Una videollamada con un compañero de confianza, un fallo de sonido sin importancia y un pequeño arreglo técnico. Así de sencillo parecía todo para las víctimas de FaceStealer, la campaña con la que piratas informáticos de Corea del Norte han robado más de 400 millones de dólares en criptomonedas en los últimos 18 meses, según anunció el 12 de noviembre el Departamento de Justicia de Estados Unidos.
En esas falsas reuniones, los atacantes combinaban vídeos reales grabados en secreto a víctimas anteriores con deepfakes, vídeos falsos de figuras conocidas del sector de las criptomonedas, según el Departamento de Justicia. Esos deepfakes se generaban con inteligencia artificial, precisa Decrypt. La IA se suma así a una técnica de engaño clásica.
El FBI ha inutilizado la infraestructura en la nube que usaban los atacantes y ha incautado más de 900 vídeos grabados en secreto con las cámaras web de sus víctimas. El mismo día, la Justicia estadounidense anunció que ya ha obtenido autorización judicial para incautar o bloquear más de 1.200 millones de dólares robados en el gran hackeo a Binance de finales de octubre, también atribuido a Corea del Norte.
Cómo funciona la trampa
El FBI describe el ataque paso a paso en la página que ha dedicado a FaceStealer. Es un círculo que se alimenta a sí mismo:
- Robo de cuentas: los atacantes toman el control de las cuentas de mensajería de una víctima anterior y escriben desde ellas a sus contactos.
- Invitación creíble: envían un enlace a una videollamada que lleva a una copia falsa de plataformas como Zoom o Microsoft Teams. Según Nextgov, usan conversaciones antiguas para que el mensaje suene familiar.
- Una cara conocida: en la llamada, el objetivo ve a alguien que conoce. Es un vídeo grabado en secreto a esa persona, o a otra víctima anterior que el objetivo conoce, cuando cayó en la trampa.
- La falsa avería: en mitad de la reunión, los atacantes simulan un problema técnico, por ejemplo que no se oye al objetivo, y le ofrecen un enlace o unas instrucciones para arreglarlo. Ese supuesto arreglo instala un programa malicioso.
- Vuelta a empezar: mientras tanto, graban la cámara web de la nueva víctima para usar su imagen contra sus propios contactos.
Una vez dentro del ordenador, los atacantes pueden vaciar carteras de criptomonedas y acceder a las redes sociales y aplicaciones de mensajería de la víctima. A veces, según el Departamento de Justicia, esperan meses, e incluso más de un año, antes de robar.
¿Y la inteligencia artificial?
La base de FaceStealer no son los deepfakes, sino algo más simple: grabaciones reales de personas de confianza. La IA añade una capa más difícil de detectar.
Los deepfakes de figuras conocidas del sector de las criptomonedas y de la Web3 son la versión más sofisticada de un engaño que ya cuesta detectar a simple vista: un estudio publicado en PNAS mostró que sin entrenamiento acertamos menos de la mitad de las veces al distinguir fotos de rostros generados con IA de rostros reales, y que, aun entrenados, no existe una pista infalible.
«Esto no es algo que podamos parchear», resumió Jeremy Robertson, agente especial a cargo en la oficina del FBI en Los Ángeles, según Nextgov. Patrick Grandy, director adjunto al frente de esa oficina, advirtió en el comunicado oficial de que la estafa «aprovecha nuestra confianza en unas plataformas de videoconferencia omnipresentes y en relaciones personales que valoramos».
Los desarrolladores, el siguiente objetivo
El FBI atribuye la campaña a un grupo de piratas norcoreanos que las empresas de ciberseguridad conocen con varios nombres, entre ellos Sapphire Sleet, APT38 o BlueNoroff.
Sus víctimas no son solo inversores en criptomonedas. Cada vez apuntan más a quienes desarrollan y mantienen software de código abierto. El objetivo, según el FBI, es colarse en sus cuentas para distribuir código malicioso a través de programas muy usados, lo que podría afectar a millones de usuarios.
Nextgov recoge un ejemplo: este año, el responsable de una biblioteca de JavaScript cayó en una falsa reunión de Teams. Según el FBI, en un caso los atacantes llegaron a insertar código malicioso en un programa muy usado, aunque se detectó antes de que se propagara de forma generalizada.
La empresa de ciberseguridad Arctic Wolf, que ha seguido la campaña, ha identificado «más de 677 objetivos en 58 países», según explicó a Nextgov su director de operaciones contra adversarios, Justin Moore.
Binance, el golpe mayor
FaceStealer se ha anunciado junto a otro caso de una escala mucho mayor. En torno al 29 de octubre, piratas del ejército norcoreano, a los que el FBI llama TraderTraitor, robaron más de 6.000 millones de dólares en criptoactivos de la plataforma Binance, según el Departamento de Justicia.
Entre el Gobierno estadounidense y empresas privadas ya se han congelado más de 2.700 millones, de los cuales la Justicia ha obtenido autorización para incautar o bloquear más de 1.200 millones. Pero, según el Departamento de Justicia, los atacantes siguen moviendo los fondos a través de puentes entre cadenas de bloques, mezcladores y plataformas de intercambio para borrar su rastro. El consejero delegado de Binance, Richard Teng, aseguró que la plataforma ha repuesto en torno al 95 % de los activos afectados, según Decrypt.
Según Decrypt, Corea del Norte niega su participación en el robo a Binance y califica la atribución del FBI de provocación política.
Un régimen financiado con criptomonedas
Para Washington, estos robos no son delincuencia común. «El Gobierno de Corea del Norte financia su régimen paria y su programa ilegal de armas con el robo de criptomonedas», afirmó M. Scott Proctor, alto cargo de la División de Seguridad Nacional del Departamento de Justicia.
La escala de esos robos es enorme. Según la firma de análisis Chainalysis, Corea del Norte robó algo más de 2.000 millones de dólares en criptomonedas en 2025, un 51 % más que el año anterior, con el ataque a la plataforma Bybit, de unos 1.500 millones, como golpe principal, según recogió The Register.
Cómo protegerse
El FBI ha publicado un informe técnico con más detalles sobre el funcionamiento de FaceStealer. Y advierte de que nadie está a salvo: según Grandy, la estafa es capaz de engañar incluso al usuario más experto y concienciado con la seguridad, como recoge el comunicado del Departamento de Justicia.
La lección es clara. Ver una cara conocida en una videollamada ya no garantiza que esa persona esté al otro lado. Y ningún problema técnico en mitad de una reunión justifica ejecutar un programa o pegar un comando que llega por un enlace.
La fotografía de representación de este artículo pertenece a Jievani Weerasinghe y ha sido publicada en Unsplash.
