Deepfakes y cripto: el fraude norcoreano que engaña por videollamada

El FBI ha concluido que actores vinculados a Corea del Norte han sustraído más de 400 millones de dólares en criptomonedas en los últimos 18 meses mediante un esquema de ingeniería social bautizado como FaceStealer. El vector principal no es un fallo de software ni un exploit de día cero: es una videollamada. Los atacantes suplantan la identidad de personas de confianza usando vídeo generado o manipulado para convencer a sus víctimas de que autorizan transferencias, comparten credenciales o abren acceso a sus sistemas.

La noticia forma parte de un paquete de acciones coordinadas del Gobierno de EE. UU., que incluye medidas sobre servicios en la nube. Para una pyme española, la tentación es pensar que esto es un problema de exchanges y grandes fondos. Es un error de enfoque: el mecanismo —confiar en una cara conocida en pantalla— es exactamente el mismo que usan hoy los fraudes de cambio de IBAN, las solicitudes de pago urgentes del «CEO» o los accesos remotos a soporte que se piden por teléfono.

Qué cambia con el vídeo sintético

Hasta hace poco, el fraude del CEO se detectaba por el tono del correo o por una voz extraña al teléfono. El vídeo en tiempo real elimina esa fricción: la víctima ve a una persona que reconoce, con su aspecto y su forma de hablar, y baja la guardia. En organizaciones pequeñas, donde la confianza personal pesa más que los procedimientos, ese salto es especialmente peligroso.

Conviene separar dos planos. El primero es el robo directo de criptoactivos, que afecta a quien custodia claves o autoriza operaciones con ellas. El segundo, más relevante para la mayoría de pymes, es el uso del deepfake como puerta de entrada a credenciales corporativas, cuentas de correo, herramientas de facturación o paneles de administración. Una vez dentro, el atacante no necesita cripto: puede desviar pagos, pedir financiación en nombre de la empresa o instalar persistencia.

Por qué una pyme debería revisar sus procedimientos

• Autorización fuera de canal. Cualquier instrucción de pago o cambio de datos bancarios debe confirmarse por un segundo canal independiente, nunca en la misma llamada ni en el mismo hilo de correo.
• Doble firma en operaciones sensibles. Si una sola persona puede mover dinero o dar acceso administrativo, el control es decorativo.
• Verificación de identidad en soporte remoto. Los equipos de IT reciben peticiones de acceso; conviene exigir identificación y ticket previo, como ya comentamos al hablar de SCKit y ScreenConnect.
• Higiene de cuentas. MFA resistente a phishing, revisión de sesiones activas y alertas de inicio de sesión anómalo.
• Formación con ejemplos reales. Mostrar un vídeo manipulado vale más que una política de seguridad de diez páginas.

El factor humano no se parchea, se entrena

La lección de FaceStealer es incómoda: la tecnología defensiva sola no detiene una conversación convincente. Lo que frena el fraude es el proceso. Un empleado que sabe que siempre debe colgar y llamar a un número conocido antes de autorizar una transferencia es más eficaz que un antivirus de última generación frente a este tipo de ataque.

La identidad visual ya no es prueba de identidad. La confianza debe apoyarse en procedimientos verificables, no en lo que vemos en pantalla.

También conviene revisar la exposición de herramientas de IA y automatizaciones, un frente que ya tratamos en agentes de IA que rompen las reglas de seguridad. Cuantos más asistentes y accesos delegados tengamos, más superficie para que una suplantación derive en una acción real.

Qué recomendamos hacer esta semana

1. Definir por escrito el procedimiento de verificación para pagos y cambios de datos bancarios, con un canal alternativo obligatorio.
2. Revisar quién tiene permisos de administrador y reducir esa lista al mínimo imprescindible.
3. Activar alertas de acceso y revisar sesiones abiertas en correo, banca y paneles cloud.
4. Hacer una píldora formativa de 20 minutos con ejemplos de suplantación por vídeo y voz.
5. Probar el procedimiento con una simulación interna: si nadie detecta el intento, hay margen de mejora.

No hace falta ser un objetivo estratégico para caer en una estafa de este tipo. Basta con que un atacante encuentre a una persona con acceso y prisa. La buena noticia es que la defensa no exige presupuestos enormes: exige criterio, procesos y algo de escepticismo sano.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.