De acuerdo con el equipo de inteligencia de amenazas de Sophos X-Ops, esta operación, identificada como “Nickel Alley”, emplea una táctica cada vez más sofisticada basada en el engaño: los atacantes se hacen pasar por reclutadores o compañías legítimas para atraer talento tecnológico y comprometer sus equipos.

LinkedIn, GitHub y npm: el ecosistema del engaño

La investigación revela que los ciberdelincuentes han construido un esquema coordinado que replica el entorno real de reclutamiento y desarrollo de software.

En ataques dirigidos, el grupo crea páginas de empresa falsas en LinkedIn para ganar credibilidad y contactar a posibles víctimas, mientras mantiene cuentas en GitHub desde donde distribuye repositorios con código malicioso.

Además, Sophos identificó el uso de la táctica conocida como “ClickFix”, mediante la cual los atacantes presentan supuestas pruebas técnicas o evaluaciones de habilidades laborales que, en realidad, sirven como vehículo para infectar los equipos de desarrolladores de software, programadores y profesionales de TI.

A esto se suman ataques oportunistas en el ecosistema de desarrollo, como:

Compromiso de repositorios legítimos de paquetes npm

Creación de paquetes falsos mediante typosquatting, que imitan nombres de librerías populares legítimas para engañar a los usuarios

Ofertas laborales: el nuevo gancho para ciberataques

Los atacantes contactan a desarrolladores a través de plataformas profesionales y los invitan a participar en procesos de selección. Como parte de estos, solicitan ejecutar código o descargar proyectos que contienen malware.

Una vez dentro, pueden:

Robar credenciales

Obtener acceso a billeteras digitales

Sustraer criptomonedas

Comprometer sistemas personales y corporativos

Los expertos de detección de amenazas de Sophos advierten que esta campaña refleja una tendencia creciente en ciberseguridad: ataques que no dependen de vulnerabilidades técnicas, sino de la manipulación de procesos legítimos.

Bajo la estrategia conocida como “fake it till you make it”, los atacantes construyen identidades creíbles, simulan procesos de reclutamiento reales e incluso interactúan con las víctimas durante semanas para generar confianza.

La investigación destaca que los desarrolladores son objetivos especialmente atractivos, ya que suelen:

Tener acceso a sistemas críticos

Manejar credenciales o contraseñas sensibles

Ejecutar código de terceros como parte de su trabajo

Operar con activos digitales o criptomonedas

Recomendaciones para evitar caer en la trampa

Ante este panorama, Sophos recomienda a profesionales y empresas en México:

Verificar la autenticidad de reclutadores y empresas

Evitar ejecutar código de repositorios desconocidos

Analizar pruebas técnicas en entornos aislados

Revisar cuidadosamente dependencias y paquetes npm

Implementar soluciones de ciberseguridad con capacidades de detección avanzada

A medida que crece el ecosistema tecnológico y el uso de criptomonedas, este tipo de ataques podría intensificarse en México y América Latina, afectando tanto a talento independiente como a empresas.

Consulta la investigación completa en: https://www.sophos.com/es-es/blog/nickel-alley-strategy-fake-it-til-you-make-it0

Redacción C21