El FBI alertó el 12 de noviembre de 2026 de FaceStealer, una estafa que suplanta a contactos conocidos en videollamadas falsas y termina instalando malware. La campaña, atribuida a hackers norcoreanos, ha robado más de 400 millones de dólares en criptomonedas durante los últimos 18 meses, según el Departamento de Justicia de Estados Unidos.
A quién apunta FaceStealer y qué señales buscar
El FBI describe ataques dirigidos sobre todo a personas de los sectores de criptomonedas y Web3. También se han centrado en desarrolladores y mantenedores de software de código abierto, con el objetivo de acceder a sus equipos y a las cuentas de repositorios que controlan. El Departamento de Justicia cifra en más de 900 los vídeos de webcam de víctimas que el FBI incautó.
La invitación puede llegar desde una cuenta real de Telegram, LinkedIn, Slack o Discord que haya sido robada. El mensaje suele encajar con una relación o conversación previa y propone hablar de una colaboración o inversión. Que el remitente te resulte familiar no basta: los atacantes pueden haber accedido a sus mensajes y contactos.
Otra señal es un enlace que parece llevar a Zoom, Microsoft Teams o Google Meet, pero abre un sitio falso con una dirección casi igual a la auténtica. En la reunión puede aparecer la grabación de alguien conocido. Después llega el pretexto: el audio no funciona y hay que ejecutar un comando, pegar código o instalar una supuesta actualización. Ese arreglo es la trampa: puede instalar malware para robar contraseñas, capturar la pantalla y dar acceso remoto al equipo.
El robo no tiene por qué ocurrir durante la llamada. El Departamento de Justicia indica que, en varios casos, los atacantes han sustraído criptomonedas y secuestrado cuentas de comunicación meses o más de un año después de comprometer el dispositivo. Por eso, haber cerrado la reunión sin perder dinero no descarta que el equipo haya quedado expuesto.
Qué hacer antes y durante una reunión sospechosa
Confirma quién convoca por un canal distinto al de la invitación. Llama a la persona o escríbele en otra conversación para comprobar que organizó la reunión y que espera verte. El FBI recomienda una verificación separada; no respondas dentro del mismo chat comprometido para validar el mensaje.
Comprueba el enlace antes de entrar. No abras directamente el vínculo recibido en un mensaje. Accede a la reunión desde la aplicación oficial, usando un código de invitación, tal como recomienda el FBI. Si la página tiene una dirección extraña o casi idéntica a la de un servicio conocido, no continúes.
Espera a identificar al convocante antes de encender la cámara. El FBI aconseja no activar el vídeo hasta que puedas ver y oír claramente a quien organizó la llamada. Si solo aparece una grabación, hay participantes inesperados o la conversación no coincide con lo acordado, detén la reunión y confirma la situación por separado.
Rechaza cualquier “solución” técnica que te pida ejecutar comandos, pegar código o instalar una actualización durante la llamada. No sigas instrucciones que aparecen en pantalla ni enlaces para arreglar el audio. La falsa avería es el paso que los atacantes usan para instalar el programa malicioso.
Activa la verificación en dos pasos en Telegram, WhatsApp y Slack. El FBI incluye esta medida entre sus recomendaciones porque los atacantes pueden aprovechar cuentas y conversaciones robadas para volver a dirigirse a tus contactos. Si mantienes software abierto, presta especial atención a cualquier petición inesperada relacionada con tu equipo o tus cuentas de repositorio.
Si ya entraste o seguiste las instrucciones
Trata el equipo como comprometido si ejecutaste un comando, pegaste código o instalaste algo por indicación de la reunión. No continúes usando esa sesión para gestionar tus activos digitales: el malware puede capturar lo que aparece en pantalla y permitir acceso remoto.
Mueve tus criptomonedas a otro wallet creado desde un dispositivo distinto, si crees que el equipo fue infectado. Esa es la medida concreta que recomienda el FBI para quienes temen haber sido víctimas. No crees el nuevo wallet ni hagas la transferencia desde el dispositivo sospechoso.
Avisa a tus contactos y a tu empleador para que no confíen en mensajes o invitaciones enviados desde tus cuentas. FaceStealer puede acceder a listas de contactos, redes sociales y aplicaciones de comunicación, y usar esas relaciones para atacar a otras personas. Advierte especialmente a quienes recibieron una invitación reciente o podrían tener acceso a tus cuentas de trabajo.
Denuncia el incidente en IC3.gov e incluye la palabra clave “FaceStealer”, como indica el FBI. Si el ataque afecta a tus cuentas o a software que mantienes, comunícalo también a las personas responsables de esas cuentas o del proyecto para que puedan responder al posible acceso no autorizado.
Errores que pueden convertir la llamada en una infección
No confíes solo en el nombre o la cara que aparecen en pantalla. Los atacantes usan cuentas auténticas robadas y grabaciones de personas conocidas; el Departamento de Justicia también señala el uso de vídeos deepfake para suplantar a figuras del sector cripto. Una identidad familiar no verifica el enlace ni demuestra que la persona esté participando en directo.
Tampoco des por legítima una reunión porque el mensaje parezca escrito con el tono habitual del contacto. El acceso a conversaciones anteriores permite imitar ese contexto. Y no descargues un supuesto instalador para corregir el audio: en esta estafa, la avería sirve para que instales malware, no para reparar la videollamada.
Por último, no confundas FaceStealer con el robo separado a Binance mencionado por el Departamento de Justicia. Las autoridades dijeron que las dos campañas probablemente implicaban a actores norcoreanos distintos y anunciaron medidas sobre más de 1.200 millones de dólares en criptomonedas robadas. La respuesta práctica ante una invitación sospechosa sigue siendo la misma: verificarla por otro canal y no ejecutar nada que te indiquen durante la llamada.
Fuentes: Webnews, U.S. Department of Justice, Nextgov/FCW
