Por Angel Di Matteo   𝕏 @shadowargel

Ver la cara de un colega en una videollamada ya no prueba que sea él: el FBI alertó esta semana de FaceStealer, un esquema con el que hackers norcoreanos robaron más de USD 400 millones en criptomonedas en 18 meses usando videos reales grabados en secreto a víctimas anteriores.

***

  • El FBI identificó e incautó más de 900 videos de webcam grabados sin consentimiento, usados para suplantar a las víctimas en llamadas posteriores.
  • El ataque llega desde cuentas reales secuestradas y termina cuando la víctima instala un malware disfrazado de solución a un falso fallo de audio.
  • La verificación eficaz ya no es visual: entrar desde la aplicación oficial, confirmar por otro canal y no ejecutar comandos para «arreglar» la llamada.

 

La alerta sobre el uso de este esquema llegó en un informe FLASH del FBI publicado el 12 de noviembre, dirigido a la industria de criptomonedas y Web3 y a los mantenedores de software de código abierto. El Buró atribuye la campaña a actores patrocinados por el Estado de Corea del Norte, conocidos como Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff y Stardust Chollima. «El régimen norcoreano depende de los ingresos del robo de criptomonedas a gran escala para financiar su programa ilícito de armas», declaró el director cibernético del FBI, Brett Leatherman, según recoge la BBC.

La cara es auténtica, pero está fuera de contexto

La cadena comienza con una invitación que llega desde una cuenta genuina: los atacantes secuestran cuentas de Telegram, LinkedIn, Slack o Discord de víctimas anteriores y escriben a sus contactos. La reunión se celebra en versiones falsas de Zoom, Microsoft Teams o Google Meet, controladas por los hackers.

Al unirse, la víctima ve en pantalla a personas que conoce: son videos de webcam reales, grabados en secreto durante ataques previos. Entonces aparece un supuesto fallo técnico y el «contacto» ofrece instrucciones para solucionarlo; esa «solución» instala el malware. El detalle central del aviso es que no hace falta un deepfake: el rostro es auténtico, pero fue robado.

Del robo de criptomonedas a la cadena de suministro

Con la computadora comprometida, los atacantes roban las criptomonedas accesibles o explotan los accesos de la víctima, por ejemplo la red de su empleador o la cuenta de un mantenedor de software. Este año estuvieron a punto de comprometer una importante librería de JavaScript con decenas de millones de descargas semanales: convencieron a su mantenedor con una falsa llamada de Teams en la que aparecía al menos una persona conocida, y usaron su acceso para crear dependencias maliciosas, detectadas a tiempo. El FBI conoce otros intentos contra mantenedores de repositorios de NPM y, más recientemente, de Rust.

En varios casos el robo llegó meses después de la intrusión: los atacantes copian frases de recuperación, vigilan los saldos en la blockchain y vacían las billeteras cuando crecen. Patrick Grandy, director adjunto a cargo de la oficina del FBI en Los Ángeles, resume el peligro: el esquema «explota nuestra confianza en las plataformas de videoconferencia y en las relaciones personales». La alerta llega una semana después de que Binance revelara un robo récord de USD 6.300 millones mediante falsas entrevistas de trabajo, atribuido por autoridades estadounidenses a actores vinculados con Corea del Norte, algo que Pyongyang niega, según la BBC.

Cómo comprobar una invitación, según el FBI

El informe del FBI incluye medidas concretas que cualquier trabajador, inversor o desarrollador puede aplicar:

  • Entra desde la aplicación oficial (Zoom o Teams) con el código de invitación, en lugar de pulsar enlaces a versiones web, sobre todo con contactos nuevos o poco frecuentes.
  • No enciendas tu cámara hasta poder ver, oír y hablar con la persona que te invitó: tu propio video también es material para el siguiente ataque.
  • Nunca ejecutes scripts ni pegues comandos en la terminal para «actualizar» o «arreglar» una llamada; actualiza la aplicación por tu cuenta.
  • Revisa las invitaciones de Calendly y similares: los atacantes suelen enviar el enlace malicioso poco antes de la hora acordada.
  • Confirma la reunión por un canal distinto al de la invitación: si te escribieron por Telegram, confirma por SMS o por teléfono.
  • Activa la autenticación multifactor, las alertas de inicio de sesión y los mensajes temporales en tus aplicaciones de comunicación.
  • Mantén saldos bajos en las billeteras de extensión del navegador y no guardes frases de recuperación ni claves privadas en tus dispositivos.

Si crees que caíste

El FBI recomienda crear una billetera nueva, con frases de recuperación nuevas, en un dispositivo que no se haya usado para comunicarse con los atacantes, y transferir allí los fondos; cambiar todas las contraseñas, cerrar las sesiones activas y activar la autenticación multifactor; avisar a los contactos (y al empleador, si hablaste con los atacantes desde un equipo de trabajo), porque recibirán mensajes tuyos suplantados; y presentar un reporte en IC3.gov con la palabra clave «FaceStealer».

La agencia califica FaceStealer como un esquema «capaz de engañar incluso al usuario más técnico y consciente de la seguridad». La lección práctica: en una videollamada, la cara solo confirma que alguien grabó a esa persona. La identidad se comprueba por fuera de la pantalla.

Imagen: ilustración original generada con inteligencia artificial para DiarioBitcoin.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados