FBI: hackers norcoreanos robaron más de US$400 millones con videollamadas falsas

Hackers norcoreanos robaron más de US$400 millones en criptomonedas en los últimos 18 meses con un esquema de videollamadas falsas que el FBI bautizó “FaceStealer”. Lo informaron el jueves 12 de noviembre el FBI y el Departamento de Justicia de Estados Unidos, que anunciaron que desarticularon la infraestructura en la nube que sostenía la operación.

Con una orden judicial, el FBI obtuvo además más de 900 videos de las cámaras web de víctimas. El buró atribuyó el esquema a APT38, uno de los grupos de hackers del gobierno norcoreano. Patrick Grandy, del FBI, describió el engaño como “muy eficaz” y “capaz de engañar incluso al usuario más experimentado y consciente de la seguridad”, según The Record.

Cómo funciona el engaño

La víctima recibe por Calendly una invitación a una reunión de Zoom o Teams, enviada desde la cuenta de alguien que conoce y que los hackers ya habían tomado. El enlace no lleva a Zoom ni a Teams, sino a un dominio falso que puede instalar programas maliciosos antes de que la reunión empiece.

Dentro de la llamada, los atacantes reproducen videos de víctimas anteriores para que parezca que hay varios participantes reales, y graban la cámara de la nueva víctima para usarla después. Luego inventan una falla de audio y ofrecen un “arreglo”. Ese arreglo instala un ladrón de cookies del navegador, registradores de teclas, capturadores de pantalla y una puerta trasera. En algunos ataques usan deepfakes hechos con IA de figuras conocidas del mundo cripto.

Con el equipo tomado, roban las criptomonedas y toman las cuentas de Telegram, LinkedIn, Slack y Discord de la víctima. Desde ahí escriben a sus contactos, con mensajes ajustados gracias a los historiales de chat robados. Así, cada víctima amplía la lista de blancos.

A quién apunta

El objetivo principal son empresas y profesionales de criptomonedas y Web3, pero el FBI advirtió que el grupo apunta cada vez más a desarrolladores de software de código abierto, incluidos quienes mantienen paquetes de npm y de Rust.

El anuncio llegó junto a otra acción: la incautación o el congelamiento de más de US$1.200 millones robados a Binance, parte de unos US$2.700 millones inmovilizados en varias plataformas. Es un caso distinto, atribuido al grupo norcoreano TraderTraitor. Brett Leatherman, director de operaciones de la división cibernética del FBI, dijo que Corea del Norte usa lo robado en cripto para financiar su programa de armas.

La alerta del FBI

El FBI acompañó el anuncio con una alerta técnica de tipo FLASH, publicada en su centro de denuncias por internet, IC3. El mensaje de fondo es el mismo que dejó el caso: una cara conocida en la pantalla ya no basta para confiar en una llamada.

Qué significa para las empresas de la región

El engaño explota la confianza en una cara conocida, y cualquier empresa que se reúne por video con proveedores, inversionistas o candidatos usa los mismos canales.

1. ¿Desde dónde entra tu equipo a las reuniones? Define que las llamadas externas se abren desde la aplicación y con el código, no desde enlaces recibidos por correo o chat.
2. ¿Qué pasa si alguien pide instalar algo en plena llamada? Nada se instala durante una reunión: si el audio falla, se corta y se vuelve a llamar.
3. ¿Cómo confirmas una invitación inesperada de un conocido? Por otro canal y con un número que ya tenías. Un perfil hackeado de LinkedIn o Telegram es el punto de partida del engaño.
4. ¿Quién maneja pagos, claves o código? Son el blanco principal: avísales primero y exige más de una aprobación para mover dinero.

Qué mirar

Si el FBI identifica a más víctimas con los videos incautados, si aparecen casos fuera de Estados Unidos y del sector cripto y si el grupo cambia de táctica tras perder su infraestructura en la nube.

A partir de información de Departamento de Justicia de EE. UU. y FBI (alerta FLASH AC-111226-MS, IC3).