El FBI atribuyó a hackers norcoreanos el robo de más de 400 millones de dólares en criptomonedas durante 18 meses mediante FaceStealer, una campaña que utiliza falsas videollamadas y grabaciones de contactos conocidos para engañar a sus objetivos.
El Departamento de Justicia de Estados Unidos anunció el 12 de noviembre la incautación de infraestructura en la nube utilizada por la operación. El FBI también decomisó, con una orden judicial, más de 900 videos de cámaras web de víctimas. La agencia informó el número de grabaciones incautadas, pero no precisó cuántas personas distintas aparecen en ellas.
El comunicado no especifica cuánto del dinero atribuido a FaceStealer se ha recuperado ni si la infraestructura intervenida representa la totalidad de la campaña.
Una llamada con caras conocidas
Según la alerta del FBI, el engaño puede comenzar con un mensaje enviado desde la cuenta comprometida de una persona conocida. Los atacantes proponen una reunión y dirigen al objetivo a una página que imita servicios de videollamadas como Zoom o Microsoft Teams.
Al entrar, la persona ve grabaciones obtenidas previamente de contactos que reconoce. Los atacantes pueden mostrar varios videos para dar la impresión de que hay más participantes y registran también imágenes de la nueva víctima.
Después simulan un problema técnico, como una falla de audio, y ofrecen una supuesta solución. Si la persona sigue esas indicaciones, puede instalar software malicioso que permite a los atacantes acceder a criptomonedas o aprovechar sus permisos en otros sistemas, explicó el Departamento de Justicia.
En algunos casos, según las autoridades, el robo de activos y la toma de cuentas de comunicación ocurrieron meses o incluso más de un año después de la intrusión inicial. El acceso a contactos y conversaciones permite a los atacantes buscar nuevos objetivos.
La alerta describe páginas que imitan las plataformas de reuniones; no afirma que los sistemas de Zoom o Microsoft Teams hayan sido vulnerados en esta campaña.
Los videos reales siguen siendo la base del engaño
El FBI advirtió que los responsables también han empezado a crear videos falsificados con inteligencia artificial, o deepfakes, a partir de imágenes públicas de personas conocidas en los sectores de criptomonedas y Web3. Esos videos pueden aparecer solos o junto a grabaciones auténticas en una reunión falsa.
La agencia señala que la campaña sigue dependiendo principalmente de videos reales robados a víctimas anteriores. La alerta no atribuye una parte concreta de los más de 400 millones de dólares al uso de imágenes generadas con IA.
La distinción importa para entender el alcance del aviso: reconocer a una persona en pantalla no garantiza que participe en directo, incluso cuando su imagen procede de una grabación auténtica.
El riesgo para el código abierto
Los objetivos no se limitan a quienes trabajan con criptomonedas. El FBI dijo que los atacantes también han intentado comprometer a desarrolladores y responsables de mantener software de código abierto, cuyos proyectos pueden ser utilizados por otras empresas y aplicaciones.
La agencia describió un caso de este año en el que un responsable de una biblioteca de JavaScript entró en una falsa reunión y terminó con su computadora infectada. Según el informe, los atacantes aprovecharon su acceso para crear dependencias maliciosas que podrían descargarse junto con la biblioteca legítima.
La biblioteca recibe decenas de millones de descargas semanales, de acuerdo con el FBI. La agencia afirmó que el ataque se detectó y se atendió con rapidez, lo que evitó una afectación a gran escala. No identificó la biblioteca en su alerta.
Qué se sabe de Binance y cómo recomienda actuar el FBI
El Departamento de Justicia presentó FaceStealer como una campaña separada del robo a Binance anunciado a finales de octubre. Un agente del FBI dijo a The Record que todavía no estaba claro si FaceStealer fue uno de los métodos utilizados para vulnerar la plataforma.
Gerardo Pavez
Corea del Norte rechazó anteriormente la atribución estadounidense del ataque a Binance, informó Associated Press. Esa declaración se refería a ese robo; no se localizó una respuesta pública específica sobre FaceStealer.
Para reducir el riesgo, el FBI recomienda confirmar las reuniones por otro canal de comunicación y entrar mediante la aplicación oficial con el código de invitación. También aconseja mantener la cámara apagada hasta poder ver, escuchar y comunicarse con quien convocó la reunión.
Si aparece una solicitud inesperada para actualizar el programa, la agencia recomienda no ejecutar instrucciones ni pegar código en la terminal para resolverla. Su alerta ofrece más orientación para personas que crean haber sido afectadas.
