DeFi Market
La estafa de la falsa entrevista de trabajo cripto usa un empleo inventado para meter un virus (malware) en tu computadora. Un "reclutador" en LinkedIn, X o Telegram te ofrece un puesto Web3 bien pagado, agenda una entrevista y luego te pide que descargues una app de videollamadas, que corras una prueba de programación desde GitHub o que pegues un comando para "arreglar" tu cámara. Ese archivo es todo el truco. Roba tus contraseñas, tus accesos del navegador y tus billeteras cripto. Un empleador real nunca necesita que instales programas desconocidos ni que corras el código de un extraño para entrevistarte.
¿Qué es la estafa de la falsa entrevista de trabajo cripto?
Es un envío de malware disfrazado de contratación. La empresa tiene sitio web, el reclutador tiene historial en LinkedIn y puede haber varias rondas de llamadas. Luego llega un pequeño paso técnico: instala nuestra app de reuniones, corre este repositorio o pega esta línea porque tu micrófono no funciona. Hazlo una vez y los atacantes ya están en tu computadora.
Los programadores son los más afectados, pero también usan como carnada trabajos de marketing y de comunidad, porque la gente que aplica muchas veces tiene cripto y guarda billeteras en su navegador.
La magnitud ya es oficial. El 18 de septiembre de 2026, la Agencia Nacional de Policía de Japón, el FBI y agencias de Australia y Alemania publicaron un aviso conjunto sobre un grupo norcoreano llamado WaterPlum (en inglés), conocido como "Contagious Interview". Dice que, más o menos de diciembre de 2025 a julio de 2026, el grupo atacó al menos 30,000 computadoras en más de 100 países y sacó fondos o datos de acceso de más de 7,000 billeteras cripto, y movió al menos 1,700 millones de yenes (unos 10.71 millones de dólares) en cripto hacia Corea del Norte.
Un solo caso puede costar más que eso. La policía de Singapur y su Agencia de Ciberseguridad publicaron un aviso conjunto el 14 de agosto de 2026 (en inglés) sobre un falso reclutador en LinkedIn que usó un dominio de correo parecido al real, varias entrevistas por video y una prueba de programación con trampa en una laptop de la empresa. El malware les dio a los atacantes accesos internos de la empresa, y con ellos movieron unos 11.8 millones de dólares (unos 15 millones de dólares de Singapur) en cripto.
¿Quién está detrás de las falsas entrevistas de trabajo cripto?
Más de una banda, y por eso los detalles siguen cambiando.
Grupos ligados a Corea del Norte. El FBI advirtió en un anuncio de servicio público de septiembre de 2024 (en inglés) que actores norcoreanos hacían campañas de engaño "muy personalizadas y difíciles de detectar" contra personas de DeFi y cripto, muchas veces basadas en ofertas de empleo. Dijo que investigan a sus objetivos en redes profesionales, hablan inglés con fluidez o casi, y pueden pasar mucho tiempo ganándose la confianza antes de que llegue el malware. El aviso de 2026 dice que WaterPlum muchas veces se hace pasar por empresas reales de IA, cripto y NFT. El equipo de seguridad de Microsoft (en inglés) dijo en marzo de 2026 que la operación Contagious Interview está activa desde al menos diciembre de 2022.
Bandas criminales comunes. No todas las entrevistas falsas llevan a Pyongyang. A principios de 2025, BleepingComputer informó (en inglés) sobre una falsa empresa Web3, "ChainSeeker.io", que publicaba empleos en LinkedIn, WellFound y CryptoJobsList, y luego les decía a los aspirantes que instalaran una app de reuniones llamada GrassCall. Instalaba programas que roban contraseñas y billeteras en Windows y Mac, y las víctimas reportaron billeteras vaciadas. Los investigadores lo ligaron a un grupo de habla rusa llamado Crazy Evil. Sea quien sea el que está del otro lado, el método y la defensa son los mismos.
Las tres peticiones de "entrevista" que instalan malware
1. "Descarga nuestra app de videollamadas." El reclutador te manda un enlace a una página de descarga muy bonita para el software de reuniones "propio" de la empresa. Ese es el patrón de GrassCall. El FBI menciona como señal de engaño norcoreano la "insistencia en usar software no estándar o personalizado para tareas simples que se pueden hacer fácilmente con aplicaciones comunes", como las videollamadas.
2. "Clona este repositorio y córrelo." La versión para programadores: una prueba para hacer en casa o un error que arreglar, alojado en GitHub, GitLab o Bitbucket. El aviso sobre WaterPlum dice que el grupo esconde malware en paquetes de Node.js (npm), y una familia de malware usa proyectos con tema de blockchain cuya configuración oculta de Visual Studio Code corre código en el momento en que abres la carpeta y haces clic en "confiar". Ni siquiera tienes que darle a correr.
3. "Tu cámara no funciona. Pega esto para arreglarla." La empresa de seguridad Sekoia la llamó "ClickFake Interview" (en inglés) en 2025. Te mandan a un sitio de entrevistas que parece real para grabar tus respuestas. En el paso de la cámara aparece un error con un botón de "cómo arreglarlo" que te dice que copies un comando en tu Terminal o en PowerShell, muchas veces disfrazado de actualización de drivers. Esa línea descarga el malware. Esta versión atrapa a gente que no programa, porque las instrucciones son tan sencillas que cualquiera las puede seguir.
⚠ Señal de alerta
Cualquier instrucción de pegar texto en la Terminal, el Símbolo del sistema o PowerShell durante un proceso de contratación es un ataque. El aviso sobre WaterPlum pide tener especial cuidado con comandos que contengan cosas como "curl", "base64", "-enc", "mshta" o "hidden". No necesitas saber qué significan. Ningún problema de entrevista, cámara, driver o "caché del navegador" se arregla nunca con un comando de un reclutador.
Reclutador real vs. reclutador falso: las señales de alerta
Juzga lo que te piden, no el perfil. El FBI dice que estos actores usan fotos robadas de las redes sociales de personas reales, y el aviso de 2026 dice que miembros de WaterPlum han usado IA para cambiar su cara en entrevistas por video, y luego apagan la cámara y culpan a la conexión.
| Lo que pasa | Contratación real | Falsa entrevista cripto |
|---|---|---|
| Primer contacto | Por la página de empleos de la empresa, una bolsa de trabajo o un reclutador con correo de la empresa | Un mensaje directo inesperado en LinkedIn, X, Telegram o Discord, muchas veces por un trabajo al que nunca aplicaste |
| Sueldo | Acorde al mercado, negociado | Inusualmente alto, ofrecido sin negociar (una señal según el FBI) |
| Dónde se habla | Correo con el dominio de la empresa, una videollamada normal | Te pasan rápido a Telegram, WhatsApp u otra app |
| Programa de videollamadas | Herramientas comunes que ya usas, o en el navegador | "Nuestra propia app", enviada como enlace de descarga |
| Prueba técnica | En una plataforma de pruebas, o código compartido que puedes leer primero | Un repositorio que tienes que correr en tu propia computadora, a veces con prisa |
| Problemas de cámara o audio | Se cambia la cita o se pasa a una llamada telefónica | "Pega este comando para arreglarlo" |
| El entrevistador | Con la cámara prendida, puede responder preguntas sobre la empresa | Apaga la cámara a los pocos minutos, es vago sobre el equipo, la oficina o el producto |
Hábitos más seguros para entrevistas de trabajo cripto
Sirven tanto si programas como si nunca has abierto una terminal.
- Verifica tú la empresa. Busca tú mismo el sitio web de la empresa, no con el enlace del reclutador, y revisa que el puesto esté en su página de empleos. La FTC señala que los reclutadores reales normalmente escriben desde el dominio de su empresa (en inglés), no desde una dirección de Gmail o Yahoo. Existen dominios parecidos, así que lee la dirección letra por letra. Nuestra guía cómo saber si una criptomoneda es una estafa tiene revisiones más amplias.
- Confirma a la persona por un segundo canal. El FBI sugiere verificar un contacto en otra plataforma. Si te encontraron en LinkedIn, pide una llamada en vivo desde su correo de la empresa, o llama al número principal de la empresa y pregunta por esa persona por su nombre.
- No instales nada. Di: "Me conecto por la plataforma que ya uso, o desde el navegador." Un reclutador real dice que está bien. Uno falso encuentra una razón por la que tiene que ser su app.
- Nunca pegues comandos por un problema de cámara o audio. Si algo falla, ofrece cambiar la cita o pasar a una llamada telefónica.
- Programadores: no corran nada en su computadora real. El FBI dice que insistas en una máquina virtual o en un equipo que te dé quien hace la prueba. Abre los proyectos desconocidos en el Modo restringido de VS Code (responde "No" cuando te pregunte si confías en el autor), y lee primero cualquier archivo
.vscode/tasks.json. - No tengas tu cripto en la computadora con la que buscas trabajo. El FBI aconseja no guardar frases semilla, claves privadas ni accesos de billeteras en equipos conectados a internet. Una billetera física para tus ahorros y otro equipo para las entrevistas les quitan casi todo el premio. Nuestra guía billetera caliente vs. billetera fría (en inglés) explica cómo separarlas.
¿Te llegó un mensaje de un reclutador y tienes dudas? Pásalo por nuestro test "¿es una estafa?" (en inglés), o mira todas las guías en la sección de estafas.
¿Prefieres verlo? La falsa entrevista de trabajo cripto, en menos de un minuto (video en inglés).
Abrí el archivo de una entrevista falsa: qué hacer primero
Da por hecho que todo lo que hay en esa computadora ya fue copiado. El aviso dice que aunque se quite el malware, los datos de tu billetera pueden ya no estar a salvo. Hazlo en este orden.
- Desconecta la computadora de internet. Quita el cable y apaga el Wi-Fi. Tanto el FBI como el aviso ponen esto primero. El FBI también sugiere dejar la computadora encendida si piensas denunciar, para no perder evidencia.
- Mueve tu cripto desde otro equipo limpio. Crea una billetera totalmente nueva con una frase de recuperación nueva en otro teléfono o computadora, escribe la frase en papel y pasa todo ahí, lo de más valor primero. No escribas la frase vieja en ningún lado.
- Cambia tus contraseñas desde el equipo limpio. Primero el correo, luego los exchanges, el banco, el gestor de contraseñas y las cuentas del trabajo. Cierra todas las sesiones, porque las cookies robadas del navegador pueden mantener a los atacantes conectados. Si aprobaste gastos de tokens desde esa billetera del navegador, revisa y revoca tus aprobaciones de tokens (en inglés) también.
- Borra la computadora. Respalda solo los documentos que necesitas y luego reinstala por completo el sistema operativo. Puede quedar malware sin detectar, así que un escaneo de antivirus no basta.
- Avísale a tu empleador si era un equipo del trabajo o si tocó cuentas del trabajo. En el caso de Singapur, el daño llegó por los accesos de la empresa. Tu equipo de seguridad tiene que cambiar claves y revisar accesos hoy, no la próxima semana.
- Denúncialo. Guarda capturas de pantalla de la oferta, los perfiles, los chats, los dominios y los nombres de los archivos, además de cualquier ID de transacción. Presenta la denuncia en ic3.gov y en ReportFraud.ftc.gov, y reporta al falso reclutador en la plataforma donde estaba.
Después, cuidado con la segunda estafa. A la gente que publica que le vaciaron la billetera muchas veces la contactan "expertos en recuperación" que piden un pago. Nuestra guía sobre estafas de recuperación cripto (en inglés) muestra cómo funciona esa.
La opinión de Rob
Pasé 18 años en relaciones públicas, y esta estafa es una operación de relaciones públicas antes que un hackeo. La página de la empresa, el nombre del puesto, el segundo entrevistador tan amable, el sueldo generoso: todo existe para que una sola petición parezca de rutina. Tengo Bitcoin desde 2011, y mi regla para cualquiera que busque trabajo en cripto es corta. La computadora con la que te entrevistas no es la computadora donde vive tu cripto. Y en el momento en que un reclutador necesita que instales o corras algo, la entrevista se terminó.
¿Quieres las revisiones en una página? Recibe gratis nuestra revisión de una página Is This Site Legit? (en inglés) cuando te unes al Sunday Briefing.
Estafa de la falsa entrevista de trabajo cripto: preguntas frecuentes
¿De verdad una entrevista de trabajo puede instalar malware en mi computadora?
Solo si descargas, corres o pegas algo que te mandan. Entrar a una videollamada normal no te infecta. El peligro es el paso extra: una "app de reuniones", una prueba de código que corres o un comando para arreglar tu cámara.
¿Es una estafa si un reclutador me pide descargar una app para la entrevista?
Trátalo como tal. El FBI menciona como señal de alerta la insistencia en usar software personalizado para tareas simples como las videollamadas. Ofrece conectarte por una plataforma que ya usas o desde tu navegador, y vete si se niegan.
¿Debo correr una prueba de programación desde un repositorio de GitHub?
No en tu computadora de todos los días. El FBI dice que uses una máquina virtual o un equipo que te dé quien hace la prueba, y el aviso de 2026 advierte que algunos proyectos maliciosos corren código en cuanto confías en la carpeta en VS Code. Lee el código primero y abre los proyectos desconocidos en Modo restringido.
¿Qué es Contagious Interview?
Es el nombre común de la campaña de falsas entrevistas de trabajo de un grupo de hackers norcoreano, al que el FBI y la Agencia Nacional de Policía de Japón llaman WaterPlum. El grupo se hace pasar por empleadores, muchas veces empresas de IA, cripto o NFT, y logra que quienes buscan trabajo corran malware. Su aviso de septiembre de 2026 dice que infectó al menos 30,000 computadoras.
Abrí el archivo. ¿Basta con borrar mi computadora?
No. Da por hecho que tus contraseñas, tus sesiones del navegador y tus frases semilla fueron copiadas antes de que te dieras cuenta. Mueve tu cripto a una billetera nueva desde un equipo limpio y cambia tus contraseñas ahí primero, y luego borra la computadora.
¿Dónde denuncio una falsa entrevista de trabajo cripto?
Presenta una queja ante el FBI en ic3.gov y ante la FTC en ReportFraud.ftc.gov. Reporta el perfil del reclutador y la oferta de trabajo en el sitio donde los encontraste. Si se usó un equipo del trabajo, avísale al equipo de seguridad de tu empleador el mismo día.