Cómo contratar trabajadores de TI norcoreanos podría costarle a su empresa millones

Investigaciones recientes muestran que casi todas las empresas Fortune 500 han empleado sin saberlo al menos a un trabajador de TI norcoreano. Un solo esquema generó 17,1 millones de dólares en salarios que apoyaron el desarrollo de armas nucleares del régimen Kim. Como dijo Stu Sjouwerman, CEO de la empresa de ciberseguridad KnowBe4, tras descubrir que la empresa había contratado a un atacante norcoreano:

"Si nos puede pasar a nosotros, le puede pasar a casi cualquiera."

Comprender el riesgo

Las empresas a menudo encuentran este riesgo a través de contratistas externos o empleados remotos. En agosto de 2025, Estados Unidos, Japón y Corea del Sur emitieron un aviso conjunto advirtiendo a las organizaciones sobre los peligros potenciales de emplear trabajadores de TI norcoreanos. Los procesos de diligencia debida estándar han fallado repetidamente en detectar estas amenazas, y las empresas no pueden confiar en los esfuerzos de buena fe como defensa. Los reguladores federales y la OFAC responsabilizan estrictamente a las empresas incluso cuando la contratación fue involuntaria, y es poco probable que los delitos reiterados sean tratados con indulgencia.

Consecuencias financieras

Las penalidades por contratar trabajadores de TI norcoreanos pueden ser severas. La OFAC aplica multas estrictas, como lo ilustra el acuerdo de 629,89 millones de dólares de British American Tobacco. Más allá de las penalidades regulatorias, las empresas enfrentan costos potenciales por filtraciones de datos de clientes, remediación, ataques de ransomware y demandas civiles. Para industrias con datos sensibles, como la salud, la exposición financiera puede ser particularmente alta.

Para las empresas públicas de capitalización media, los riesgos financieros de contratar accidentalmente a un trabajador de TI norcoreano son reales pero frecuentemente mal entendidos. Los reguladores han dejado claro que incluso un trabajador sancionado, contratado a través de una empresa de personal o una plataforma de trabajo independiente, puede desencadenar exposición a sanciones, costos de brechas y riesgo de litigios, aunque los números son típicamente menores que en los escenarios catastróficos de las Fortune 500. Una estimación práctica y conservadora para un incidente único por primera vez en una empresa de capitalización media (aproximadamente 2 a 10 mil millones de dólares de capitalización de mercado) se sitúa en el rango de aproximadamente 20 a 70 millones de dólares en impacto total, asumiendo que la empresa coopera, se auto-denuncia y el incidente cibernético es moderado en lugar de catastrófico.

En este perfil de "infractor por primera vez", las penalidades por sanciones son significativas pero no existenciales. Los programas de Corea del Norte permiten a los reguladores solicitar grandes montos estatutarios, pero en la práctica aplican descuentos significativos cuando hay divulgación voluntaria, un programa de cumplimiento funcional (aunque imperfecto) y remediación rápida. Para los pagos de nómina o contrato de un solo trabajador de TI de la DPRK, una banda conservadora realista es de alrededor de 2 a 10 millones de dólares en penalidades por sanciones, más otros 3 a 8 millones de dólares en costos legales y de investigación para deshacer lo sucedido, responder a consultas y reforzar los controles. Eso significa que una empresa de capitalización media puede estar mirando fácilmente a decenas de millones de dólares en desembolso de efectivo relacionado con sanciones, incluso antes de considerar los daños cibernéticos, los litigios o el daño reputacional.

En el lado cibernético, las empresas de capitalización media se sitúan cerca del perfil global de "brecha promedio". Los datos recientes de IBM sitúan la brecha de datos típica alrededor de 4,88 millones de dólares, con organizaciones de tamaño de mercado medio viendo costos similares una vez incluidos la respuesta, remediación y pérdida de negocio. Para un incidente vinculado a la DPRK que se contiene en días en lugar de meses, puede modelar conservadoramente de 3 a 7 millones de dólares en respuesta directa a incidentes y correcciones tecnológicas, y otros 5 a 15 millones para la interrupción operativa y la pérdida de negocio a medida que los clientes pausan proyectos, renegocian contratos o exigen garantías adicionales. El ransomware agrega un riesgo adicional: la orientación gubernamental destaca que los trabajadores de TI de la DPRK pueden facilitar la extorsión o el robo de código, pero en un escenario conservador bien gestionado, esto podría agregar solo de 0 a 5 millones de dólares en intentos parciales de rescate y costos de reconstrucción.

Los ángulos de mercados de capital y litigios civiles son generalmente menores en dólares absolutos que para una mega empresa global, pero siguen siendo importantes. Si el incidente es material, una empresa de capitalización media puede enfrentar escrutinio de la SEC en torno a divulgaciones y controles, aunque los casos cooperativos por primera vez a menudo resultan en compromisos de gobernanza o penalidades modestas en lugar de multas de alto perfil; un marcador de posición razonable es de 0 a 10 millones aquí, y de 3 a 15 millones para cualquier demanda colectiva de valores si el precio de las acciones se mueve lo suficiente como para desencadenar litigios. Las reclamaciones de clientes, socios y privacidad posteriores tienden a ser más manejables, entre 3 y 10 millones de dólares en créditos de servicio y acuerdos pequeños, más de 1 a 5 millones en costos de privacidad impulsados por consumidores y reguladores, siempre que la exposición de datos sea limitada y la notificación se maneje adecuadamente.

Para un público de seguridad o cumplimiento, incluso si se ignora el riesgo de cola, el costo mediano de dejar pasar a un trabajador de TI de la DPRK por la detección básica equivale a un porcentaje significativo del beneficio anual. Eso hace que las modestas inversiones en verificación de identidad moderna, diligencia debida de proveedores y controles de contratación con conciencia de sanciones parezcan baratas en comparación.

Mitigación específica: Proveedores de detección avanzada

Una forma efectiva de reducir tanto la probabilidad de contratar a un trabajador de TI norcoreano como su exposición financiera es implementar tecnología de verificación de vanguardia para detectar a personas de alto riesgo, incluidas aquellas que operan a través de fachadas extranjeras o identidades falsificadas. El uso de tal solución demuestra a los reguladores que la empresa ha tomado medidas concretas y proactivas para prevenir estos riesgos, lo que puede ser un factor crítico si se produce una revisión de cumplimiento.

Conclusión

Emplear personal de TI de alto riesgo ya no es una preocupación hipotética. Incluso las empresas con prácticas maduras de seguridad y contratación pueden verse afectadas. Al incorporar tecnologías de detección avanzadas, las organizaciones pueden reducir directamente la probabilidad de contratar a un trabajador prohibido mientras señalan a los reguladores que están gestionando activamente el riesgo.