IA

FaceStealer: 400 millones en cripto robados con deepfakes

El FBI incautó la infraestructura de FaceStealer: un esquema de ingeniería social que roba 400 millones usando webcam pirateada, deepfakes y ClickFix.

Fernando Luis

— 9 min read

El 12 de noviembre de 2026, el Departamento de Justicia de Estados Unidos y el FBI anunciaron una operación coordinada contra una campaña de robo de criptomonedas atribuida a Corea del Norte. El objetivo central era la infraestructura en la nube que sostiene un esquema de ingeniería social conocido como FaceStealer, y el botín declarado supera los 400 millones de dólares en dieciocho meses. En el marco de la misma operación se solicitó la incautación judicial de unos 1.200 millones de dólares en activos virtuales robados a la plataforma Binance en un ataque distinto, y se confirmó que ya se han congelado unos 2.700 millones.

Lo relevante del anuncio no es el dinero, sino el mecanismo. FaceStealer combina tres técnicas que hasta ahora se habían visto por separado: suplantar a personas de confianza en una videollamada, reutilizar material real grabado con la cámara de víctimas anteriores y generar deepfakes de figuras del sector para darle apariencia de legitimidad a la escena. El FBI resume el problema con una frase que vale para todo el sector: se trata de un esquema capaz de engañar incluso al usuario técnico y de seguridad experto, porque explota la confianza en las plataformas de videoconferencia y en las relaciones personales.

Un esquema que se propaga solo

El FBI publicó el 12 de noviembre una alerta conocida como FLASH AC-111226-MS en la que documenta el ciclo completo de ataque. La parte más incómoda del esquema es que cada víctima se convierte en el vector del siguiente, de manera que la biblioteca de material robado crece de forma exponencial con cada nueva infección.

El ciclo, según la alerta, tiene seis etapas:

  • Etapa 1 — Compromiso de la primera víctima. Los atacantes escanean el dispositivo para localizar monederos, frases de recuperación y otros accesos valiosos, se apropian de su cuenta de Telegram o de otra aplicación de mensajería cifrada, obtienen la lista de contactos y el historial de conversaciones, y graban en secreto la cámara de la víctima mientras esta espera el inicio de una videollamada.
  • Etapa 2 — Uso de la cuenta secuestrada. Con la cuenta de mensajería de la víctima en su poder, los atacantes se hacen pasar por ella y escriben a sus contactos proponiendo una reunión por Zoom o Teams, con pretextos como retomar el contacto, hablar de colaboración o comentar una oportunidad de inversión. Como tienen acceso al historial, pueden redactar mensajes personalizados para los contactos de mayor valor.
  • Etapa 3 — La cita falsa. Cuando el objetivo responde con interés, envían una invitación de Calendly u otro servicio de calendario. Poco antes de la hora acordada, y siempre desde la cuenta legítima de la víctima, llega un enlace que imita a Zoom o Teams pero que en realidad apunta a un dominio registrado por los atacantes. La alerta recoge dos ejemplos: uu01webzoom.us y teams.livemeet.us.
  • Etapa 4 — La grabación de la víctima. Cuando el objetivo entra en la sesión falsa, los atacantes reproducen la grabación de la cámara de la víctima original y añaden otros vídeos para aparentar que hay varios participantes de confianza en la reunión.
  • Etapa 5 — La autoinfección. Tras unos segundos, quien hace de víctima escribe por mensaje directo al objetivo y le comunica que hay un problema de audio, o que solo él se le oye. El objetivo recibe un arreglo: pulsar un enlace de actualización, ejecutar un script o copiar y pegar código en la terminal. Al seguir esas instrucciones instala en su equipo un recolector de cookies del navegador, un registrador de pulsaciones de teclado, un capturador de pantalla y una puerta trasera.
  • Etapa 6 — El ciclo se repite. Con el dispositivo de la nueva víctima comprometido, los atacantes pueden robarle las criptomonedas, esperar meses a que su saldo crezca y sequestrar sus cuentas de comunicación, y a su vez atacar a los contactos de esa persona.

Ese último punto explica por qué el FBI califica el esquema como especialmente difícil de detectar: no hace falta un fallo de día cero ni un exploit. Basta con que alguien ejecute el código que le piden.

La cámara prestada y el deepfake

Hasta ahora, la parte más importante de FaceStealer dependía de vídeos reales. Y el detalle que desarma la intuición es que esos vídeos no son deepfakes: son grabaciones genuinas, robadas de la cámara de una víctima que además seguía usando su propio ordenador mientras la utilizan. La imagen que da credibilidad a la reunión es real, y por eso mismo resulta muy difícil cuestionar.

El FBI describe además el uso de lo que las fuentes llaman super intelligence para generar deepfakes de personalidades del sector de las criptomonedas y de web3. Se toman fotos o vídeos públicos de esas figuras y se convierten en deepfakes que se usan dentro de las reuniones falsas, ya sea en lugar del vídeo de la víctima o junto a él para simular una conversación con varias personas. El FBI subraya un matiz importante: la calidad solo tiene que ser suficiente para pasar por una cámara web.

Arctic Wolf, que ha seguido la campaña desde el rastreador de materiales del atacante, describe en su informe de noviembre un cambio en la fase de reconocimiento: el material de cebo ya no se extrae solo de las fotos de perfil y de las grabaciones de webcam de víctimas anteriores, sino también de entrevistas de YouTube y de charlas de conferencia que el propio atacante graba de pantalla. Así consigue capturar la imagen y la voz de un fundador o un director ejecutivo concretos y construir reuniones falsas sin necesidad de comprometer a esa persona. La compañía cifra el alcance: 677 objetivos identificados en 58 países, de los que el 84 % son fundadores o miembros del comité de dirección.

El FBI reconoce la contribución de Arctic Wolf en ese punto concreto de la alerta y deja además claro el reparto real del peso: el esquema sigue apoyándose de forma abrumadora en los vídeos genuinos de las víctimas. El deepfake es el refuerzo, no el motor.

El kit del atacante: generación de imágenes al servicio del fraude

Conviene separar dos capas que la prensa suele mezclar. Una es la generación de deepfakes de personalidades del sector, la capa visible y la que aporta el titular. La otra, más banal y probablemente más decisiva en la práctica, son las herramientas de contenido generativo que fabrican el mobiliario de la escena: capturas de perfil, avatares e ilustraciones.

Arctic Wolf documenta que la campaña recurre a tecnología generativa de ChatGPT, Google, Grok y al generador de contenido de Wondershare para producir esos avatares y vídeos sintéticos. Las imágenes de perfil generadas con ChatGPT se emplean como avatares estáticos en las llamadas, de manera que la cuadrícula de participantes parece poblada aunque no haya ninguna persona real detrás. Es el tipo de detalle que no aparece en las alertas oficiales y que explica cómo se sostiene la farsa a escala: cada participante falso necesita una imagen de aspecto plausible.

Los números

  • Más de 400 millones de dólares robados en criptomonedas en los últimos dieciocho meses, según el FBI y el Departamento de Justicia.
  • Más de 900 vídeos de webcam de víctimas fueron identificados e incautados por el FBI en la infraestructura del atacante; son el material con el que se suplantaba a las personas en ataques posteriores.
  • 677 objetivos en 58 países identificados por Arctic Wolf en la biblioteca de medios del atacante, con un 84 % de fundadores y altos directivos. En su informe de abril la misma compañía había identificado más de 400 objetivos en 20 países, de los que verificó de forma independiente cien.
  • Reparto sectorial: el 54 % de los objetivos identificados trabajaba en el sector de las monedas virtuales y la cadena de bloques, y otro 26 % en finanzas e inversión adyacentes; los fundadores y los directores generales sumaban el 45 % del conjunto.
  • Retraso en el saqueo: en varios casos los atacantes robaron las criptomonedas y sequestraron cuentas de comunicación meses, o incluso más de un año, después del compromiso inicial, a la espera de que los saldos crecieran.

El objetivo real: la cadena de suministro de software

El dinero en criptomonedas es el objetivo visible, pero el FBI insiste en que FaceStealer también se dirige a personas que desarrollan y mantienen software de código abierto. La lógica es la misma que en cualquier ataque a la cadena de suministro: si los atacantes consiguen infectar el equipo de un mantenedor y acceder a su cuenta en el repositorio, un solo punto de compromiso se convierte en millones de víctimas que descargan la biblioteca.

La alerta describe un intento casi consumado contra una biblioteca de JavaScript de código abierto con decenas de millones de descargas semanales.

En ese intento, los atacantes hicieron pasar la reunión por un espacio de trabajo de Teams en el que participaban varias personas, al menos una de las cuales el mantenedor reconocía. Tras una interacción, el mantenedor recibió un mensaje de que su equipo tenía un problema y siguió las medidas correctivas recomendadas, infectando su ordenador sin saberlo. Los atacantes usaron después su acceso a la biblioteca para crear dependencias maliciosas que se descargaban junto con el código legítimo.

De no ser por la rápida detección y respuesta al compromiso, el ataque habría podido causar una victimización a gran escala. El FBI afirma que hay otros intentos en curso contra mantenedores de paquetes publicados en el registro de JavaScript, en el gestor de paquetes de Node y, más recientemente, contra mantenedores de paquetes de Rust. A lo largo de 2026, el mismo esquema se utilizó contra el mantenedor de la popular biblioteca Axios, que llegó a publicar una versión troyanizada con un acceso remoto multiplataforma.

Qué recomienda el FBI

La alerta cierra con una lista de medidas que, más allá de la ciberseguridad, tocan hábitos de trabajo. Las más relevantes:

  • Al entrar en una videollamada, usa siempre la aplicación oficial (Zoom o Teams) y un código de invitación, en lugar de hacer clic en enlaces que abren la versión web. La regla es especialmente importante cuando la invitación llega de un contacto poco frecuente o nuevo.
  • No enciendas la cámara hasta que veas, oigas y hables con la persona que te invitó. Retrasar el vídeo te da tiempo para inspeccionar a tu interlocutor antes de entregarle tu imagen.
  • Si te piden actualizar el cliente durante una reunión, no ejecutes scripts ni pegues código en la terminal. Actualiza la aplicación por separado.
  • Revisa las invitaciones de Calendly: los atacantes no suelen incluir el enlace de la reunión en el correo de invitación, sino que lo envían cerca de la hora acordada para reducir la exposición de su infraestructura.
  • Confirma la reunión por otro canal: si te escriben por Telegram, confirma por teléfono.
  • Protege Telegram, WhatsApp, Slack y otras aplicaciones de mensajería con autenticación en dos pasos, avisos de inicio de sesión y mensajes que se autodestruyen.
  • En las carteras de criptomonedas, deja en la extensión del navegador solo cantidades pequeñas y conserva los saldos importantes en un dispositivo físico desconectado o en una plataforma de intercambio. No guardes frases de recuperación ni claves privadas en el equipo.

Si crees que te han comprometido

  • Crea una cartera nueva, con frases de recuperación nuevas, en un equipo que no se haya usado para comunicarte con los atacantes, y traslada allí tus activos.
  • Cambia las contraseñas de Telegram, WhatsApp, otras mensajería, cuentas de desarrollo y servicios sensibles; cierra todas las sesiones abiertas y activa la autenticación en dos pasos.
  • Avisa a tus contactos y a tu empresa: los atacantes usarán tu cuenta y tu vídeo para atacar a otros, y tus documentos de trabajo pueden estar comprometidos.
  • Cambia todas las contraseñas, incluidas las de la cuenta de correo.
  • Presenta una denuncia en IC3.gov con la palabra FaceStealer en el texto.

Lo que cambia en el modelo de confianza

La lección de FaceStealer no es que los deepfakes ya son indistinguibles. Es que no hace falta que lo sean. Los deepfakes solo tienen que pasar una prueba muy laxa: parecerse a una cámara web durante una reunión, en la que además la atención está repartida y hay varios participantes. La imagen real de una víctima aporta una confianza que ningún análisis de píxeles puede discutir, porque no es una imitación: es un recuerdo robado.

El punto de rotura real está en otro lugar. En toda la cadena, el único paso que exige acción de la víctima es el mismo: ejecutar un comando, pegar un fragmento de código o aceptar una actualización falsa. El atacante puede suplantar a quien quiera, clonar a quien quiera, pero necesita que alguien pulse. Por eso las recomendaciones del FBI son tan poco tecnológicas: no uses enlaces, no enciendas la cámara antes de hablar, no pegues código en la terminal para "arreglar" un problema de audio durante una reunión.

Y hay un efecto que conviene no pasar por alto: la infraestructura es desechable. Cuando el FBI incautó la nube del atacante y más de 900 vídeos, el esquema no se derrumbó, se desplazó. Los dominios typosquatados se registran por lotes, las cuentas de Telegram se crean y se queman, y los vínculos maliciosos se envían justo antes de la cita para dejar la menor huella posible. Es un patrón caro de detener con apoios reactivos, y barato de repetir.

Para un sector como el de las criptomonedas, donde una frase de recuperación robada equivale a perderlo todo, la lección operativa es incómoda: la autenticación en dos pasos, el aviso de sesión y un monedero físico desconectado son hoy la única defensa razonable frente a un atacante que ya tiene tu cara y tu voz.

Fuentes

Read more