Amazon bloqueó con IA a 1.800 solicitantes norcoreanos
Amazon ha impedido que más de 1.800 presuntos solicitantes de empleo norcoreanos entren a la empresa desde abril de 2024, según escribió su director de seguridad, Stephen Schmidt, en una publicación de LinkedIn el 18 de diciembre de 2025. Schmidt explicó que esas solicitudes subieron un 27% trimestre contra trimestre este año y que un modelo de inteligencia artificial revisa los perfiles antes de que las personas los verifiquen. Para cualquier empresa que contrata ingenieros remotos, el caso muestra qué señales delatan a los candidatos falsos y dónde todavía falla el filtro.
Por qué los informáticos norcoreanos buscan empleos remotos en Estados Unidos
El problema que enfrentó Amazon es un esquema de fraude dirigido a la contratación remota. El director de seguridad, Stephen Schmidt, escribió que desde hace años ciudadanos norcoreanos intentan conseguir empleos remotos de TI en empresas de todo el mundo, sobre todo en Estados Unidos.
«Su objetivo suele ser sencillo: que los contraten, cobrar y desviar los salarios para financiar los programas de armas del régimen». Stephen Schmidt, director de seguridad de Amazon, en LinkedIn
El costo no se limita a los salarios. The Register informa que la mayoría de las empresas de Fortune 500 han caído en la estafa, que ha costado decenas de millones de dólares a empresas estadounidenses, y que algunos estafadores usan su acceso interno para robar código fuente y luego extorsionar a sus empleadores. Tom's Hardware señala que CrowdStrike investigó más de 320 incidentes el año pasado y que más de 240 empresas han sido víctimas del esquema relacionado de granjas de laptops.
Cómo filtra Amazon a los candidatos con IA y con personas
La respuesta de Amazon es una revisión en dos pasos: un modelo marca las solicitudes sospechosas y las personas las confirman. «Nuestras detecciones combinan un filtro con IA y verificación humana», escribió Schmidt.
El modelo busca tres tipos de señal. En palabras de Schmidt, «analiza vínculos con casi 200 instituciones de alto riesgo, anomalías entre solicitudes e inconsistencias geográficas». Luego, el lado humano verifica identidades con revisiones de antecedentes, verificación de credenciales y entrevistas estructuradas. La IA reduce la lista; una persona toma la decisión.
Qué señales busca el filtro en el día a día
Las señales del día a día son detalles pequeños que se suman. Schmidt escribió que escribir los números de teléfono de Estados Unidos con «+1» en lugar de «1», o mencionar títulos de escuelas que no ofrecen esas carreras, pueden ser pistas fuertes cuando se combinan con otros indicadores. Tom's Hardware añade fechas de inscripción que no coinciden con los calendarios académicos.
Después de la contratación, también cuenta el comportamiento en el trabajo. Schmidt le dijo a Bloomberg que el retraso en las pulsaciones de teclado es una señal, porque un trabajador que teclea desde el extranjero a través de una computadora en Estados Unidos muestra un retraso medible.
Qué ha detectado el filtro desde abril de 2024
El resultado medido es el número de solicitantes bloqueados. Amazon dice que desde abril de 2024 ha impedido que más de 1.800 presuntos solicitantes norcoreanos entren a su plantilla, y que este año detectó un 27% más de solicitudes vinculadas a Corea del Norte trimestre contra trimestre.
El filtro no es perfecto, y Amazon lo reconoce. IT Pro, citando a Bloomberg, informa que un impostor, un falso contratista de desarrollo de sistemas, sí logró pasar. Los equipos de seguridad lo descubrieron por el retraso de su teclado: un trabajador remoto en Estados Unidos suele registrar las pulsaciones en pocos milisegundos, mientras que el retraso de este trabajador superaba los 110 milisegundos.
Cómo está cambiando el esquema
Schmidt describe un esquema que se adapta a medida que las empresas lo detectan. Ahora los operativos se apropian de la identidad de ingenieros de software reales, a menudo secuestrando cuentas inactivas de LinkedIn con credenciales robadas, y Amazon ha encontrado redes en las que la gente entrega sus cuentas a cambio de dinero.
También trabajan con facilitadores en Estados Unidos que operan granjas de laptops: la laptop de la empresa se queda en una dirección estadounidense mientras el trabajador se conecta a ella desde el extranjero. Schmidt advirtió que los grupos apuntan cada vez más a puestos de IA y aprendizaje automático. The Register, citando a Okta, añade que los estafadores hacen entrevistas en empresas de finanzas, salud, administración pública y servicios profesionales, no solo de TI.
Qué cambia para las empresas que contratan ingenieros remotos
Para cualquier empresa que contrata a distancia, la tarea que resuelve el sistema de Amazon es filtrar a los candidatos fraudulentos antes de que lleguen a la nómina y a los sistemas internos. No hace falta la escala de Amazon para copiar parte del enfoque. Los consejos de Schmidt a otras empresas fueron concretos.
- Consultar las bases de datos de contratación en busca de indicadores comunes: patrones en currículums, correos, números de teléfono y formación académica.
- Verificar la identidad en más de una etapa de la contratación, no solo en la oferta.
- Vigilar accesos remotos inusuales y hardware no autorizado después de que empiece una nueva contratación.
- Reportar a presuntos informáticos de Corea del Norte al FBI o a las autoridades locales.
Amazon no dio cifras sobre lo que cuesta el programa ni sobre cuántas horas de reclutamiento ahorra.
Preguntas y respuestas
¿A cuántos solicitantes norcoreanos ha bloqueado Amazon?
Amazon dice que ha bloqueado a más de 1.800 presuntos solicitantes norcoreanos desde abril de 2024. Schmidt también dijo que las solicitudes vinculadas a Corea del Norte subieron un 27% trimestre contra trimestre este año.
¿Cómo detecta Amazon a los candidatos falsos?
Un modelo de IA revisa las solicitudes en busca de vínculos con casi 200 instituciones de alto riesgo, anomalías entre solicitudes e inconsistencias geográficas. Luego, las personas confirman identidades con revisiones de antecedentes, de credenciales y entrevistas estructuradas.
¿Algún falso trabajador norcoreano logró que lo contrataran en Amazon?
Sí. Un falso contratista pasó el filtro y fue descubierto cuando los equipos de seguridad notaron un retraso en el teclado de más de 110 milisegundos, muy por encima de los pocos milisegundos típicos de un trabajador remoto en Estados Unidos.
La visión de MOZGII
Cómo lo construiríamos
Un filtro como el de Amazon funciona porque divide el trabajo en dos. El modelo lee cada solicitud y señala las pocas que se ven mal; una persona decide qué pasa después. Mantendríamos esa división. Los datos que necesita el modelo ya están en un sistema de contratación: currículums, dominios de correo, formatos de teléfono, escuelas y fechas, y el historial de solicitudes anteriores. La segunda fuente es lo que pasa después de que alguien empieza a trabajar, como desde dónde se conecta una laptop y a qué velocidad llegan las pulsaciones de teclado.
Lo construiríamos como un paso de puntuación dentro del sistema de seguimiento de candidatos, con cada alerta mostrando sus motivos en palabras sencillas, para que un reclutador pueda ver por qué se detuvo a un candidato. El personal de seguridad, no el modelo, confirmaría la identidad con una entrevista en vivo y una revisión de documentos. Cada decisión quedaría registrada, porque rechazar a un candidato real es un problema de equidad y legal, no solo una contratación perdida.
Fallaría en dos puntos. Los atacantes aprenden las señales y las cambian, así que una lista fija de reglas caduca en meses. Y un modelo que se apoya en la geografía puede castigar a solicitantes honestos que viajan o usan una VPN. La métrica que vigilaríamos sería la proporción de solicitantes marcados que la revisión humana confirma como fraude: si cae, el modelo está marcando a las personas equivocadas.
Después, conectaríamos las revisiones de contratación con el monitoreo de dispositivos en las primeras semanas de trabajo, ya que el único caso que se le escapó a Amazon se detectó por el retraso al teclear, no por el filtro.
Fuentes
De dónde salen los datos de esta nota.
- 01Over 1,800 North Korean applicants flood Amazon — suspected illicit applicants blocked by the company since April 2024 | Tom's HardwareTom's Hardwaretomshardware.com
- 02Amazon blocked 1,800 suspected DPRK job applicantstheregister.com
- 03Amazon CSO Stephen Schmidt says the company has rejected more than 1,800 fake North Korean job applicants in 18 months – but one managed to slip through the net | IT ProChannel ProITProITProitpro.com