Una cara conocida en la pantalla ya no prueba que hablas con quien crees

El jueves 12 de noviembre el FBI y el Departamento de Justicia de Estados Unidos anunciaron que desarticularon la infraestructura en la nube de FaceStealer, un esquema con el que hackers norcoreanos robaron más de US$400 millones en criptomonedas en los últimos 18 meses. El FBI se lo atribuye a APT38, un grupo vinculado al gobierno de Corea del Norte. El método: reuniones falsas de Zoom o Teams.

Los titulares se quedaron con la cifra y con la palabra deepfake. A mí me interesó otra cosa: lo poco que el engaño necesitó de la inteligencia artificial.

Lo que casi nadie miró

Así funciona, según lo que el FBI describió y publicó The Record. La víctima recibe por Calendly una invitación a una reunión de Zoom o Teams. No viene de un desconocido: viene de la cuenta de alguien que conoce, una cuenta que los hackers ya habían robado a una víctima anterior. El enlace no lleva a Zoom ni a Teams, sino a un dominio falso que puede comprometer el computador antes de que la reunión empiece.

Dentro de la llamada, los atacantes reproducen videos de víctimas anteriores para que parezca una reunión con varias personas reales. Mientras tanto, graban la cámara de la nueva víctima. Después inventan una falla técnica y ofrecen un “arreglo”. Ese arreglo instala un ladrón de cookies del navegador, registradores de teclas, capturadores de pantalla y una puerta trasera. Solo en algunos casos usaron deepfakes hechos con IA de figuras conocidas del mundo cripto.

Con el equipo tomado, se quedan con las cuentas de Telegram, LinkedIn, Slack y Discord de la víctima y escriben a sus contactos para proponerles una reunión, a veces meses después. Como leen los historiales de chat, ajustan cada mensaje al destinatario. Y llegan con el video recién grabado de alguien que ese contacto conoce.

Ese es el detalle que me quedó dando vueltas. Cada víctima se convierte en el anzuelo de la siguiente: su cuenta, su forma de escribir y su cara. Con una orden judicial, el FBI obtuvo más de 900 videos de cámaras web de víctimas.

Patrick Grandy, del FBI, lo resumió en una frase que cito tal cual: el esquema “explota nuestra confianza en plataformas de videoconferencia omnipresentes y en relaciones personales valiosas”. No dijo que explota una falla del software. Dijo que explota la confianza.

Por qué importa a quien dirige en la región

Durante años, la regla informal fue simple: si lo veo en video, es él. Una videollamada servía para confirmar lo que un correo no podía. Hoy cerramos tratos, aprobamos pagos y conocemos proveedores, candidatos e inversionistas por Zoom, Teams o una llamada de WhatsApp. Y muchas empresas de la región funcionan, para bien, sobre relaciones personales: el proveedor de confianza, el socio que te presentó a otro socio.

FaceStealer muestra que esa confianza es justamente la superficie de ataque. No hace falta que la IA haga una cara perfecta. Basta con que llegue la invitación correcta, desde la cuenta correcta, en el momento correcto, y que alguien acepte instalar algo para que se escuche el audio.

Por eso creo que el problema no es tecnológico. Es de procesos. Y los procesos los decide quien dirige, no el área de sistemas.

El argumento contrario

Se puede decir que esto es un problema del mundo cripto, y que una empresa que no tiene criptomonedas no está en la mira. Es cierto que FaceStealer apuntaba sobre todo a esa industria. Pero el FBI también detectó intentos contra desarrolladores de software de código abierto, incluidos quienes mantienen paquetes de npm y de Rust, y dijo que este año el esquema estuvo cerca de llevar a una falsa llamada de Teams al responsable de una biblioteca importante de JavaScript.

Y hay algo más de fondo. Lo que este esquema roba primero no es dinero: son sesiones del navegador, contraseñas tecleadas y cuentas de mensajería. El dinero viene después. Cualquier empresa que entra a su banco, a su nómina o a su correo desde un navegador tiene algo que vale la pena robar.

También se puede decir que pedir verificaciones a todos frena el negocio y ofende a la gente de confianza. Lo entiendo. Pero una regla clara, conocida por todos y aplicada a todos, no ofende a nadie: protege también a quien te llama. Grandy lo dijo de otra forma: si no te imaginas un escenario en que podrías caer, no estás pensando con suficiente creatividad.

Qué hacer con esto

Si diriges una empresa que se reúne por video con clientes, proveedores o inversionistas, hay cuatro reglas que puedes dejar escritas esta semana:

1. Nada se instala durante una llamada. Ni un “arreglo” de audio, ni un complemento, ni una actualización que alguien te pide en ese momento. Si algo falla, se corta y se vuelve a llamar.
2. Las reuniones externas se abren desde la aplicación. Que tu equipo entre a Zoom o Teams desde la aplicación instalada y con el código de la reunión, no desde un enlace que llegó por correo o por chat.
3. Una invitación inesperada se confirma por otro canal. Si un conocido te propone una reunión que no esperabas, escríbele o llámalo a un número que ya tenías. Una cuenta de LinkedIn o Telegram puede estar tomada aunque escriba igual que siempre.
4. El dinero y los accesos nunca dependen de una sola llamada. Para mover dinero, cambiar datos bancarios de un proveedor o dar acceso a sistemas, exige dos aprobaciones y una confirmación fuera de la videollamada. Empieza por quienes manejan pagos, claves o código: son el blanco principal.

Una cara conocida en la pantalla dejó de ser una prueba. Lo que sigue siendo tuyo son las reglas con que decides confiar.

A partir de información de Departamento de Justicia de EE. UU..