FaceStealer: el FBI alerta de falsas llamadas de Zoom que vacían wallets de criptomonedas

Una invitación a una videollamada de un contacto conocido puede ser el inicio de un robo. El FBI alerta de una táctica llamada FaceStealer: hackers norcoreanos invitan, a través de cuentas secuestradas, a sesiones falsas de Zoom y Teams, reproducen allí vídeos grabados de conocidos reales y consiguen que la víctima instale ella misma el malware. Según el Departamento de Justicia de EE. UU., los autores han robado así en los últimos 18 meses criptomonedas por valor de más de 400 millones de dólares.

El 12 de noviembre de 2026, el departamento incautó la infraestructura en la nube de la campaña. En el mismo comunicado informó de que los tribunales han autorizado la incautación o el bloqueo de más de 1.200 millones de dólares procedentes del hackeo de Binance del 29 de octubre. Ambas cosas figuran en el comunicado del Departamento de Justicia de EE. UU. del 12 de noviembre. La defensa más importante es sencilla: inicia las videoconferencias solo desde la aplicación oficial con el código de la reunión y nunca ejecutes un script que alguien te envíe durante una llamada.

FaceStealer: cómo funciona la estafa de las llamadas falsas de Zoom

FaceStealer es el nombre que el FBI ha dado a una campaña de ingeniería social. La ingeniería social consiste en que los atacantes no aprovechan un fallo técnico, sino que convencen a las personas para que les abran ellas mismas la puerta. Según el FBI, detrás de FaceStealer hay grupos conocidos con nombres como Sapphire Sleet, UNC1069, BlueNoroff, APT38 o Stardust Chollima. Todos se atribuyen al Estado norcoreano.

El principio es un círculo. Cada nueva víctima aporta a los atacantes tres cosas: acceso a su ordenador, acceso a sus cuentas de chat y un vídeo de su webcam grabado en secreto. Con la cuenta y el vídeo, los atacantes contactan después con los contactos de la víctima. El FBI asegura haber incautado, mediante una orden de registro, más de 900 grabaciones de este tipo. Cada una corresponde a una persona cuyo rostro ya ha servido de cebo para el siguiente ataque.

Cuentas de Telegram secuestradas como puerta de entrada para la invitación

El primer contacto no llega de desconocidos. Los atacantes escriben desde cuentas reales de víctimas anteriores; el FBI menciona Telegram, LinkedIn, Slack y Discord. Como leen el historial de los chats, pueden adaptar sus mensajes a conversaciones anteriores. Los pretextos suenan inofensivos: ponerse al día, hablar de una colaboración, comentar una oportunidad de inversión.

Tras una respuesta afirmativa llega una solicitud de cita a través de Calendly o un servicio de calendario similar. Según el FBI, llama la atención que esta invitación a menudo todavía no incluye el enlace a la videoconferencia. Los atacantes lo envían poco antes de la cita a través de la cuenta de chat secuestrada. Así su infraestructura permanece visible el menor tiempo posible, y para entonces la víctima ya ha recibido al menos dos mensajes de una cuenta de confianza.

Typosquatting: páginas falsas de Zoom y Teams con aspecto de sala de espera

El enlace no lleva a Zoom ni a Microsoft Teams, sino a una página de los atacantes. El FBI habla de typosquatting: los atacantes registran direcciones que se parecen mucho a las de servicios reales, por ejemplo con letras intercambiadas, palabras añadidas o guiones. Como ejemplos, el organismo cita uu01webzoom.us y teams.livemeet.us. La interfaz copiada pretende ser indistinguible del original, incluida la sala de espera en la que aparentemente aguardas a que te dejen entrar.

En cuanto haces clic en el enlace, tu webcam ya está grabando. En la reunión ves después el vídeo del conocido que te invitó, a menudo junto a otros participantes. En realidad son grabaciones de víctimas anteriores que se reproducen. Quien enciende su cámara aporta el material para la siguiente ronda.

El falso fallo de audio como trampa para instalar malware

Al poco tiempo, el supuesto conocido escribe en el chat de la reunión que no puede oírte. Los demás participantes aumentan la presión, porque parece que solo tú tienes el problema. Entonces llega la supuesta solución. Te piden que hagas clic en un aviso de actualización, que ejecutes un script o que copies un comando en la terminal.

Justo ese paso instala el malware. Según el FBI, descarga entre otras cosas un programa que roba las cookies del navegador, un keylogger que registra las pulsaciones del teclado, una herramienta de captura de pantalla y una puerta trasera para mantener el acceso. Los investigadores de seguridad llaman a esta técnica ClickFix: la víctima ejecuta ella misma el comando malicioso, por lo que muchos programas de protección no saltan. La empresa de seguridad Arctic Wolf ha publicado un análisis técnico de estos ataques en un informe propio.

Vídeos deepfake de figuras conocidas del sector cripto, una nueva fase

La novedad de la alerta es el uso de deepfakes. Un deepfake es un vídeo generado con inteligencia artificial que muestra a una persona real en una escena que nunca grabó. Según el FBI, los atacantes crean ya este tipo de vídeos a partir de fotos y clips públicos de personas conocidas del sector cripto y Web3. La calidad solo tiene que bastar para una imagen de webcam.

Un rostro falso de una figura conocida en la llamada busca aumentar aún más la confianza. Sin embargo, el FBI subraya que la campaña sigue basándose sobre todo en vídeos robados de víctimas reales. Para ti, esto significa que una cara conocida en pantalla ya no demuestra que esa persona esté realmente al otro lado.

Frase semilla en el ordenador: por qué los atacantes esperan meses

Un detalle de la alerta resulta especialmente delicado. Tras una infección con éxito, el malware busca en el ordenador wallets de criptomonedas, frases semilla y otros accesos. La frase semilla es la secuencia de palabras con la que se puede restaurar por completo una wallet. Quien la tiene, tiene las monedas.

Los atacantes no actúan de inmediato. En varios casos, según el FBI, el robo se produjo meses o incluso más de un año después de la infección original. Los atacantes copian las palabras de recuperación, vigilan los saldos en la blockchain y solo vacían la wallet cuando, tras un depósito importante, hay suficiente que llevarse. Un ordenador infectado hace meses sigue siendo, por tanto, un peligro hoy, aunque hasta ahora no haya desaparecido nada.

Hackeo de Binance: 1.200 millones de dólares incautados y 2.700 millones congelados

La segunda parte del comunicado se refiere al hackeo de Binance. El 29 de octubre o en torno a esa fecha, miembros del ejército norcoreano, a los que el FBI denomina TraderTraitor, sustrajeron a Binance activos virtuales por valor de más de 6.000 millones de dólares, según el Departamento de Justicia. Cómo se desarrolló el ataque y quién está detrás lo resumimos en nuestro informe sobre el hackeo de Binance y TraderTraitor.

Desde entonces, autoridades y empresas han congelado conjuntamente más de 2.700 millones de dólares. Para más de 1.200 millones de dólares de esa cantidad ya existe una autorización judicial de incautación o bloqueo. La búsqueda continúa, porque según el departamento los autores mueven el botín a través de bridges, mezcladores y exchanges. Un bridge es un servicio que transfiere tokens entre dos blockchains; un mezclador combina los pagos de muchos usuarios para ocultar su origen. El fiscal general adjunto A. Tysen Duva afirmó que se pudo frenar de inmediato aproximadamente la mitad de este robo histórico.

Para los clientes de un exchange, el caso demuestra la importancia de la supervisión y de reglas claras de custodia. Una autorización conforme al reglamento europeo MiCA obliga a los proveedores en la UE, entre otras cosas, a custodiar por separado los fondos de los clientes.

Cadena de suministro de código abierto: paquetes de npm y Rust en el punto de mira

FaceStealer no solo apunta a los saldos en criptomonedas. Según el FBI, los atacantes se dirigen cada vez más a personas que desarrollan y mantienen software de código abierto. Si consiguen acceder a sus ordenadores, pueden introducir código malicioso en paquetes de software que después descargan millones de usuarios. Los expertos lo llaman un ataque a la cadena de suministro.

A principios de año estuvo a punto de lograrse, según el FBI. El responsable de una gran biblioteca de JavaScript con decenas de millones de descargas a la semana siguió en una llamada falsa de Teams la supuesta solución al fallo. Los atacantes usaron su acceso para introducir dependencias maliciosas en la biblioteca. Solo la rápida detección evitó un daño mayor. Otros intentos se dirigieron contra responsables de paquetes del registro de JavaScript npm y, más recientemente, contra paquetes de Rust, los llamados crates. El software de las wallets también se basa en este tipo de paquetes.

Patrick Grandy, responsable de la oficina del FBI en Los Ángeles, describe la táctica como muy eficaz, incluso frente a usuarios con conocimientos técnicos y conscientes de la seguridad. FaceStealer aprovecha la confianza en las videoconferencias, hoy omnipresentes, y en las relaciones personales. Quien no sea capaz de imaginar un escenario en el que caería en la trampa no está pensando con suficiente creatividad, afirmó Grandy según el comunicado.

Cómo protegerte de las videollamadas falsas y del malware ClickFix

Qué ha pasado: el 12 de noviembre de 2026, el Departamento de Justicia de EE. UU. y el FBI incautaron la infraestructura de la campaña norcoreana FaceStealer. Los atacantes atraen a sus objetivos a través de cuentas de chat secuestradas hacia sesiones clonadas de Zoom y Teams y, con un falso fallo de audio, consiguen que instalen malware. Según el departamento, el daño supera los 400 millones de dólares en 18 meses.

¿Te afecta? Según el FBI, el foco está en profesionales del sector cripto y Web3 y en desarrolladores de software de código abierto. Sin embargo, como los atacantes recorren las listas de contactos de sus víctimas, cualquiera que esté conectado con estas personas puede recibir un mensaje. Una señal de alarma es una videollamada a la que entras por un enlace en lugar de por la aplicación y durante la cual te piden ejecutar una actualización, un script o un comando. Si lo has hecho en los últimos meses, considera el ordenador infectado.

1. Código de reunión en lugar de enlace: entra en las sesiones de Zoom o Teams solo desde la aplicación instalada con el código de la reunión, sobre todo si la invitación llega de contactos con los que hablas poco.
2. La cámara, más tarde: enciende la webcam solo cuando veas y oigas en directo a la persona que te invita y le hayas hecho una pregunta que solo ella pueda responder.
3. Ningún comando durante la llamada: no ejecutes nunca un script ni copies código en la terminal durante una reunión; si hace falta, actualiza la aplicación por separado desde la web del fabricante.
4. Segundo canal: confirma cada cita por una vía distinta de la que llegó la invitación, por ejemplo con una llamada si la solicitud llegó por Telegram.
5. Protege tus cuentas de chat: activa en Telegram, WhatsApp y Slack la verificación en dos pasos y los avisos de inicio de sesión, y usa mensajes temporales para que los historiales secuestrados revelen poco.

Los fundamentos de la custodia segura se explican en nuestra guía sobre cómo guardar criptomonedas de forma segura, y los dispositivos adecuados se comparan en la comparativa de wallets de hardware.

Ordenador infectado: los pasos de emergencia que recomienda el FBI

Quien sospeche haber caído en una trampa así debe poner primero a salvo sus monedas. El FBI recomienda crear, en un dispositivo que nunca se haya usado para comunicarse con los atacantes, una nueva wallet con una nueva frase semilla y trasladar allí todos los fondos. La antigua frase de recuperación debe darse por quemada, porque los atacantes pueden haberla copiado y quizá solo esperan el momento adecuado.

Después vienen las cuentas. Cambia todas las contraseñas, cierra todas las sesiones activas en Telegram, WhatsApp y otros servicios y configura la verificación en dos pasos. Si ya has perdido el acceso a una cuenta, dirígete a la plataforma para que la bloquee o la restaure. Avisa también a tus contactos de que alguien podría escribir en tu nombre y reproducir tu vídeo de webcam. Si la llamada se hizo en un ordenador del trabajo o hay archivos laborales en tu dispositivo personal, también debes informar a tu empresa.

En Estados Unidos, el FBI recibe denuncias a través de la plataforma IC3 con la palabra clave FaceStealer. En Alemania, la policía es el primer punto de contacto, y la mayoría de los estados federados ofrecen para ello una comisaría en línea.

Wallet de software o de hardware: dónde aconseja el FBI guardar las cantidades grandes

Una wallet de software es un programa o una extensión del navegador que guarda tus claves en el ordenador o el smartphone. Justo ahí ataca FaceStealer. Por eso el FBI aconseja mantener solo cantidades pequeñas en extensiones del navegador. Las cantidades mayores deben ir a un dispositivo físico independiente que no esté conectado al ordenador, o a un exchange. Según el FBI, las frases de recuperación y las claves privadas no deben estar en ningún dispositivo.

Una wallet de hardware firma las transacciones en su propio dispositivo y la clave privada nunca sale de él. Por eso un keylogger en el portátil no puede capturarla. La condición es que nunca teclees la frase semilla, nunca la fotografíes y nunca la guardes en la nube. Para el día a día con cantidades pequeñas, una wallet de software sigue siendo práctica, siempre que no contenga más de lo que puedas permitirte perder.

Defensa contra FaceStealer: tres hábitos frente a la estafa de 400 millones

1. Reparte tus fondos: guarda en la wallet del navegador solo lo que necesites para las próximas transacciones y traslada el resto a un dispositivo de la comparativa de wallets de hardware.
2. Elige un exchange supervisado: si dejas monedas en una plataforma, elige una con licencia MiCA de nuestra selección de exchanges de criptomonedas regulados.
3. Elige con criterio tu wallet del día a día: para cantidades pequeñas en el smartphone, la comparativa de wallets de software te ayuda a elegir una app con avisos sobre las transacciones.

(13 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)