La empresa española de ciberseguridad cuántica IdenQ asegura haber frustrado un intento de ciberataque que comenzó con una aparente propuesta de inversión y terminó en una videollamada con tres supuestos inversores que, según la compañía, utilizaron avatares generados mediante inteligencia artificial.
La operación no llegó a comprometer ningún sistema, repositorio de código ni activo tecnológico de la empresa. El intento se detuvo cuando los interlocutores solicitaron la ejecución de una aplicación para solucionar un supuesto problema de audio durante la reunión.
IdenQ rechazó la petición porque sus procedimientos internos impiden instalar o ejecutar software no verificado durante encuentros con terceros. Esa medida evitó que el ataque alcanzara su fase de ejecución.
Finalmente tras analizar el incidente, la compañía encontró indicadores técnicos compatibles con infraestructuras utilizadas en campañas atribuidas a BlueNoroff, un grupo de amenazas persistentes avanzadas relacionado por distintos organismos de ciberseguridad con Corea del Norte. No obstante, esta relación se basa en las conclusiones del análisis interno realizado por IdenQ a expensas de una atribución definitiva del ataque.
Una propuesta de inversión aparentemente legítima
El contacto inicial procedió de una supuesta firma de inversión especializada en el sector Web3 denominada BitVertex Capital.
Sus representantes aseguraban estar interesados en conocer la tecnología biométrica desarrollada por IdenQ. Para organizar la reunión utilizaron herramientas habituales dentro del entorno empresarial, como una invitación de Calendly, e incluyeron referencias concretas a los productos y a la actividad de la compañía.
El nivel de personalización sugiere que los atacantes habían investigado previamente a la empresa y preparado el acercamiento con antelación.
BitVertex Capital contaba, además, con una identidad corporativa diseñada para resultar convincente. Disponía de una página web completa, perfiles profesionales de sus supuestos responsables, información sobre inversiones anteriores y referencias a una actividad internacional.
No se trataba, por tanto, de un correo de phishing improvisado o de una página creada de forma descuidada. Los responsables de la operación habían construido una empresa aparentemente funcional con el objetivo de reducir las sospechas de la víctima antes de solicitar cualquier acción en sus equipos.
Tres supuestos inversores en una videollamada
Durante la reunión aparecieron tres representantes de la falsa firma de inversión. Según el análisis de IdenQ, los atacantes utilizaban avatares creados mediante inteligencia artificial y sincronizados con movimientos corporales reales.
La apariencia de los participantes resultó lo suficientemente convincente como para que el engaño no fuera detectado a simple vista durante la conversación.
La utilización de rostros sintéticos añadía una capa más de credibilidad a la operación. Los atacantes no dependían únicamente de correos, documentos o perfiles falsos, sino que podían mantener una reunión aparentemente normal y responder en tiempo real a las preguntas de sus interlocutores.
El intento de intrusión se produjo cuando apareció un supuesto fallo en el audio de la videollamada. Los falsos inversores solicitaron entonces que los empleados de IdenQ ejecutaran una aplicación para corregir el problema.
La petición fue rechazada. Los protocolos internos de la empresa prohíben instalar o ejecutar software enviado durante una reunión con terceros sin haber pasado previamente por un proceso de verificación.
Como consecuencia, ningún archivo llegó a ejecutarse y la operación se detuvo antes de que pudiera instalarse contenido malicioso o establecerse una conexión con los sistemas internos.
El análisis posterior reveló varias inconsistencias
Una vez finalizada la reunión, el equipo de ciberseguridad de IdenQ comenzó a revisar la identidad de BitVertex Capital y la infraestructura utilizada durante el contacto.
El análisis encontró varias señales que no encajaban con la imagen proyectada por el supuesto fondo de inversión.
La página afirmaba que la compañía operaba desde 2018 y gestionaba cientos de millones de dólares. Sin embargo, el dominio había sido registrado apenas ocho semanas antes del incidente.
Parte de las empresas incluidas en su supuesto historial de inversiones enlazaban además a páginas inactivas, dominios aparcados o direcciones que se encontraban a la venta.
IdenQ también detectó relaciones técnicas entre la página del falso fondo y la infraestructura utilizada para organizar la videollamada. Según la compañía, algunos de estos elementos coincidían con patrones identificados previamente en campañas relacionadas con BlueNoroff.
El análisis permitió localizar además otro dominio vinculado a la operación que, de acuerdo con IdenQ, todavía no había sido catalogado públicamente.
La empresa trasladó los indicadores recopilados a INCIBE-CERT para que pudieran ser analizados y compartidos con otros equipos de respuesta ante incidentes.
La posible relación con BlueNoroff y Corea del Norte
BlueNoroff es el nombre utilizado para identificar una serie de operaciones dirigidas principalmente contra organizaciones financieras, empresas tecnológicas y compañías relacionadas con las criptomonedas y el ecosistema Web3.
Diferentes organismos y empresas de ciberseguridad han vinculado sus actividades con el entorno de Lazarus, una agrupación asociada habitualmente con Corea del Norte.
Sin embargo, atribuir un ciberataque a un actor concreto requiere algo más que encontrar procedimientos o infraestructuras parecidas. Las técnicas pueden ser copiadas, las herramientas reutilizadas y los servidores compartidos o comprometidos por otros grupos.
Por ese motivo, el caso debe describirse con cautela. IdenQ ha encontrado indicadores compatibles con infraestructura atribuida a BlueNoroff, pero las evidencias publicadas hasta el momento no permiten afirmar de manera concluyente que el ataque fuera ejecutado directamente por el grupo ni por el Estado norcoreano.
Los procesos internos evitaron el compromiso
El incidente refleja cómo están evolucionando las campañas de ingeniería social dirigidas contra empresas tecnológicas.
Una página profesional, perfiles aparentemente reales y una reunión mediante videollamada ya no garantizan que la organización situada al otro lado exista. La inteligencia artificial permite fabricar identidades visuales creíbles y utilizarlas dentro de una operación preparada durante semanas.
En este caso, la defensa no dependió de que los empleados reconocieran los avatares o identificaran visualmente el engaño.
La operación se detuvo porque la empresa mantenía una norma que impedía ejecutar software no verificado, incluso cuando la petición parecía proceder de un posible socio o inversor.
«La principal lección de este incidente es que la seguridad ya no depende únicamente de identificar comportamientos sospechosos, sino de contar con procesos sólidos que impidan ejecutar acciones críticas incluso cuando el ataque resulta convincente», señala IdenQ en su comunicación sobre el caso.
La compañía considera que compartir la experiencia puede ayudar a otras organizaciones de sectores como la identidad digital, la criptografía o la ciberseguridad, especialmente expuestas a campañas que combinan investigación previa, identidades falsas e inteligencia artificial.
El ataque no tuvo consecuencias para IdenQ, pero muestra que una videollamada aparentemente rutinaria puede formar parte de una operación mucho más amplia. La intrusión no comenzaba con el primer correo ni con la aparición de los falsos inversores en pantalla, sino en el momento en que alguien aceptaba ejecutar el supuesto programa necesario para arreglar el audio.
