Actores norcoreanos (Jade Sleet, Onyx Sleet, Sapphire Sleet y otros 5 grupos) usan IA generativa y el framework agentic ARTEX para phishing masivo, desarrollo de malware y perfiles falsos

7 grupos en fase operacional o aceleración · objetivos: TI, cripto, educación y administraciones · reforzar filtros antiphishing, EDR en modo bloqueo, MFA y verificación de identidad en contrataciones · 29 oct 2026

// a quién afectaEmpresas de tecnología, sector cripto, educación y organismos públicos que puedan ser objetivo de espionaje, robo de credenciales o infiltración mediante trabajadores o proveedores falsos.

No hemos podido consultar la fuente original completa: este análisis se basa solo en el titular y evita dar detalles que no estén confirmados.

01Qué ha pasado

Microsoft ha documentado cómo siete grupos de actores de amenaza vinculados a Corea del Norte, entre ellos Jade Sleet, Onyx Sleet y Sapphire Sleet, están incorporando inteligencia artificial generativa y el framework de agentes autónomos ARTEX a sus operaciones. Las capacidades más preocupantes son campañas de phishing a gran escala, desarrollo acelerado de software malicioso y la creación de perfiles profesionales falsos para infiltrarse en empresas. Los siete grupos se encuentran ya en fase operacional o de aceleración activa, lo que significa que la amenaza es actual y no futura.

02Información crítica para el sector

Siete grupos norcoreanos ya usan IA generativa y el framework de agentes autónomos ARTEX en operaciones reales, no en fase de prueba.
El phishing generado por IA es más personalizado y supera con mayor frecuencia los filtros de correo tradicionales.
Los grupos crean perfiles laborales falsos para infiltrarse en empresas de TI, cripto y educación, con riesgo de acceso a sistemas críticos desde dentro.
Los sectores objetivo son tecnología, criptomonedas, educación y administraciones públicas.
El informe recomienda EDR (detección y respuesta en el puesto de trabajo) en modo bloqueo activo, autenticación multifactor y verificación de identidad reforzada en contrataciones.

03Qué hacer ahora

01
Reforzar los filtros antiphishing en el correo corporativo
Activa o revisa las reglas avanzadas de antiphishing en Microsoft 365 o Google Workspace. Los mensajes de remitentes desconocidos que imiten a proveedores o recruiter deben marcarse automáticamente o ir a cuarentena.
02
Activar el EDR (detección y respuesta en el puesto de trabajo) en modo bloqueo
Si ya tienes un software de seguridad en los equipos (como Microsoft Defender, CrowdStrike u otro), comprueba que está configurado en modo bloqueo, no solo en modo alerta. El modo alerta registra pero no detiene; el modo bloqueo sí.
03
Activar la autenticación multifactor (MFA) en todos los accesos críticos
Correo corporativo, VPN, servicios en la nube (Microsoft 365, Google Workspace) y cualquier panel de administración deben requerir un segundo factor de verificación además de la contraseña.
04
Revisar los procesos de verificación de identidad en contrataciones
Especialmente en contratos de trabajo remoto, freelance o acceso a sistemas: verifica la identidad por videollamada, contrasta referencias y limita el acceso inicial hasta confirmar la identidad real del contratado.
05
Auditar los accesos de proveedores y contratistas externos
Revisa qué cuentas de terceros tienen acceso a vuestros sistemas y aplica el principio de mínimo privilegio: solo el acceso imprescindible para su trabajo, revocado cuando termina la relación.

// fuentes: www.microsoft.com

04¿Qué podemos hacer?

// si ya te ha pasado

Aislar de la red el equipo comprometido y cambiar inmediatamente las credenciales de todos los accesos a los que ese equipo tenía acceso.
Revisar los registros de acceso de los últimos 30 días para detectar movimientos inusuales o accesos desde ubicaciones no habituales.
Notificar al responsable de seguridad o a IT Improve para realizar un análisis forense antes de restaurar el equipo.

// antes de que ocurra

Implantar MFA en correo, VPN y servicios en la nube antes de que llegue un ataque: es la medida con mejor relación coste-eficacia.
Formar a la plantilla para reconocer correos de phishing sofisticado, especialmente los que parecen provenir de compañeros, clientes o reclutadores.
Establecer un protocolo de verificación de identidad para cualquier persona nueva que solicite acceso a sistemas internos, incluso si parece legítima.
Mantener el software de seguridad de los puestos de trabajo actualizado y en modo bloqueo activo.