y otros ataques contra plataformas como Stake.com y DMM Bitcoin. (FBI)
En febrero de 2025, el FBI atribuyó a Corea del Norte el robo de aproximadamente 1.500 millones de dólares en activos digitales a Bybit, una de las mayores sustracciones de criptomonedas conocidas hasta entonces. Los fondos fueron rápidamente distribuidos entre miles de direcciones para intentar ocultar su origen. (FBI)
Estos ataques no son simples delitos destinados a enriquecer a unos cuantos hackers. Las autoridades occidentales sostienen que el dinero robado ayuda a financiar al régimen norcoreano y sus programas estratégicos. El Departamento del Tesoro estadounidense estimó en 2025 que los actores vinculados con Corea del Norte habían robado más de 3.000 millones de dólares durante los tres años anteriores, principalmente en criptomonedas. (U.S. Department of the Treasury)
La oferta de trabajo que esconde malware
Una de las armas más eficaces de Lazarus no es un sofisticado exploit desconocido. Es una oferta de empleo, las cuales usan para conseguir acceso a empresas y organizaciones de alto valor para ellos.
Los atacantes contactan con desarrolladores, administradores de sistemas y empleados de empresas tecnológicas a través de LinkedIn, correo electrónico o plataformas de mensajería. Se hacen pasar por reclutadores y ofrecen puestos atractivos, salarios elevados o colaboraciones profesionales.
Durante el supuesto proceso de selección, envían al candidato una aplicación, un proyecto de programación o un documento que debe abrir para completar una prueba técnica. El archivo contiene malware.
Una vez ejecutado, los atacantes pueden robar credenciales, acceder al código fuente, comprometer monederos digitales o desplazarse por la red de la empresa.
Las autoridades estadounidenses denominan TraderTraitor a algunas de estas campañas, especialmente cuando se dirigen a trabajadores de compañías de blockchain y criptomonedas. (CISA)
Cuidado con los infiltrados
Una evolución de infiltrar un malware, es infiltrar a un norcoreano de carne y hueso. Sí, en este caso es un trabajador que supera un proceso de selección, va a trabajar, cumple sus horarios, y en bastantes casos, hasta gana el premio de empleado del mes.
El objetivo aquí suelen ser empresas tecnológicas y de ingeniería, en las cuales, el teletrabajo y la falta de contacto humano suelen ser la norma. Los infiltrados usan avatares de apariencia caucásica para no parecer tan coreanos, y tienen enlaces con domicilios en ciudades como San Francisco o Madrid donde dicen vivir pero que en realidad no viven.
Una vez dentro, aprenden, extraen propiedad industrial y actúan como células durmientes hasta que reciben la orden de ejecutar alguna acción.
Cómo puedes protegerte de Lazarus
Aunque pocas empresas se consideran un objetivo directo de Corea del Norte, al final dado que buscan dinero, cualquier empresa del mundo con un resultado positivo puede ser buena. Las técnicas empleadas por Lazarus son aplicables contra organizaciones de cualquier lugar y tamaño. Aquí van algunos consejos:
- Desconfía de los procesos de selección inesperados. Una oferta atractiva no convierte un archivo desconocido en seguro. Las pruebas técnicas deben ejecutarse en entornos aislados.
- Investiga un poco antes de contratar. No todo el mundo es quien dice ser.
- Protege las cuentas corporativas con MFA. Siempre que sea posible, utiliza llaves físicas, passkeys o mecanismos FIDO2 en lugar de códigos enviados por SMS.
- Aplica el principio de mínimo privilegio. Un desarrollador, proveedor o empleado comprometido no debería disponer de acceso ilimitado a repositorios, sistemas de producción o activos financieros.
- Monitoriza los endpoints y las identidades. Un EDR o XDR debe complementarse con vigilancia de inicios de sesión, accesos anómalos, ejecución de herramientas desconocidas y movimientos laterales.
- Controla las aplicaciones y el código externo. No permitas instalar libremente software ni ejecutar repositorios descargados de Internet en equipos corporativos.
- Limita el acceso a recursos corporativo desde equipos no gestionados. Si algún empleado tiene que trabajar desde casa, que se lleve su ordenador y que acceda desde la VPN corporativa. Los equipos caseros suelen ser un punto de caza habitual.
- Segmenta y protege los activos críticos. Los sistemas financieros, copias de seguridad, monederos digitales y entornos de producción deben permanecer separados y requerir controles adicionales.
Las amenazas avanzadas ya no son un problema exclusivo de gobiernos y grandes corporaciones.
En GrayHats ayudamos a las organizaciones a anticiparse, detectar y responder ante ciberataques antes de que afecten al negocio.
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | 2026-08-05
Habla con nuestro equipo y descubre cómo podemos reforzar la ciberseguridad de tu empresa.