✨︎ Resumen (TL;DR):
- El FBI atribuyó a hackers norcoreanos el robo de más de 400 millones de dólares en criptomonedas durante 18 meses.
- El Departamento de Justicia incautó infraestructura en la nube y el FBI decomisó más de 900 videos de cámaras web.
- Los atacantes también intentaron comprometer a desarrolladores de código abierto y usan videos reales junto con deepfakes.
El FBI atribuyó a hackers norcoreanos el robo de más de 400 millones de dólares en criptomonedas durante 18 meses mediante FaceStealer, una campaña de falsas videollamadas que usa grabaciones de contactos conocidos para engañar a sus objetivos. El Departamento de Justicia de Estados Unidos anunció el 12 de noviembre la incautación de infraestructura en la nube utilizada por la operación.
FaceStealer es una campaña de fraude que utiliza falsas videollamadas y grabaciones de contactos conocidos para engañar a sus objetivos, acceder a activos en criptomonedas o aprovechar sus permisos en otros sistemas.
Además, el FBI decomisó, con una orden judicial, más de 900 videos de cámaras web de víctimas. La agencia informó el número de grabaciones, pero no precisó cuántas personas distintas aparecen en ellas.
La trampa comienza con un contacto conocido
El engaño puede arrancar con un mensaje enviado desde la cuenta comprometida de alguien conocido. Los atacantes proponen una reunión y llevan a la persona a una página que imita servicios de videollamadas como Zoom o Microsoft Teams.
Al entrar, la víctima encuentra grabaciones previas de contactos que reconoce. Los atacantes pueden mostrar varios videos para hacer creer que hay más participantes y también registran imágenes de la nueva víctima.
Luego simulan un problema técnico, como una falla de audio, y ofrecen una supuesta solución. Si la persona sigue las indicaciones, puede instalar software malicioso. Eso les permite acceder a criptomonedas o aprovechar permisos en otros sistemas, de acuerdo con el Departamento de Justicia.
En algunos casos, el robo de activos y la toma de cuentas de comunicación pueden ocurrir meses o incluso más de un año después de la intrusión inicial. El acceso a contactos y conversaciones les permite buscar nuevos objetivos.
Las páginas descritas imitan las plataformas de reuniones, pero la alerta no afirma que los sistemas de Zoom o Microsoft Teams hayan sido vulnerados en esta campaña.
El video real sigue siendo la pieza clave
El FBI advirtió que los responsables también han comenzado a crear videos falsificados con inteligencia artificial, conocidos como deepfakes, a partir de imágenes públicas de personas conocidas en los sectores de criptomonedas y Web3. Esos videos pueden aparecer solos o junto a grabaciones auténticas en una reunión falsa.
La agencia señala que la campaña depende principalmente de videos reales robados a víctimas anteriores. La alerta no atribuye una parte concreta de los más de 400 millones de dólares al uso de imágenes generadas con IA.
Reconocer a una persona en pantalla no garantiza que participe en directo, incluso cuando la imagen procede de una grabación auténtica.
El blanco también puede ser el código abierto
Los objetivos no se limitan a quienes trabajan con criptomonedas. El FBI dijo que los atacantes también han intentado comprometer a desarrolladores y responsables de mantener software de código abierto, cuyos proyectos pueden ser utilizados por otras empresas y aplicaciones.
En un caso descrito por la agencia este año, el responsable de una biblioteca de JavaScript entró a una falsa reunión y terminó con su computadora infectada. Los atacantes aprovecharon su acceso para crear dependencias maliciosas que podrían descargarse junto con la biblioteca legítima.
El FBI dijo que la biblioteca recibe decenas de millones de descargas semanales. La agencia afirmó que detectó y atendió el ataque con rapidez, lo que evitó una afectación a gran escala. La alerta no identifica la biblioteca.
FaceStealer y Binance siguen sin conexión confirmada
El Departamento de Justicia presentó FaceStealer como una campaña separada del robo a Binance anunciado a finales de octubre. Un agente del FBI dijo a The Record que todavía no estaba claro si FaceStealer fue uno de los métodos utilizados para vulnerar la plataforma.
Corea del Norte había rechazado anteriormente la atribución estadounidense del ataque a Binance, informó Associated Press. Esa declaración se refería a ese robo y no se localizó una respuesta pública específica sobre FaceStealer.
Qué recomienda el FBI
Para reducir el riesgo, la agencia recomienda:
- Confirmar la reunión por otro canal de comunicación.
- Entrar mediante la aplicación oficial con el código de invitación.
- Mantener la cámara apagada hasta poder ver, escuchar y comunicarse con quien convocó la reunión.
- Si aparece una solicitud inesperada para actualizar el programa, no seguir sus instrucciones ni pegar código en la terminal para resolverla.
La alerta del FBI ofrece orientación adicional para quienes crean haber sido afectados.
El comunicado no precisa cuánto del dinero atribuido a FaceStealer se ha recuperado ni si la infraestructura intervenida representa la totalidad de la campaña. Tampoco asigna una parte concreta del robo al uso de deepfakes. La recomendación central es verificar la reunión por otro canal, porque una grabación auténtica de un contacto conocido también puede servir como señuelo.
