FaceStealer: falsas videollamadas que dejaron 400 M$ a Corea del Norte

¿Cómo funciona la estafa FaceStealer?

Empieza con una invitación desde una cuenta secuestrada, así que quien la envía puede ser alguien a quien conoces. Jeremy Robertson, agente del FBI en Los Ángeles, explicó que el mensaje suele apoyarse en conversaciones o intereses previos. La invitación del calendario incluye URL con typosquatting, es decir, direcciones casi idénticas a las reales.

El enlace lleva a una falsa reunión de Zoom o Teams. Los atacantes graban la webcam de la víctima mientras reproducen un vídeo previamente grabado de la supuesta persona que invita, a veces un deepfake de figuras conocidas del sector cripto. Se ve la cara y los labios se mueven, pero no hay sonido. Un cuadro de texto indica que hay que actualizar el software para oír y ofrece un enlace.

Ese enlace instala malware que roba criptomonedas y envía la lista de contactos a los ladrones para seguir extendiendo la estafa.

¿Quién está detrás y a quién apunta?

El FBI atribuye FaceStealer a Sapphire Sleet, también conocido como UNC1069, Stardust Chollima, APT38 y BlueNoroff, considerado una rama del grupo Lazarus. Los objetivos son sobre todo trabajadores de cripto y web3, además de desarrolladores y mantenedores de código abierto, cuyos repositorios sirven como primer paso hacia ataques a la cadena de suministro.

Brett Leatherman, subdirector de la división cibernética del FBI, dijo que los hackers norcoreanos combinan cada vez más intrusión, ingeniería social y deepfakes.

Sobre Binance, el FBI atribuye el robo del 29 de octubre a TraderTraitor, otro grupo vinculado a Corea del Norte. Binance explicó que la preparación empezó en junio, con falsas entrevistas de trabajo, malware, herramientas internas de IA comprometidas y un método avanzado de autorización de transacciones. Se han congelado más de 2.700 millones de dólares, y la autorización judicial cubre más de 1.200 millones.