El FBI advirtió sobre una campaña de ciberdelincuencia atribuida a hackers norcoreanos que logró robar más de 400 millones de dólares en criptomonedas durante los últimos 18 meses. La maniobra, conocida como “FaceStealer”, utilizaba falsas videollamadas que imitaban plataformas como Zoom, Microsoft Teams y Google Meet para engañar a personas vinculadas con el sector de los activos digitales.
Como parte de las medidas para frenar la operación, el Departamento de Justicia de Estados Unidos anunció la incautación de infraestructura en la nube utilizada por los atacantes. Además, el FBI informó que logró recuperar más de 900 grabaciones de cámaras web de personas que habían sido filmadas en secreto para utilizarlas posteriormente en nuevos engaños.
Cómo funcionaba la estafa de las falsas videollamadas
El método comenzaba con el acceso a las cuentas de mensajería de una víctima anterior. Los hackers ingresaban a aplicaciones como Telegram, revisaban sus conversaciones y contactos, y obtenían grabaciones de su imagen mientras esperaba el inicio de una videollamada.
Luego utilizaban esas cuentas comprometidas para contactar a otras personas, haciéndose pasar por alguien conocido. Las invitaciones podían presentarse como reuniones para conversar, analizar una colaboración o tratar posibles oportunidades de inversión. El conocimiento de los mensajes anteriores les permitía adaptar las propuestas y hacerlas más convincentes.
Poco antes del encuentro, enviaban un enlace que imitaba la dirección de una plataforma legítima. Sin embargo, conducía a una página controlada por los delincuentes. Al ingresar, la víctima veía un video previamente grabado de la persona que supuestamente la había invitado y, en algunos casos, de otros participantes.
Durante la reunión, los atacantes simulaban un problema técnico, generalmente relacionado con el audio. Para solucionarlo, solicitaban hacer clic en un enlace, ejecutar un comando o copiar un código en el dispositivo. En realidad, esas instrucciones instalaban un programa malicioso capaz de robar contraseñas, registrar la actividad de la pantalla y permitir el acceso remoto al equipo.
.El robo podía concretarse mucho tiempo después de la infección. En algunos casos, los delincuentes esperaron varios meses e incluso más de un año antes de vaciar las billeteras de criptomonedas de sus víctimas.
El FBI detectó un esquema de hackers norcoreanos que robó más de USD 400 millones en criptomonedas con videollamadas falsas. (Reuters)
El uso de inteligencia artificial y los ataques a desarrolladores
El FBI también señaló que los responsables comenzaron a incorporar videos manipulados mediante inteligencia artificial para hacerse pasar por figuras conocidas e influyentes de los sectores de las criptomonedas y la tecnología blockchain.
Sin embargo, la técnica continuaba apoyándose principalmente en grabaciones reales obtenidas de manera clandestina. La combinación de imágenes auténticas, cuentas comprometidas y conversaciones previas permitía construir situaciones difíciles de detectar.
La campaña también alcanzó a desarrolladores y colaboradores de proyectos de código abierto. Las autoridades advirtieron que los atacantes intentaron comprometer dispositivos y cuentas vinculadas con el mantenimiento de programas utilizados por numerosos usuarios y organizaciones.
En uno de los casos mencionados, estuvieron cerca de infectar una biblioteca de JavaScript que registra decenas de millones de descargas semanales. La intervención permitió detectar y frenar el intento antes de que el código malicioso se propagara.
Las recomendaciones del FBI para evitar caer en la trampa
Ante el crecimiento de esta modalidad, el FBI recomendó ingresar a las reuniones desde las aplicaciones oficiales y utilizar códigos de invitación, en lugar de confiar directamente en enlaces recibidos por mensajes. También aconsejó confirmar la identidad de quien organiza el encuentro a través de otro canal de comunicación.
Entre las medidas preventivas, la agencia pidió no ejecutar comandos ni instalar supuestas actualizaciones por indicación de alguien durante una videollamada. Además, recomendó activar la verificación en dos pasos en aplicaciones como Telegram, WhatsApp y Slack.
Quienes sospechen que sus dispositivos fueron comprometidos y tengan criptomonedas deben trasladar sus fondos a una billetera nueva creada desde otro equipo. También deben alertar a sus contactos y empleadores para evitar que los delincuentes utilicen sus cuentas para extender el fraude.
El FBI solicitó que los casos sospechosos sean denunciados a través de IC3.gov, el portal de denuncias de delitos informáticos de Estados Unidos, utilizando la palabra clave “FaceStealer”.
