El colega de la videollamada no está realmente ahí: cómo el ‘FaceStealer’ norcoreano convirtió las webcams en un golpe de 400 millones de dólares
El truco funciona porque nada en él parece un truco. Llega un mensaje de alguien conocido: un antiguo colaborador, un desarrollador de un proyecto en el que participaste. Propone una videollamada rápida. Al conectarte, ahí está en pantalla, asintiendo, aparentemente hablando. Solo el sonido parece fallar.
Ese pequeño fallo, según la Oficina Federal de Investigación de Estados Unidos (FBI), es el inicio de una de las operaciones de pirateo norcoreanas más eficaces de los últimos años. El FBI afirma que hackers respaldados por el Estado, mediante un esquema que denomina «FaceStealer», se han llevado más de 400 millones de dólares en criptomonedas en los últimos 18 meses, con más de 900 víctimas.
Cómo funciona el círculo
El FBI y el Departamento de Justicia describen un ciclo que se alimenta a sí mismo:
- La invitación. Con cuentas falsas o secuestradas en redes sociales, los atacantes invitan a su objetivo a una reunión en plataformas aparentemente conocidas, que en realidad son imitaciones de Zoom, Microsoft Teams o Google Meet.
- La cara prestada. En lugar de una persona en directo, la víctima ve imágenes pregrabadas de una víctima anterior, idealmente alguien conocido. Para ocultar que el «interlocutor» no puede responder, el audio parece fallar.
- El arreglo. Una ventana emergente ofrece reparar el sonido. Al pulsarla se acaba instalando un programa malicioso que abre el dispositivo de la víctima, incluidos sus contactos y aplicaciones.
- La grabación. La propia llamada se graba en secreto. La cara de la nueva víctima se convierte en materia prima para engañar a la siguiente persona de su lista de contactos.
Cada éxito produce, por tanto, dinero y un nuevo cebo. El FBI dice haber incautado más de 900 de estos vídeos de víctimas: un archivo inquietante de personas corrientes ante su webcam, reutilizadas como disfraces.
A quién apuntan
El esquema se centra en quienes trabajan en criptomonedas y Web3, sobre todo en quienes desarrollan y mantienen software de código abierto. Desde el punto de vista del atacante tiene sentido: las comunidades de código abierto funcionan gracias a la confianza entre personas que a menudo solo se conocen a través de una pantalla, y un único mantenedor comprometido puede dar acceso a monederos, repositorios de código o toda una red de colaboradores.
Los responsables del FBI han sido inusualmente francos sobre lo difícil que es detectarlo. La agencia describió FaceStealer como capaz de engañar incluso a usuarios técnicos experimentados y conscientes de la seguridad. Un alto agente en Los Ángeles lo expresó de forma memorable: si no puedes imaginar un escenario en el que caerías, no estás pensando con suficiente creatividad.
Por qué importa más allá de las criptomonedas
Funcionarios estadounidenses afirman que Pyongyang depende en gran medida del robo masivo de criptomonedas para financiar sus programas de armas. La revelación de FaceStealer llega solo una semana después de que Binance informara de que unos hackers habían usado entrevistas de trabajo falsas para sustraer una cifra récord de 6.300 millones de dólares a la plataforma, un ataque que las agencias estadounidenses atribuyeron a actores vinculados a Corea del Norte. Pyongyang lo niega.
La lección más amplia tiene que ver con el propio vídeo. Durante años, ver la cara de alguien en una llamada ha servido como prueba informal de identidad. FaceStealer explota precisamente esa costumbre, y ni siquiera necesita deepfakes sofisticados: bastan grabaciones reales reproducidas en el momento justo.
Lecciones prácticas
Es probable que los equipos de seguridad repitan unas cuantas reglas sencillas en las próximas semanas. Desconfiar de cualquier enlace de reunión que no proceda de un dominio oficial. No instalar nunca software para «arreglar» el audio o el vídeo durante una llamada. Si una cara conocida parece incapaz de responder, confirmar por otro canal antes de seguir. Nada de esto es un consejo nuevo. Lo nuevo es el precio de ignorarlo.