FaceStealer: el FBI alerta de un ciberataque norcoreano que ha robado más de 400 millones de dólares en criptomonedas
El FBI y el Departamento de Justicia de Estados Unidos han anunciado la interrupción de una infraestructura utilizada por ciberdelincuentes vinculados con Corea del Norte para robar criptomonedas mediante falsas videollamadas, suplantación de identidad y programas maliciosos. La operación, denominada FaceStealer, ha provocado pérdidas superiores a 400 millones de dólares durante los últimos 18 meses.
La investigación, anunciada oficialmente el 12 de noviembre de 2026, ha permitido intervenir infraestructura alojada en la nube y recuperar más de 900 vídeos de cámaras web que los delincuentes habían grabado sin el consentimiento de sus víctimas.
El FBI advierte de que los atacantes utilizan versiones fraudulentas de conocidas plataformas de videoconferencia, como Zoom, Microsoft Teams y Google Meet, para engañar a profesionales del sector de las criptomonedas y Web3.
El procedimiento incorpora una técnica especialmente peligrosa: mostrar vídeos previamente grabados de personas conocidas para convencer a la víctima de que está participando en una reunión auténtica.
Posteriormente, los delincuentes provocan un supuesto problema técnico e inducen al usuario a ejecutar instrucciones que terminan instalando malware en su ordenador.
El ataque puede permitir el robo de criptomonedas, credenciales y datos personales, así como el acceso a sistemas empresariales y proyectos de software.
Desde Victifin analizamos esta nueva alerta internacional y las medidas necesarias para prevenir un fraude que combina manipulación psicológica, inteligencia artificial y ataques informáticos avanzados.
¿Qué es FaceStealer?
FaceStealer es el nombre utilizado por el FBI para identificar una campaña de ingeniería social atribuida a actores cibernéticos patrocinados por Corea del Norte.
No se trata únicamente de un programa informático malicioso, sino de un procedimiento organizado que combina varias técnicas:
- Suplantación de contactos profesionales.
- Robo de cuentas de mensajería.
- Falsas invitaciones a videoconferencias.
- Grabación clandestina de cámaras web.
- Utilización de vídeos auténticos y deepfakes.
- Instalación de malware mediante falsas instrucciones técnicas.
- Robo de criptomonedas y credenciales.
- Intentos de comprometer proyectos de software de código abierto.
El FBI relaciona esta actividad con actores conocidos en el sector de la ciberseguridad bajo denominaciones como Sapphire Sleet, UNC1069, BlueNoroff, APT38 y Stardust Chollima, entre otras.
Estas denominaciones corresponden a identificaciones utilizadas por diferentes organizaciones de inteligencia de amenazas y no deben interpretarse necesariamente como grupos independientes responsables de cada incidente.
Fuente oficial: FBI — FaceStealer Cryptocurrency Theft Scheme.
Más de 400 millones de dólares robados en solo 18 meses
La dimensión económica de FaceStealer es uno de los aspectos más relevantes de la investigación.
Según el FBI, los actores vinculados a esta campaña han conseguido sustraer más de 400 millones de dólares en criptomonedas durante los últimos 18 meses.
La cifra demuestra que los ataques dirigidos contra profesionales tecnológicos y titulares de activos digitales pueden generar pérdidas muy superiores a las que habitualmente se observan en estafas individuales.
Los ciberdelincuentes no necesitan engañar a miles de pequeños inversores si consiguen comprometer a personas que gestionan monederos importantes o tienen acceso a sistemas empresariales.
El riesgo de las cuentas profesionales comprometidas
Una persona que trabaja en una empresa de criptomonedas puede disponer de acceso a monederos, herramientas administrativas, repositorios de software y comunicaciones internas.
Si un atacante consigue controlar su ordenador, puede obtener información que facilite nuevas intrusiones.
Por eso FaceStealer no se limita a robar dinero directamente.
También busca aprovechar las relaciones profesionales y los permisos de acceso de sus víctimas.
Cómo funciona FaceStealer: las seis fases del ataque explicadas por el FBI
El informe oficial FLASH AC-111226-MS, publicado el 12 de noviembre de 2026, describe el funcionamiento de esta campaña.
Primera fase: comprometer a una víctima y robar sus comunicaciones
Los ciberdelincuentes consiguen acceso al dispositivo o a las cuentas de comunicación de una primera persona.
Pueden obtener contactos, historiales de conversaciones e información sobre sus relaciones personales y profesionales.
También graban clandestinamente imágenes de su cámara web.
Esta persona se convierte en el punto de partida para atacar a otros miembros de su entorno.
Segunda fase: contactar con sus conocidos desde una cuenta legítima
Los atacantes utilizan cuentas previamente comprometidas de Telegram, LinkedIn, Slack, Discord u otras plataformas.
Desde esas cuentas envían mensajes a personas que conocen a la víctima original.
Las invitaciones pueden aparentar ser reuniones de trabajo, colaboraciones profesionales o conversaciones sobre oportunidades de inversión.
Este método resulta especialmente convincente porque el mensaje puede proceder de una cuenta auténtica que anteriormente pertenecía a una persona de confianza.
Una cuenta real puede estar secuestrada. Por tanto, reconocer el nombre y la fotografía del remitente no garantiza que sea quien está escribiendo.
Tercera fase: enviar un enlace falso de Zoom o Teams
Cuando la nueva víctima acepta participar en la reunión, recibe un enlace que imita la dirección de una plataforma legítima.
Los delincuentes utilizan dominios diseñados para parecer auténticos.
El FBI identifica ejemplos concretos, entre ellos uu01webzoom.us y teams.livemeet.us.
Estas direcciones figuran en el informe como parte de la infraestructura maliciosa y no deben visitarse.
Al acceder, la víctima encuentra una página que reproduce visualmente una sala de videoconferencia.
Cuarta fase: mostrar vídeos auténticos de personas conocidas
Una vez iniciada la supuesta reunión, los atacantes reproducen grabaciones obtenidas de víctimas anteriores.
De esta forma, el usuario cree estar viendo a una persona con la que ya había mantenido contacto.
Los delincuentes pueden incorporar varias grabaciones para simular una conversación con diferentes participantes.
Mientras tanto, el sistema también puede comenzar a grabar a la nueva víctima.
Esta es una de las características que diferencia FaceStealer de otros ataques de phishing.
Los delincuentes convierten la imagen de una víctima en una herramienta para engañar a las siguientes.
Quinta fase: inventar un fallo técnico para instalar malware
Durante la falsa videoconferencia aparece un supuesto problema.
El usuario puede recibir un mensaje indicando que su micrófono no funciona o que los demás participantes no pueden escucharlo.
Para solucionarlo, el supuesto contacto le indica que instale una actualización o ejecute determinadas instrucciones.
En algunos casos, los delincuentes solicitan copiar y pegar código en la terminal del ordenador.
Esa operación puede provocar la instalación de software malicioso.
Según el FBI, el malware utilizado puede incorporar herramientas para registrar pulsaciones de teclado, capturar pantallas, obtener cookies del navegador y mantener acceso remoto al dispositivo.
La víctima cree estar solucionando un problema de sonido, cuando en realidad puede estar comprometiendo la seguridad de todo su equipo.
Sexta fase: robar información y repetir el ataque
Una vez infectado el dispositivo, los delincuentes pueden intentar acceder a monederos de criptomonedas y cuentas profesionales.
También pueden obtener nuevas listas de contactos y grabaciones.
Con esa información comienzan otra campaña contra personas relacionadas con la víctima.
El resultado es un sistema de propagación basado en la confianza.
Cada cuenta comprometida puede facilitar nuevas suplantaciones.
El FBI recupera más de 900 vídeos grabados clandestinamente
Uno de los resultados más relevantes de la operación estadounidense es la intervención de más de 900 vídeos de cámaras web de víctimas repartidas por diferentes países.
Los archivos formaban parte de la infraestructura utilizada para engañar a nuevas personas.
No se trataba necesariamente de grabaciones generadas mediante inteligencia artificial.
En muchos casos eran vídeos reales obtenidos sin consentimiento.
Los delincuentes podían reproducirlos para simular la presencia de una persona conocida durante una videoconferencia.
La importancia de las grabaciones auténticas
Un vídeo real puede resultar mucho más convincente que una falsificación generada mediante inteligencia artificial.
La persona que recibe la llamada reconoce rasgos, movimientos y expresiones de su contacto.
Sin embargo, esas imágenes pueden corresponder a una grabación anterior.
Por tanto, ver a una persona conocida en una videollamada no demuestra necesariamente que esté participando en directo.
El FBI recomienda comprobar la identidad de los participantes y retrasar la activación de la cámara hasta confirmar que la reunión es auténtica.
FaceStealer también utiliza deepfakes e inteligencia artificial
El informe estadounidense advierte de que los responsables de FaceStealer han comenzado a incorporar vídeos manipulados mediante inteligencia artificial.
Los deepfakes se utilizan especialmente para simular la presencia de personas influyentes del sector de las criptomonedas y Web3.
Esta capacidad permite que los delincuentes no dependan exclusivamente de grabaciones obtenidas previamente.
Pueden fabricar una identidad visual convincente utilizando fotografías y vídeos públicos.
Sin embargo, el FBI precisa que la campaña continúa apoyándose principalmente en grabaciones auténticas robadas a otras víctimas.
La evolución de la suplantación digital
Durante años, los delincuentes utilizaron mensajes de texto, fotografías y correos electrónicos falsificados.
Posteriormente comenzaron a emplear voces clonadas y vídeos manipulados.
FaceStealer demuestra que la suplantación puede convertirse en una experiencia interactiva.
El usuario no solo recibe un mensaje supuestamente enviado por una persona conocida.
También cree estar participando en una reunión con ella.
La confianza generada por esa situación facilita que acepte instrucciones que normalmente consideraría sospechosas.
La amenaza se extiende a los desarrolladores de software de código abierto
La investigación del FBI revela que los atacantes han ampliado sus objetivos.
Además de dirigirse a titulares de criptomonedas, están intentando comprometer a desarrolladores y responsables de proyectos de software de código abierto.
Esta actividad plantea un riesgo para la cadena de suministro de software.
¿Qué es un ataque a la cadena de suministro?
Numerosas aplicaciones utilizan bibliotecas y componentes desarrollados por terceros.
Estos componentes permiten incorporar funciones sin necesidad de programarlas desde cero.
Sin embargo, cuando un delincuente consigue controlar una biblioteca ampliamente utilizada, puede intentar introducir código malicioso en nuevas versiones o dependencias.
El riesgo es que ese código termine incorporado a aplicaciones legítimas utilizadas por numerosas personas.
El intento contra una biblioteca de JavaScript
El FBI documenta un ataque dirigido contra el responsable de una biblioteca de JavaScript con decenas de millones de descargas semanales.
Los delincuentes utilizaron una falsa reunión de Microsoft Teams y consiguieron que el desarrollador ejecutara instrucciones maliciosas.
Posteriormente intentaron aprovechar su acceso para crear dependencias fraudulentas.
Según el FBI, una detección y respuesta rápida impidió que el incidente provocara una afectación de gran escala.
El organismo también advierte de intentos dirigidos contra responsables de paquetes publicados en NPM y repositorios de Rust.
Una sola cuenta de desarrollo comprometida puede convertirse en una vía de ataque contra numerosas organizaciones que utilizan sus componentes.
Los ciberdelincuentes pueden esperar meses antes de robar las criptomonedas
Otro aspecto especialmente preocupante es que FaceStealer no siempre provoca un robo inmediato.
El FBI documenta casos en los que los atacantes esperaron meses, e incluso más de un año, después de comprometer un dispositivo.
Durante ese período podían vigilar las cuentas y observar cuándo aumentaba el saldo de determinados monederos.
Posteriormente utilizaban la información obtenida para apropiarse de los activos.
El peligro de las frases de recuperación
Las carteras de criptomonedas pueden utilizar frases de recuperación o claves privadas para controlar los fondos.
Si un atacante consigue obtener esa información, puede intentar reconstruir el monedero y transferir sus activos.
Por eso el FBI recomienda no almacenar las frases de recuperación en dispositivos conectados habitualmente a Internet.
También aconseja separar los activos de mayor valor de los equipos utilizados para comunicaciones cotidianas.
La simple eliminación del malware no garantiza la seguridad de un monedero cuyas claves privadas ya hayan sido robadas.
Cómo protegerse de FaceStealer: recomendaciones oficiales del FBI
El informe incluye medidas específicas destinadas a personas que trabajan en el sector tecnológico, inversores en criptomonedas y responsables de proyectos de software.
Utiliza aplicaciones oficiales de videoconferencia
El FBI recomienda acceder a reuniones mediante la aplicación oficial de Zoom o Microsoft Teams y utilizar el identificador de reunión.
Esta medida reduce el riesgo de entrar en páginas que imitan plataformas conocidas.
Comprueba las invitaciones mediante otro canal
Si recibes una invitación inesperada por Telegram, confirma la reunión por teléfono o mediante otro canal de comunicación independiente.
La confirmación es especialmente importante cuando el contacto propone hablar sobre inversiones o criptomonedas.
No actives inmediatamente la cámara web
Antes de encenderla, comprueba que puedes comunicarte realmente con la persona que te ha invitado.
Esta precaución puede dificultar que los delincuentes obtengan nuevas grabaciones.
Nunca ejecutes código para arreglar una videollamada
Una plataforma de videoconferencia legítima no debería exigirte copiar instrucciones desconocidas en la terminal del ordenador para solucionar un problema de micrófono.
Si aparece una supuesta actualización, cierra la sesión y comprueba las actualizaciones desde la aplicación oficial.
Protege las cuentas de mensajería
Activa la autenticación multifactor cuando esté disponible.
Revisa las sesiones abiertas y elimina accesos desconocidos.
También conviene configurar alertas de nuevos inicios de sesión.
Mantén separadas las criptomonedas de mayor valor
Evita almacenar grandes cantidades en monederos del navegador utilizados diariamente.
El FBI recomienda proteger los activos importantes mediante dispositivos y métodos de custodia separados.
Nunca compartas la frase de recuperación ni la almacenes en archivos accesibles desde equipos expuestos.
¿Qué hacer si sospechas que has sido víctima de FaceStealer?
Si has participado en una videollamada sospechosa y posteriormente ejecutaste instrucciones para resolver un supuesto error técnico, debes considerar la posibilidad de que tu equipo esté comprometido.
1. Interrumpe el uso del dispositivo afectado para operaciones sensibles
No accedas desde ese equipo a tus cuentas bancarias, monederos o plataformas profesionales hasta que se haya evaluado su seguridad.
Solicita asistencia técnica especializada cuando sea necesario.
2. Protege inmediatamente tus criptomonedas
El FBI recomienda crear un nuevo monedero con nuevas claves desde un dispositivo limpio y transferir allí los activos cuando exista riesgo de compromiso de las claves anteriores.
No reutilices frases de recuperación sospechosas.
Si la situación afecta a fondos de una empresa o de terceros, debe intervenir su equipo de seguridad.
3. Cambia las contraseñas desde otro dispositivo seguro
Prioriza el correo electrónico, las cuentas de mensajería, las plataformas de criptomonedas y los accesos profesionales.
Cierra sesiones abiertas y revisa los mecanismos de recuperación de cuentas.
4. Advierte a tus contactos
Si los delincuentes han accedido a tus comunicaciones, podrían hacerse pasar por ti.
Informa a tus contactos de la posible suplantación para evitar nuevas víctimas.
5. Comunica el incidente a tu empresa
Si el dispositivo se utilizaba para trabajar o contenía credenciales profesionales, resulta esencial informar al equipo responsable de seguridad.
Una infección individual puede comprometer sistemas corporativos.
6. Conserva pruebas y denuncia
Guarda los mensajes de invitación, direcciones web, archivos recibidos y datos de las transacciones sospechosas.
Evita modificar innecesariamente los dispositivos que deban examinarse como prueba.
El FBI recomienda presentar una comunicación en IC3.gov, utilizando la palabra clave FaceStealer.
Acceder al portal oficial de denuncias IC3 del FBI.
En España también puede acudirse a las fuerzas y cuerpos de seguridad competentes.
Cómo denunciar una estafa online en España — Victifin.
¿Se pueden recuperar las criptomonedas robadas mediante FaceStealer?
La recuperación de criptomonedas robadas puede resultar especialmente compleja.
Las transacciones registradas en una cadena de bloques generalmente no pueden anularse de la misma manera que determinadas operaciones bancarias.
No obstante, la trazabilidad de algunas redes permite seguir los movimientos de los activos.
Cuando los fondos llegan a plataformas centralizadas, las autoridades pueden intentar localizar e inmovilizar cantidades si concurren las circunstancias legales y técnicas necesarias.
La intervención de infraestructura no equivale a recuperar todas las pérdidas
La operación anunciada el 12 de noviembre supone un avance importante contra FaceStealer.
Sin embargo, la intervención de servidores y vídeos no significa que se hayan recuperado los 400 millones de dólares robados.
El comunicado del Departamento de Justicia también describe actuaciones separadas relacionadas con un ataque contra Binance.
Estas actuaciones no deben confundirse con las cifras específicas de FaceStealer.
Cada investigación y cada procedimiento de recuperación deben analizarse de forma independiente.
FaceStealer y el ataque contra Binance: dos operaciones diferentes anunciadas el mismo día
El Departamento de Justicia estadounidense presentó el 12 de noviembre de 2026 varias medidas contra operaciones de robo de criptomonedas atribuidas a actores norcoreanos.
Entre ellas se encuentra la interrupción de infraestructura de FaceStealer.
También anunció actuaciones relacionadas con un robo de activos virtuales a Binance, atribuido a actores identificados como TraderTraitor.
El Departamento de Justicia informó de que se habían conseguido congelar más de 2.700 millones de dólares relacionados con este último caso, y que existían autorizaciones judiciales para intervenir o restringir más de 1.200 millones.
Estas cifras corresponden al incidente de Binance y no forman parte de los 400 millones atribuidos a FaceStealer.
La diferenciación es necesaria para no sumar cantidades correspondientes a investigaciones distintas.
FaceStealer y la financiación de actividades del régimen norcoreano
El Departamento de Justicia de Estados Unidos atribuye la operación a actores vinculados con Corea del Norte.
Las autoridades estadounidenses sostienen que el robo de criptomonedas forma parte de las actividades utilizadas para obtener recursos económicos destinados al régimen.
La investigación sobre FaceStealer constituye una nueva muestra de cómo las operaciones de ingeniería social pueden formar parte de campañas de ciberdelincuencia de carácter internacional.
En este contexto, los ataques contra profesionales de Web3 no deben entenderse únicamente como fraudes individuales.
También pueden formar parte de operaciones dirigidas a comprometer empresas, activos financieros y herramientas tecnológicas estratégicas.
Preguntas frecuentes sobre FaceStealer
¿Qué es FaceStealer?
Es una campaña de ingeniería social atribuida por el FBI a ciberdelincuentes norcoreanos que utilizan falsas videollamadas, grabaciones robadas y malware para acceder a criptomonedas y sistemas informáticos.
¿Cuánto dinero ha robado?
Según el FBI, la campaña ha provocado robos superiores a 400 millones de dólares durante los últimos 18 meses.
¿Se puede infectar un ordenador durante una videollamada?
Sí, si la persona accede a un entorno malicioso y sigue instrucciones que provocan la instalación de malware. En FaceStealer, el ataque descrito implica engañar a la víctima para que ejecute una falsa solución técnica.
¿Utiliza inteligencia artificial?
Sí. El FBI advierte del uso emergente de deepfakes para simular personas conocidas, aunque señala que la campaña sigue utilizando principalmente vídeos reales de víctimas anteriores.
¿Los vídeos recuperados pertenecían a 900 víctimas?
El FBI informó de la intervención de más de 900 vídeos de cámaras web de víctimas. Esa cifra corresponde a archivos recuperados, no a un recuento exhaustivo de todas las personas afectadas.
¿Solo afecta a titulares de criptomonedas?
No. También se dirige a desarrolladores y responsables de software de código abierto, especialmente cuando tienen acceso a repositorios y sistemas utilizados por otras organizaciones.
¿Cómo puedo saber si una videollamada es falsa?
Comprueba la dirección del servicio, utiliza la aplicación oficial y verifica la identidad del remitente mediante un canal independiente. Desconfía de instrucciones para ejecutar código o instalar actualizaciones inesperadas.
¿Dónde puedo denunciar FaceStealer?
El FBI recomienda comunicar los incidentes a IC3.gov utilizando la palabra clave FaceStealer. En España también puedes denunciar los hechos ante las autoridades competentes.
¿Se pueden recuperar las criptomonedas robadas?
Dependerá de la trazabilidad de los activos, la disponibilidad de los fondos y las actuaciones que puedan realizar las autoridades. No existe una recuperación garantizada.
Victifin: asesoramiento especializado ante el robo de criptomonedas y el fraude digital
La investigación sobre FaceStealer demuestra que las amenazas financieras digitales ya no dependen exclusivamente de anuncios engañosos o falsas plataformas de inversión.
Los delincuentes pueden aprovechar las relaciones personales, las herramientas de trabajo y la confianza depositada en aplicaciones utilizadas diariamente.
Una videollamada aparentemente normal puede convertirse en el inicio de una intrusión informática con consecuencias económicas importantes.
Desde Victifin consideramos fundamental informar a los usuarios sobre estas técnicas, proteger a las posibles víctimas y fomentar la conservación de pruebas.
Soy Jéssica González, presidenta de Victifin, y también fui víctima de una estafa. Conozco la incertidumbre que se siente al no saber qué hacer ni a quién acudir. Puedes consultarme sin compromiso para recibir orientación inicial y conocer cómo solicitar la revisión de tu caso.
Si has sufrido un robo de criptomonedas o una estafa financiera relacionada con plataformas digitales, puedes solicitar orientación inicial.
Asesoramiento especializado — Victifin
Correo electrónico: [email protected]
Teléfono: 689 680 474
Formulario: Revisa mi caso gratuitamente.
La revisión inicial es gratuita y no supone representación jurídica gratuita ni garantiza la recuperación de los fondos.
FaceStealer deja una advertencia fundamental: una identidad conocida, una videollamada aparentemente auténtica y una relación profesional de confianza ya no son garantías suficientes de seguridad digital.
Victifin — Asociación de víctimas de estafas financieras.
Publicado el 13 de noviembre de 2026.
Fuentes oficiales
- FBI — FaceStealer Cryptocurrency Theft Scheme.
- FBI / IC3 — Informe técnico FLASH AC-111226-MS, 12 de noviembre de 2026 (PDF).
- Departamento de Justicia de Estados Unidos — Operación contra los robos de criptomonedas de Corea del Norte, 12 de noviembre de 2026.
- FBI / IC3 — Portal oficial para denunciar ciberdelitos.
- INCIBE — Instituto Nacional de Ciberseguridad de España.
