Lazarus Group —también denominado en español Grupo Lazarus— es el nombre utilizado públicamente para identificar un conjunto de operaciones de ciberespionaje, sabotaje y robo financiero patrocinadas por el Estado norcoreano. La base de conocimientos MITRE ATT&CK advierte que Lazarus Group funciona a menudo como un término paraguas que engloba a varios operadores y campañas de la República Popular Democrática de Corea, mientras que distintas agencias gubernamentales y empresas de ciberseguridad dividen esa actividad en clústeres parcialmente solapados.
Estados Unidos atribuye el grupo a la Oficina General de Reconocimiento (RGB), principal servicio de inteligencia de Corea del Norte. En septiembre de 2019, la Oficina de Control de Activos Extranjeros del Departamento del Tesoro estadounidense sancionó a Lazarus Group, Bluenoroff y Andariel como agencias, instrumentos o entidades controladas por el Gobierno norcoreano y vinculadas al RGB. La estructura interna exacta, la cadena de mando y la correspondencia entre los nombres empleados por cada proveedor no se conocen públicamente con certeza.
El ecosistema Lazarus está activo al menos desde 2009. Sus operaciones conocidas abarcan ataques destructivos contra Corea del Sur, el ataque contra Sony Pictures Entertainment de 2014, el robo al Banco de Bangladés de 2016, el brote mundial de WannaCry de 2017, campañas contra redes bancarias y cajeros automáticos, espionaje industrial y militar, ataques de cadena de suministro de software y grandes robos de criptoactivos. Entre estos últimos figuran el ataque al puente Ronin en 2022, el robo de 308 millones de dólares a DMM Bitcoin en 2024 y el robo de aproximadamente 1500 millones de dólares a Bybit en 2025.
Denominación, atribución y estructura
El nombre Lazarus Group fue popularizado por investigadores de seguridad que relacionaron varias campañas mediante similitudes de código, infraestructura, procedimientos y horarios de trabajo. Una coalición encabezada por Novetta publicó en 2016 el informe de la «Operación Blockbuster», que vinculó el ataque a Sony con operaciones anteriores como Operation Troy y DarkSeoul mediante el análisis de decenas de familias de programas maliciosos.
Las denominaciones no son equivalencias perfectas. Algunas designan grupos analíticos, otras campañas concretas y otras conjuntos de actividad observados por una empresa. Entre los nombres empleados para partes del ecosistema figuran HIDDEN COBRA, Labyrinth Chollima, Diamond Sleet, ZINC, APT38, Bluenoroff, BeagleBoyz, STARDUST CHOLLIMA, Andariel, APT45, Onyx Sleet, AppleJeus, TraderTraitor, Jade Sleet, UNC4736, UNC4899 y TEMP.Hermit. Por ello, las fuentes especializadas recomiendan no interpretar «Lazarus» como una organización monolítica con límites universalmente aceptados.
Ciberespionaje, sabotaje, operaciones destructivas y campañas financieras
Se usa habitualmente como término paraguas; su perímetro varía según la fuente.
Bluenoroff / APT38
BeagleBoyz, STARDUST CHOLLIMA, Sapphire Sleet
Robos bancarios, manipulación de entornos SWIFT, fraude en cajeros automáticos y ataques contra criptoactivos
El Tesoro estadounidense lo describe como un grupo creado para obtener ingresos ilícitos; MITRE lo trata como un grupo financiero estatal norcoreano activo desde al menos 2014.
Andariel
APT45, Onyx Sleet, Silent Chollima
Espionaje técnico y militar, ataques contra defensa, energía, salud e infraestructuras; uso de ransomware en algunas operaciones
Agencias de Estados Unidos, Reino Unido y Corea del Sur lo vinculan al Tercer Buró del RGB.
AppleJeus / TraderTraitor
Jade Sleet, UNC4899, Slow Pisces
Ingeniería social contra profesionales de cadenas de bloques y criptomonedas, aplicaciones de negociación troyanizadas, robo de credenciales y manipulación de transacciones
El FBI empleó el nombre TraderTraitor al atribuir los robos de DMM Bitcoin y Bybit.
Algunas fuentes estadounidenses sitúan a Lazarus bajo el Centro de Investigación 110 y el denominado Buró de Reconocimiento Técnico del RGB. Sin embargo, las asignaciones más detalladas entre departamentos, burós y clústeres proceden de atribuciones gubernamentales o modelos analíticos externos, no de documentación organizativa pública de Corea del Norte. No existe evidencia pública suficiente para identificar de manera inequívoca a todo Lazarus Group con una supuesta «Oficina de enlace 414», ni para atribuirle una sede concreta o un número conocido de integrantes.
Historia y operaciones
Operaciones tempranas contra Corea del Sur
La actividad asociada retrospectivamente con Lazarus se remonta al menos a 2009. Operation Troy agrupó campañas dirigidas principalmente contra instituciones gubernamentales, medios de comunicación, empresas financieras y otras organizaciones surcoreanas. Entre los incidentes relacionados se encuentran los ataques distribuidos de denegación de servicio de julio de 2009 y la campaña de marzo de 2011 conocida como Ten Days of Rain.
El 20 de marzo de 2013, el incidente conocido como DarkSeoul interrumpió varias cadenas de televisión y entidades financieras surcoreanas. El ataque utilizó programas destructivos que sobrescribieron el registro de arranque y dañaron sistemas, además de componentes destinados a propagarse y ejecutar el borrado de forma coordinada. La conexión de estas campañas con Lazarus se consolidó posteriormente mediante los análisis de la Operación Blockbuster y otros estudios técnicos.
Ataque a Sony Pictures Entertainment
El 24 de noviembre de 2014, empleados de Sony Pictures Entertainment encontraron sus equipos bloqueados por una imagen firmada por un grupo que se hacía llamar Guardians of Peace. Los atacantes habían sustraído correos electrónicos, documentos internos, información personal y copias de películas, y desplegaron un programa destructivo que inutilizó numerosos sistemas. El incidente estuvo acompañado por la publicación progresiva de datos robados y amenazas relacionadas con el estreno de la película The Interview.
El FBI atribuyó públicamente el ataque al Gobierno norcoreano el 19 de diciembre de 2014. La agencia citó similitudes de código, algoritmos de cifrado, métodos de borrado e infraestructura con programas maliciosos previamente vinculados a Corea del Norte, así como conexiones con direcciones de Internet empleadas en otras operaciones. En 2018, el Departamento de Justicia acusó al programador norcoreano Park Jin Hyok de participar en el ataque, además de en el robo al Banco de Bangladés y en WannaCry.
Robos bancarios y Banco de Bangladés
Desde mediados de la década de 2010, las operaciones financieras adquirieron un peso central. Programas maliciosos relacionados con Lazarus fueron asociados con intentos de fraude contra bancos de varios países, entre ellos Ecuador, Vietnam, Filipinas, Polonia, México y Taiwán. El clúster denominado Bluenoroff o APT38 se especializó en comprometer redes bancarias, estudiar durante meses los procedimientos internos de las víctimas y manipular sistemas conectados a SWIFT para ordenar transferencias fraudulentas y ocultar las pruebas.
En febrero de 2016, los atacantes comprometieron el Banco de Bangladés y enviaron desde su cuenta en el Banco de la Reserva Federal de Nueva York más de treinta órdenes fraudulentas por un total cercano a 1000 millones de dólares. La mayoría fueron bloqueadas, pero aproximadamente 81 millones se transfirieron a cuentas en Filipinas y posteriormente fueron objeto de blanqueo. El ataque se convirtió en uno de los ejemplos más destacados de robo bancario mediante el compromiso de la infraestructura SWIFT.
Entre otras operaciones financieras se atribuyeron a APT38 intentos contra Tien Phong Bank en Vietnam y Banco del Austro en Ecuador, el robo al Far Eastern International Bank de Taiwán y campañas de retirada simultánea de efectivo en cajeros automáticos conocidas como FASTCash o BeagleBoyz.
WannaCry
El 12 de mayo de 2017 comenzó la propagación mundial de WannaCry, un ransomware con capacidades de gusano que explotaba una vulnerabilidad del protocolo SMB mediante la herramienta conocida como EternalBlue. El brote afectó a alrededor de 300000 equipos en unos 150 países y causó interrupciones graves en organizaciones como el Servicio Nacional de Salud británico, empresas de telecomunicaciones, fabricantes y organismos públicos.
Investigadores de varias empresas identificaron similitudes entre una versión temprana de WannaCry y herramientas usadas anteriormente por Lazarus. Estados Unidos y el Reino Unido atribuyeron posteriormente el ataque a Corea del Norte, y las acusaciones penales estadounidenses de 2018 y 2021 incluyeron WannaCry entre las operaciones realizadas por miembros del RGB. Aunque el programa exigía un rescate, su diseño deficiente para identificar y recuperar los pagos, junto con su propagación indiscriminada, hizo que también tuviera un efecto destructivo y disruptivo a gran escala.
Expansión hacia las criptomonedas
El interés del ecosistema Lazarus por las criptomonedas se hizo visible durante la segunda mitad de la década de 2010. Las campañas incluyeron ataques de spear phishing contra empleados de casas de cambio, explotación de programas de uso habitual en Corea del Sur y aplicaciones de negociación troyanizadas distribuidas bajo marcas ficticias. CISA denominó AppleJeus a varias familias de aplicaciones maliciosas para Windows y macOS que simulaban ser herramientas legítimas de compraventa de criptoactivos.
La campaña denominada TraderTraitor se dirigió a compañías de cadenas de bloques y criptomonedas mediante ofertas laborales falsas, conversaciones prolongadas en redes profesionales y aplicaciones o proyectos de programación manipulados. Una vez comprometido un empleado, los operadores intentaban obtener acceso a claves, sesiones, sistemas de firma y procesos de transferencia de activos.
En marzo de 2022 se sustrajeron criptomonedas valoradas en aproximadamente 620 millones de dólares del puente Ronin, utilizado por el videojuego Axie Infinity. El Tesoro estadounidense atribuyó el robo a Lazarus y sancionó posteriormente servicios de mezcla utilizados para blanquear parte de los fondos, entre ellos Blender.io.
En mayo de 2024, operadores identificados como TraderTraitor robaron 4502,9 bitcoines, valorados entonces en unos 308 millones de dólares, de la casa de cambio japonesa DMM Bitcoin. Según la investigación conjunta del FBI, la policía japonesa y el Centro de Ciberdelitos de Defensa estadounidense, un atacante se hizo pasar por reclutador, envió a un empleado de la empresa de monederos Ginco una prueba de programación maliciosa alojada en GitHub, robó información de sesión y manipuló posteriormente una solicitud legítima de transferencia.
El 21 de febrero de 2025, Bybit sufrió la sustracción de aproximadamente 1500 millones de dólares en activos digitales. El FBI atribuyó el ataque a TraderTraitor y afirmó que los operadores convirtieron rápidamente parte de los activos y los dispersaron por miles de direcciones en múltiples cadenas de bloques. El incidente fue descrito en ese momento como el mayor robo de criptoactivos conocido por valor económico.
Espionaje y falsas ofertas de trabajo
Además de las operaciones financieras, Lazarus ha mantenido campañas de espionaje contra industrias estratégicas. Operation Dream Job, también conocida en algunas fuentes como DeathNote, utiliza perfiles falsos de reclutadores, ofertas de empleo y supuestas pruebas técnicas para inducir a empleados de defensa, aeroespacial, tecnología, ingeniería y criptomonedas a abrir documentos o ejecutar proyectos manipulados.
En 2023, ESET documentó un ataque contra una empresa aeroespacial española en el que los operadores contactaron por LinkedIn con empleados y les enviaron desafíos de programación troyanizados como parte de un supuesto proceso de selección. En 2025, la misma empresa relacionó una nueva oleada de DreamJob con ataques contra compañías europeas del sector de vehículos aéreos no tripulados; la atribución técnica a Lazarus fue elevada, aunque la conclusión de que el objetivo último era apoyar el programa norcoreano de drones se presentó como una evaluación analítica.
Andariel ha sido vinculado a campañas de espionaje contra organizaciones de defensa, aeroespaciales, nucleares, energéticas, sanitarias y de ingeniería. En julio de 2024, Estados Unidos, Reino Unido y Corea del Sur publicaron un aviso conjunto que atribuyó al grupo el robo de información técnica y secretos militares para favorecer los programas nucleares y de defensa norcoreanos. Ese mismo mes, el Departamento de Justicia estadounidense acusó a Rim Jong Hyok, supuesto integrante de Andariel, por ataques con el ransomware Maui contra hospitales estadounidenses y por emplear los ingresos obtenidos para financiar intrusiones posteriores contra organismos públicos y contratistas de defensa.
Entre noviembre de 2024 y febrero de 2025, Kaspersky observó la denominada Operation SyncHole, dirigida contra organizaciones surcoreanas de programas informáticos, tecnologías de la información, finanzas, semiconductores y telecomunicaciones. La campaña combinó sitios web comprometidos, explotación de vulnerabilidades en programas surcoreanos y varias puertas traseras relacionadas con Lazarus.
Ataques a cadenas de suministro
Lazarus y los clústeres asociados han recurrido de forma creciente al compromiso de proveedores de software para alcanzar a otras organizaciones. En marzo de 2023 se descubrió que versiones firmadas de la aplicación de comunicaciones 3CX habían sido distribuidas con código malicioso. Mandiant concluyó con confianza moderada que la intrusión estaba relacionada con la actividad AppleJeus y que el entorno de 3CX había sido comprometido después de que un empleado instalara previamente una aplicación financiera manipulada denominada X_TRADER; el incidente constituyó, por tanto, una cadena de suministro encadenada. ESET también relacionó con alta confianza el conjunto de herramientas empleado con Lazarus.
El 31 de marzo de 2026, versiones maliciosas de la biblioteca de JavaScript Axios fueron publicadas durante unas tres horas en el registro npm tras el compromiso de credenciales de un mantenedor. El proyecto Axios confirmó que las versiones 1.14.1 y 0.30.4 incorporaban una dependencia maliciosa y recomendó su retirada inmediata. CrowdStrike atribuyó el compromiso con confianza moderada a STARDUST CHOLLIMA, denominación que la empresa aplica a actividad financiera norcoreana, pero esa atribución no había recibido hasta julio de 2026 una confirmación pública gubernamental equivalente.
Métodos y objetivos
Las operaciones atribuidas a Lazarus combinan técnicas de intrusión tradicionales con una preparación prolongada y adaptada a cada víctima. Entre los métodos observados se encuentran:
el spear phishing mediante documentos, enlaces y archivos comprimidos;
perfiles falsos de reclutadores y conversaciones mantenidas durante semanas en redes profesionales;
aplicaciones, instaladores y proyectos de programación troyanizados;
explotación de vulnerabilidades conocidas y de día cero;
abuso de credenciales, cookies de sesión y herramientas legítimas de administración;
movimiento lateral dentro de redes corporativas;
compromiso de proveedores y cadenas de suministro;
borrado de sistemas, cifrado extorsivo o destrucción de datos;
manipulación de terminales SWIFT, procesadores de pagos, cajeros automáticos y flujos de firma de criptomonedas;
blanqueo de activos mediante intercambios, puentes entre cadenas, servicios de mezcla y redes de intermediarios.
Los programas maliciosos asociados a distintas campañas incluyen Destover, WannaCry, Manuscrypt o NukeSped, FALLCHILL, ThreatNeedle, Maui, VEILEDSIGNAL, ICONICSTEALER, POOLRAT, CookiePlus y ScoringMathTea, entre muchos otros. La reutilización de partes de código y procedimientos ha sido un elemento importante de las atribuciones, pero no constituye por sí sola una prueba concluyente, ya que el código puede ser copiado, filtrado o empleado como bandera falsa. Las atribuciones más sólidas combinan análisis técnico, infraestructura, telemetría, inteligencia gubernamental, operaciones financieras y, en algunos casos, acusaciones judiciales.
Los objetivos han cambiado con el tiempo. Las primeras campañas públicas se concentraron en Corea del Sur y en operaciones disruptivas; posteriormente aumentaron los ataques contra bancos y sistemas de pagos, y desde finales de la década de 2010 las empresas de criptomonedas, desarrolladores y profesionales del sector se convirtieron en objetivos prioritarios. Paralelamente, continuaron las operaciones de espionaje contra defensa, aeroespacial, energía, tecnología nuclear, semiconductores, telecomunicaciones y otras industrias de valor estratégico.
Sanciones y acciones judiciales
En septiembre de 2018, el Departamento de Justicia estadounidense acusó a Park Jin Hyok de conspiración para cometer fraude informático y electrónico por su presunta participación en los ataques contra Sony Pictures, el Banco de Bangladés y WannaCry. El Tesoro sancionó asimismo a Park y a Chosun Expo Joint Venture, empresa que, según Estados Unidos, actuaba como cobertura del Gobierno norcoreano.
El 13 de septiembre de 2019, la Oficina de Control de Activos Extranjeros sancionó a Lazarus Group, Bluenoroff y Andariel por su relación con el RGB. En marzo de 2020, el Tesoro sancionó a dos ciudadanos chinos acusados de ayudar a blanquear criptomonedas robadas por Lazarus y reiteró que los tres grupos estaban controlados por el RGB.
La Unión Europea incluyó en julio de 2020 a Chosun Expo en su régimen de medidas restrictivas contra ciberataques. La decisión europea indicó que la entidad había facilitado o apoyado WannaCry, los ataques contra Sony Pictures y la autoridad financiera polaca, así como el robo al Banco de Bangladés y el intento contra Tien Phong Bank.
En febrero de 2021, Estados Unidos acusó a tres programadores militares norcoreanos —Jon Chang Hyok, Kim Il y Park Jin Hyok— de participar en una campaña mundial de ataques destructivos, robos bancarios, fraude con criptomonedas y otras operaciones. La acusación abarcó intentos de sustraer o extorsionar más de 1300 millones de dólares en dinero y criptoactivos.
Las sanciones se ampliaron a servicios utilizados para el blanqueo. En 2022, el Tesoro sancionó Blender.io por procesar parte de los fondos del ataque a Ronin y volvió a sancionar Tornado Cash tras vincularlo al lavado de activos robados por Lazarus. En noviembre de 2023 sancionó Sinbad, al que describió como un servicio de mezcla utilizado para blanquear fondos procedentes de los ataques a Ronin, Horizon Bridge y Atomic Wallet.
En abril de 2023, el Departamento de Justicia acusó a Sim Hyon Sop, representante del Foreign Trade Bank norcoreano, de participar en conspiraciones para blanquear criptomonedas robadas y ganancias obtenidas por trabajadores informáticos norcoreanos que ocultaban su identidad. En julio de 2024 se presentó la acusación contra Rim Jong Hyok por las operaciones de Andariel con Maui y por espionaje contra entidades gubernamentales y de defensa.
Impacto económico y geopolítico
Las operaciones financieras atribuidas a Corea del Norte se consideran una fuente de divisas para un Estado sometido a amplias sanciones internacionales. El Tesoro estadounidense y otros gobiernos sostienen que los ingresos obtenidos mediante ciberrobos y esquemas de trabajadores informáticos contribuyen a financiar los programas norcoreanos de armas de destrucción masiva y misiles balísticos.
Las cifras exactas dependen de la metodología y del momento de cálculo. La empresa de análisis de cadenas de bloques Chainalysis estimó que actores norcoreanos robaron unos 1340 millones de dólares en criptoactivos durante 2024 y unos 2020 millones durante 2025. El Departamento de Estado estadounidense afirmó en enero de 2026 que Corea del Norte había robado más de 2000 millones de dólares en criptomonedas durante 2025. Estas cantidades se refieren al conjunto de actores norcoreanos y no siempre pueden asignarse exclusivamente a una sola unidad o denominación del ecosistema Lazarus.
El impacto no se limita a las pérdidas económicas. WannaCry interrumpió servicios sanitarios y empresariales en numerosos países; los ataques destructivos contra Corea del Sur y Sony causaron pérdida de datos y paralización operativa; las campañas de espionaje han buscado propiedad intelectual y conocimientos militares; y los compromisos de cadenas de suministro han expuesto simultáneamente a miles de organizaciones. El carácter transnacional de las operaciones ha motivado investigaciones conjuntas, sanciones coordinadas y avisos de seguridad de Estados Unidos, Corea del Sur, Japón, Reino Unido y otros países.
Debate sobre la atribución
La atribución de operaciones cibernéticas presenta limitaciones inherentes. Los atacantes pueden reutilizar código, ocultar el origen de sus conexiones, emplear infraestructura comprometida y adoptar nombres falsos. Además, cada compañía de seguridad agrupa la actividad según su propia telemetría y criterios, por lo que dos proveedores pueden dividir o combinar los mismos incidentes de manera distinta.
En el caso de Lazarus, la atribución estatal se apoya no solo en similitudes técnicas, sino también en investigaciones gubernamentales, datos financieros, sanciones, acusaciones penales y correlaciones mantenidas durante años. La evidencia pública es especialmente sólida para el ataque a Sony, el robo al Banco de Bangladés, WannaCry, las operaciones de APT38, los robos de DMM Bitcoin y Bybit y varias campañas de Andariel. En cambio, la asignación exacta de cada operación a un subgrupo concreto o la equivalencia completa entre alias privados suele tener un grado de certeza menor. Las fuentes también pueden revisar sus agrupaciones al obtener nueva información.
Por estas razones, la expresión «Lazarus Group» se emplea de forma prudente como denominación pública de un ecosistema de actividad norcoreana, no como prueba de que todas las campañas atribuidas hayan sido ejecutadas por un único equipo estable ni bajo una estructura interna conocida.
↑«South Korean Malware Attack»(PDF). National Cybersecurity and Communications Integration Center(en inglés). 26 de junio de 2013. Consultado el 19 de julio de 2026.
↑«Update on Sony Investigation». Federal Bureau of Investigation(en inglés). 19 de diciembre de 2014. Consultado el 19 de julio de 2026.
