Hackers norcoreanos usan videollamadas falsas y deepfakes para robar más de USD 400 millones en cripto

El FBI reveló que un grupo de hackers vinculados al Gobierno de Corea del Norte ha sustraído más de 400 millones de dólares en criptomonedas durante los últimos 18 meses, empleando falsas videollamadas de Zoom, Microsoft Teams y Google Meet. La operación, denominada “FaceStealer”, combina la captura clandestina de videos de webcam con técnicas de ingeniería social y, cada vez más, con deepfakes generados por inteligencia artificial. El Departamento de Justicia, en paralelo, incautó la infraestructura en la nube utilizada por los ciberdelincuentes y publicó una alerta técnica con los pormenores del método.

Cómo funciona la trampa: del robo del video al acceso al equipo

Todo inicia con una víctima previa. Los atacantes se infiltran en la cuenta de Telegram, Signal o cualquier otra app de mensajería cifrada de la persona, revisan su historial de chats y extraen la lista de contactos. Con la cámara del dispositivo de la víctima, graban su rostro mientras espera que empiece una videollamada. Luego, se hacen pasar por la propia víctima y envían a cada contacto un mensaje personal que invita a una supuesta reunión: “ponernos al día”, “hablar de una colaboración” o “explorar oportunidades de inversión”.

El enlace que envían parece provenir de Zoom, Teams o Google Meet, pero en realidad dirige a una página clonada, con una URL casi idéntica a la oficial. Al entrar, la persona ve el video previamente grabado del conocido (y, en ocasiones, de otros supuestos participantes). Cuando la víctima comenta que hay un problema de audio, el impostor le solicita hacer clic en una “actualización”, ejecutar un comando o pegar un código. Ese paso instala malware capaz de robar contraseñas, capturar la pantalla y abrir una puerta trasera al equipo.

El papel de la inteligencia artificial y los deepfakes

Según la alerta del FBI, los hackers ya están incorporando deepfakes –videos falsos generados con IA que imitan la voz y los gestos de personas del mundo cripto– para reforzar la credibilidad de sus engaños. Sin embargo, la base del fraude sigue siendo el uso de videos reales robados, que resultan mucho más convincentes porque provienen de la propia víctima. La combinación de material real y deepfakes complica aún más la detección del ataque.

En varios casos, los cibercriminales no roban las criptomonedas al instante. Esperan meses o incluso más de un año, observando cómo el saldo de la cartera crece, para vaciarla cuando el monto alcanza cifras más jugosas. Esta estrategia de “paciencia criminal” permite maximizar el botín y dificulta el rastreo de los fondos.

Impacto en el ecosistema de código abierto y la respuesta de las autoridades

Los ataques no se limitan a usuarios particulares; también apuntan a proyectos de código abierto. En lo que va del año, los hackers intentaron infectar una popular biblioteca de JavaScript con decenas de millones de descargas semanales. Una detección temprana evitó que el código malicioso se propagara, pero el intento subraya la vulnerabilidad de los repositorios públicos ante actores estatales.

Patrick Grandy, director a cargo de la oficina del FBI en Los Ángeles, advirtió: “Si no puede imaginar un escenario en el que caería en esto, no está pensando con suficiente creatividad”. La alerta recomienda ingresar a las reuniones desde la aplicación oficial mediante códigos de invitación, no a través de enlaces, y verificar la identidad del interlocutor antes de encender la cámara. También sugiere activar la verificación en dos pasos en Telegram, WhatsApp y Slack, y, en caso de sospecha, trasladar los criptoactivos a una billetera nueva creada en otro dispositivo.

El Departamento de Justicia informó que obtuvo autorización judicial para incautar o inmovilizar más de 1.200 millones de dólares de los fondos robados a la plataforma Binance. Además, se señaló que militares norcoreanos se llevaron activos por más de 6.000 millones de dólares alrededor del 29 de octubre, mientras que el Gobierno de EE. UU. y empresas privadas congelaron alrededor de 2.700 millones.

Los antecedentes de los ciberataques norcoreanos

Corea del Norte ha desarrollado, desde hace una década, una sofisticada infraestructura de ciberespionaje y robo financiero. Los grupos Lazarus, APT38 y otros vinculados al Estado han sido responsables de ataques contra bancos, exchanges y proyectos de criptomonedas en todo el mundo. La escasez de recursos y las sanciones internacionales han convertido al cibercrimen en una fuente de ingresos crucial para el régimen.

En 2016, el mismo Lazarus Group perpetró el robo de 81 millones de dólares de la plataforma de intercambio Coincheck, marcando uno de los mayores hurtos de cripto de la historia. Desde entonces, la táctica ha evolucionado: de phishing tradicional a campañas de ransomware, y ahora a la explotación de videollamadas y deepfakes. Cada nuevo método refleja una adaptación constante a las tecnologías emergentes y a los hábitos de los usuarios.

La reciente ola de “FaceStealer” muestra cómo el Estado norcoreano combina espionaje tradicional con IA generativa, creando una amenaza híbrida que afecta tanto a inversores individuales como a grandes instituciones. La comunidad internacional sigue buscando vías legales y técnicas para frenar esta corriente, pero la rapidez con la que los atacantes adoptan nuevas herramientas sigue dejando a muchos vulnerables.

Explora más noticias en nuestra sección: Mundo