¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
FaceStealer, el esquema de videollamadas falsas con el que Corea del Norte robó más de 400 millones de dólares en criptomonedas en 18 meses, quedó desmantelado este jueves. El FBI y el Departamento de Justicia anunciaron la incautación de la infraestructura en la nube y de más de 900 videos de víctimas grabados en secreto.
Los blancos eran trabajadores del sector de las criptomonedas y de los proyectos Web3. El FBI atribuye la operación al grupo norcoreano conocido en el sector privado como Sapphire Sleet, identificado también como UNC1069, APT38, BlueNoroff y Stardust Chollima. El informe oficial pide a ese personal, y a quienes mantienen software de código abierto, que aprendan a reconocer el engaño.
La llamada que parece de un conocido
Todo arranca con un mensaje desde la cuenta real de alguien conocido: ponerse al día, hablar de una colaboración o de una inversión. Los atacantes escriben desde cuentas de Telegram, LinkedIn, Slack o Discord robadas a víctimas anteriores y leen su historial de chats, lo que les permite redactar mensajes a la medida de cada contacto.
Si el contacto acepta, llega una invitación de calendario por Calendly. El enlace llega casi a la hora fijada y lleva a un dominio casi idéntico al verdadero: el informe del FBI cita ejemplos como uu01webzoom.us y teams.livemeet.us, registrados para imitar las direcciones de Zoom, de Teams y de Google Meet.
Al otro lado de la pantalla espera una copia de la plataforma, construida para lucir indistinguible de la original. Cuando la víctima entra, su cámara ya está siendo grabada y en pantalla se reproducen videos pregrabados de personas conocidas, con varios participantes a la vez, para que la reunión parezca poblada y legítima.
Pasada una breve espera llega el mensaje esperado: hay un problema de audio y el resto no escucha a la víctima. La solución viene del supuesto contacto: pulsar una actualización, abrir un enlace o pegar código en la terminal. Quien obedece instala un programa espía que roba las cookies del navegador, registra cada tecla y abre una puerta trasera en el equipo.
Con el equipo comprometido, los atacantes buscan billeteras y frases de recuperación guardadas en el dispositivo. En varios casos documentados esperaron meses, y hasta más de un año, vigilando los saldos hasta que la billetera crecía para vaciarla. Cada víctima nueva entrega además su lista de contactos y su propio video: el ciclo se alimenta solo.
Ultrafalsos y código abierto en la mira
El informe describe también ultrafalsos de figuras influyentes del sector cripto, creados con inteligencia artificial a partir de fotos y clips públicos. Esas caras falsas aparecen como un participante más en la llamada, solas o mezcladas con los videos reales de víctimas, y su calidad solo necesita alcanzar para pasar por una cámara web común.
Esa misma trampa apuntó a quienes mantienen bibliotecas de software de código abierto. El FBI relata el caso del responsable de una biblioteca de JavaScript con decenas de millones de descargas semanales: cayó en una llamada falsa de Teams, instaló el supuesto arreglo y los atacantes crearon dependencias maliciosas dentro de la biblioteca. La maniobra se detectó a tiempo.
El dinero robado financia al régimen. Brett Leatherman, director de operaciones de la rama cibernética del FBI, afirmó que el régimen norcoreano depende de los ingresos del robo de criptomonedas a gran escala para financiar su programa de armas ilícito y otras actividades dañinas.
Una semana antes, las autoridades atribuyeron a militares norcoreanos del grupo TraderTraitor el robo de los US$6.000 millones de Binance: 2.700 millones quedaron congelados y una orden judicial permite incautar otros 1.200 millones. Pionyang negó esa atribución por medio de su agencia oficial KCNA.
Patrick Grandy, responsable de la oficina del FBI en Los Ángeles, describió FaceStealer como un esquema de ingeniería social muy eficaz, capaz de engañar incluso al usuario técnico más experimentado y consciente de la seguridad. Su advertencia quedó escrita: quien no pueda imaginar un escenario en el que caería, «no está pensando con suficiente creatividad».
El informe del FBI deja defensas para quien vive de reuniones por video. Entrar a la llamada desde la aplicación oficial con un código de invitación, en lugar de pulsar enlaces, corta la ruta del engaño. Mantener la cámara apagada hasta ver, oír y poder hablar con quien invitó deja tiempo para notar algo raro.
Si en plena llamada surge un aviso de actualización, la recomendación es no ejecutar guiones ni pegar código en la terminal: la aplicación se actualiza por separado o se entra por la versión web con el código. Confirmar la reunión por otro canal —un mensaje o una llamada, si la invitación llegó por Telegram— rompe la cadena de suplantación.
Las cuentas de mensajería se protegen con verificación en dos pasos y alertas de inicio de sesión. De las billeteras, el FBI aconseja dejar montos pequeños en la extensión del navegador, guardar los saldos grandes en una cartera física desconectada y no almacenar frases de recuperación ni claves privadas en dispositivo alguno.
Quien sospeche que cayó en la trampa tiene una ruta marcada: crear una billetera nueva en un dispositivo que nunca habló con los atacantes, mover ahí los fondos y avisar a sus contactos de que su cara puede aparecer en la próxima llamada falsa. El reporte se presenta en IC3.gov con la palabra clave «FaceStealer».
Fuente: FBI — FaceStealer Cryptocurrency Theft Scheme
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
