FaceStealer, el engaño norcoreano por videollamada
El FBI describe cómo hackers norcoreanos usan vídeos robados de webcam en reuniones falsas de Zoom y Teams para instalar malware y robar criptomonedas.
Por Marc Mauri · · Hechos revisados el 13 de noviembre de 2026 · 5 min de lectura · 1 fuente
Índice de esta página
Lo esencial. El FBI publicó el 12 de noviembre de 2026 un aviso sobre FaceStealer, un fraude que atribuye a hackers de Corea del Norte. Usan reuniones falsas de Zoom o Teams con vídeos grabados a víctimas anteriores para que instales malware, y según el FBI han robado más de $400 millones en 18 meses. Lo más útil: entra a las reuniones con la app oficial y el código de la reunión, no con el enlace, y no enciendas la cámara hasta ver y oír a quien te invitó.
Qué ha publicado el FBI
El 12 de noviembre de 2026 el FBI publicó un aviso FLASH dirigido a quienes trabajan en cripto y web3 y a quienes mantienen software de código abierto. Llama FaceStealer a la campaña y la atribuye a hackers patrocinados por el Estado norcoreano, conocidos también como Sapphire Sleet, APT38 o BlueNoroff, entre otros nombres. Según el aviso, han robado más de $400 millones en criptomonedas en los últimos 18 meses, y el FBI ha identificado e incautado más de 900 vídeos de webcam de víctimas que se usaban para suplantarlas.
Todo lo que contamos sale de ese documento del FBI: no hemos encontrado otra fuente que lo confirme, ni coberturas de prensa con las que contrastarlo.
Dato: $400 millones en 18 meses son unos $22 millones al mes de media (400 ÷ 18 = 22,2). La cuenta es nuestra; el FBI no da el reparto por meses.
Cómo funciona FaceStealer, paso a paso
El FBI lo describe en seis fases:
- Una víctima ya infectada. Los atacantes han buscado en su ordenador monederos y frases semilla, le han quitado el control de Telegram u otra app de mensajería, leen sus chats y contactos, y la han grabado con su webcam mientras esperaba a que empezara una videollamada.
- Mensajes desde una cuenta real. Escriben a sus contactos haciéndose pasar por ella y proponen una reunión: ponerse al día, hablar de colaboraciones o de inversiones. Con el historial pueden adaptar el mensaje. También usan cuentas nuevas o robadas en Telegram, LinkedIn, Slack y Discord.
- Cita y enlace de última hora. Fijan la hora con Calendly u otra agenda y, poco antes, envían un enlace que imita a Zoom o Teams con un dominio de nombre parecido (typosquatting), como
uu01webzoom.usoteams.livemeet.us, que lleva a una copia de la interfaz. - Vídeos pregrabados. Al entrar ves el vídeo de tu contacto y, a menudo, otros más, para simular varios participantes.
- El falso error técnico. El supuesto contacto te escribe que no se te oye y te guía para pulsar una actualización, ejecutar un script o pegar código en el terminal. Eso instala un ladrón de cookies, un keylogger (registra lo que tecleas), capturas de pantalla y una puerta trasera. Además, te están grabando desde que pulsaste el enlace.
- Vuelta a empezar. Con tu vídeo y tu equipo, roban lo que puedan y van a por tus contactos.
Según el aviso, en varios casos esperaron de meses a más de un año antes de robar, a que creciera el saldo de los monederos.
Deepfakes y ataques a programadores
El FBI añade que los atacantes han empezado a usar lo que llama superinteligencia para fabricar deepfakes de personas conocidas del sector a partir de fotos y vídeos públicos, que solo necesitan parecer una webcam. Aun así, dice que el esquema sigue apoyándose sobre todo en vídeos reales robados. Cómo reconocer otros fraudes con caras falsas está en nuestro artículo sobre deepfakes.
El otro objetivo son los desarrolladores. El aviso cuenta que este año infectaron así al mantenedor de una biblioteca de JavaScript con decenas de millones de descargas semanales y usaron su acceso para crear dependencias maliciosas. Una detección y respuesta rápidas evitaron un daño a gran escala. Menciona otros intentos contra mantenedores de paquetes de NPM y de crates de Rust. No da el nombre de la biblioteca.
Cómo comprobar una videollamada antes de fiarte
Estas son las recomendaciones del FBI. El engaño no depende del país donde vivas, así que valen también si trabajas con cripto desde España (esto último es valoración nuestra):
| Situación | Qué hacer |
|---|---|
| Te mandan un enlace a la reunión | Entra con la app oficial y el código de reunión, no con el enlace |
| La invitación de Calendly no trae enlace de la reunión | Desconfía si el enlace llega por chat poco antes de la hora: los atacantes lo hacen para exponer menos su infraestructura |
| Acabas de entrar | No enciendas la cámara hasta ver, oír y hablar con quien te invitó |
| Te piden actualizar o pegar código | No lo hagas; actualiza la app por tu cuenta |
| Dudas de quién te escribe | Confírmalo por otra vía, como una llamada |
Para las apps de mensajería, el FBI aconseja activar la verificación en dos pasos, las alertas de inicio de sesión y los mensajes que caducan. Para los fondos, dejar poco en monederos de extensión del navegador, guardar el resto en un dispositivo físico desconectado o en una plataforma, y no tener frases de recuperación en ningún dispositivo. Cómo guardar fondos en un dispositivo físico está en nuestra guía de la wallet fría.
Si crees que te han infectado
El aviso pide actuar en este orden:
- Crear un monedero nuevo, con frase semilla nueva, en un equipo que no hayas usado con los atacantes, y pasar ahí los fondos.
- Cambiar contraseñas, cerrar todas las sesiones y activar la verificación en dos pasos en mensajería y cuentas de desarrollador.
- Avisar a tus contactos y, si usaste equipos o archivos del trabajo, a tu empresa.
- Pedir a la plataforma que cierre o te devuelva la cuenta si la has perdido.
El FBI recibe denuncias en IC3.gov con la palabra clave FaceStealer. Desde España, a quién acudir y qué esperar está en cómo denunciar un robo de cripto.
Lo que no se sabe
El aviso no nombra a las víctimas ni la biblioteca de JavaScript afectada, y no explica qué entiende por superinteligencia. Tampoco da un desglose de los $400 millones robados. Y, como ya hemos dicho, es nuestra única fuente: si el FBI o terceros publican más detalles, actualizaremos este artículo. Todo esto, a 13 de noviembre de 2026.
Atención: esto es información general, no asesoramiento de seguridad ni financiero.
Artículo informativo, no asesoramiento financiero ni fiscal. Se ha preparado con ayuda de IA y una persona ha comprobado los hechos: así trabajamos. ¿Has visto un error? Escribe a contacto@bitcoinblog.es.
Fuentes (1)
- North Korean Hackers Use Secretly Recorded Webcam Library of 900+ Tech Workers in $400M "FaceStealer" Crypto Theft Scheme (FLASH AC-111226-MS) · FBI (Internet Crime Complaint Center), consultada el 13 de noviembre de 2026
