La cara conocida en la videollamada era una grabación: así funciona FaceStealer, la estafa que robó US$ 400 millones

Actualizado al 13 de noviembre de 2026 · Lectura: unos 12 minutos

Una invitación desde la cuenta real de un colega, un enlace que parece de Zoom o de Teams y una cara conocida en pantalla. Era un video grabado en secreto. Según el FBI, hackers estatales de Corea del Norte robaron así más de 400 millones de dólares en criptomonedas en 18 meses. Cómo funciona el esquema, qué delitos configura en la Argentina y cómo prevenirlo.

El mensaje llega por Telegram desde la cuenta de un colega conocido: propone una videollamada para ponerse al día y hablar de un proyecto. Se agenda con un calendario en línea. Minutos antes de la hora llega el enlace. Del otro lado están la cara del colega y dos o tres personas más. Entonces alguien avisa por el chat que el audio no se escucha y sugiere instalar una actualización para arreglarlo.

En ese clic está el robo. El colega nunca estuvo en la reunión: lo que se veía era un video suyo, grabado sin que lo supiera cuando él mismo cayó en la trampa. Y la cámara del nuevo invitado empezó a grabar desde que abrió el enlace. Su cara será el señuelo para la próxima víctima.

El FBI llamó al esquema «FaceStealer», ladrón de caras. El 12 de noviembre de 2026, el Departamento de Justicia de Estados Unidos anunció que desarticuló la infraestructura que lo sostenía. El caso es estadounidense; el método no tiene fronteras.

Qué anunció Estados Unidos

La atribución a Corea del Norte corresponde a las autoridades estadounidenses y surge de sus comunicados oficiales.

Cómo funciona la estafa de las videollamadas falsas

El informe técnico del FBI describe un ciclo de seis etapas:

1. Una víctima anterior. Los atacantes ya controlan la computadora de alguien. Revisaron sus billeteras y frases de recuperación, tomaron su cuenta de Telegram u otra aplicación de mensajería, copiaron sus contactos y sus chats, y lo grabaron con su propia cámara mientras esperaba el inicio de una videollamada.
2. La invitación. Desde esa cuenta real escriben a los contactos. El pretexto suele ser ponerse al día, hablar de una colaboración o de una oportunidad de inversión. Como pueden leer las conversaciones previas, el mensaje suena auténtico. También usan cuentas de LinkedIn, Slack y Discord, tomadas o creadas para la ocasión.
3. El enlace de último momento. La reunión se agenda con un servicio de calendario legítimo. El enlace llega poco antes de la hora y lleva a un dominio casi idéntico al verdadero. El FBI cita dos ejemplos: uu01webzoom[.]us y teams.livemeet[.]us.
4. La sala falsa. La página imita a Zoom, Teams o Meet. Allí se reproducen los videos de víctimas anteriores para simular una reunión con varios participantes conocidos.
5. El «problema de audio». Por el chat avisan que no se escucha y guían al invitado para que acepte una actualización, ejecute un script o pegue un comando en la terminal. Eso instala programas que roban las sesiones del navegador, registran lo que se teclea, capturan la pantalla y dejan una puerta trasera abierta.
6. Vuelta a empezar. Con el equipo tomado, roban las criptomonedas o aprovechan los accesos de la víctima a su empresa. Y usan su cara y sus contactos para el ataque siguiente.

Por qué funciona

• La cuenta es real. No es un número desconocido ni una dirección parecida: es el contacto de siempre.
• El contexto es real. Quien escribe leyó los chats anteriores y los retoma.
• La cara es real. En la mayoría de los casos es un video auténtico, no una imagen generada.
• La presión es social. Varios «participantes» esperan a que el invitado resuelva un problema que, en apariencia, solo tiene él.
• El pedido parece menor. Actualizar una aplicación para arreglar el audio no despierta sospechas.
• Los atacantes esperan. En varios casos el robo llegó entre varios meses y más de un año después del ingreso, cuando la billetera tenía más saldo.

Un funcionario del FBI lo planteó así: quien no puede imaginar una situación en la que caería, no está pensando con suficiente creatividad.

Deepfakes y el riesgo para el software que usa todo el mundo

El informe agrega dos advertencias.

Videos fabricados

• El grupo empezó a usar inteligencia artificial para generar videos falsos de figuras conocidas del sector cripto, a partir de fotos y videos públicos.
• No necesitan ser perfectos: alcanza con que pasen por una imagen de webcam.
• Pueden reemplazar al video de una víctima o combinarse con él.
• Aun así, el esquema sigue apoyándose sobre todo en videos reales robados.

La cadena de suministro de software

• Este año, con el mismo método, engañaron al responsable de una biblioteca de código abierto de JavaScript que se descarga decenas de millones de veces por semana.
• Con su acceso llegaron a crear componentes maliciosos que se habrían descargado junto con la biblioteca legítima.
• El ataque se detectó a tiempo.
• El FBI registra otros intentos contra responsables de paquetes de JavaScript y, más recientemente, de Rust.

Una sola persona engañada en una videollamada pudo convertirse en millones de equipos infectados.

Señales de alerta

Qué dice la ley argentina

Basta con trabajar en tecnología, tener criptomonedas o usar las mismas aplicaciones para ser un blanco posible. En la Argentina, cada tramo del esquema encuadra en una figura distinta del Código Penal:

Las figuras informáticas fueron incorporadas en 2008 por la ley 26.388. A ese cuadro se suman otras reglas:

• Suplantación de identidad. No es un delito autónomo en el Código Penal vigente: se castiga a través de la estafa u otras figuras. El proyecto de reforma integral del Código impulsado por el Poder Ejecutivo la incorpora y agrupa los delitos informáticos en un título propio, según los análisis publicados. Todavía no es ley.
• La imagen y la voz. Para captar o reproducir la imagen o la voz de una persona hace falta su consentimiento (Código Civil y Comercial, artículo 53). Grabar la cámara a escondidas y usar esa cara para engañar a otros vulnera ese derecho. Es, además, un tratamiento ilegítimo de datos personales en los términos de la ley 25.326.
• Jurisdicción. Que el atacante esté en otro país no impide investigar. La ley penal argentina se aplica a los delitos cuyos efectos se producen en el territorio (Código Penal, artículo 1). El país es parte del Convenio de Budapest sobre ciberdelito (ley 27.411), que facilita la cooperación internacional.
• Criptomonedas. No existe aquí el desconocimiento de consumos de las tarjetas: una transferencia en la cadena de bloques no se revierte. Si los fondos estaban en una billetera propia, no hay proveedor a quien reclamar. Si estaban en una plataforma, cabe analizar su responsabilidad. Desde 2024, los proveedores de servicios de activos virtuales deben inscribirse en un registro de la Comisión Nacional de Valores (ley 27.739).

Quien aparece en uno de esos videos no es responsable del engaño: es otra víctima. Pero una vez que sabe que su cuenta fue tomada, avisar a sus contactos y a su empleador es lo que corta la cadena.

Si el equipo es del trabajo

• Responsabilidad de quien cayó. El trabajador responde ante el empleador solo por los daños causados con dolo o culpa grave (Ley de Contrato de Trabajo, artículo 87). Que caer en un engaño de este nivel de elaboración constituya culpa grave es, como mínimo, discutible.
• Deber de avisar. Informar de inmediato reduce el daño y forma parte del deber de buena fe (artículo 63). Demorar el aviso sí puede agravar la situación de quien lo oculta.
• Deberes de la empresa. Quien trata datos personales debe adoptar medidas técnicas y organizativas para protegerlos (ley 25.326, artículo 9).
• Protocolo mínimo. Prohibir la instalación de programas durante una reunión, exigir la confirmación de las invitaciones externas por un segundo canal y fijar a quién se avisa ante un incidente.

Ocho reglas para no caer

Son una adaptación de las recomendaciones del FBI:

1. Entrar desde la aplicación oficial, ingresando el código de la reunión, en lugar de hacer clic en el enlace. Sobre todo si quien invita es un contacto nuevo o esporádico.
2. No encender la cámara hasta ver, oír y poder hablar con quien hizo la invitación.
3. No «arreglar» un problema de audio instalando algo que aparece en la llamada ni pegando comandos en la terminal. Si hace falta actualizar, hacerlo por fuera, desde la propia aplicación.
4. Desconfiar de la invitación de calendario que llega sin enlace y del enlace que aparece a último momento.
5. Confirmar la reunión por otro canal: una llamada o un mensaje de texto.
6. Proteger las cuentas de mensajería. Activar la verificación en dos pasos y las alertas de inicio de sesión en Telegram, WhatsApp, Slack y similares. Los mensajes temporales reducen lo que un intruso puede leer.
7. Dejar en las billeteras del navegador solo montos chicos. El resto, en una billetera física desconectada o en una plataforma.
8. No guardar la frase semilla ni las claves privadas en la computadora o en el teléfono.

Si ya pasó: qué hacer

1. Mover los fondos. Crear una billetera nueva, con una frase semilla nueva, desde un dispositivo que no haya tenido contacto con los atacantes, y transferir todo de inmediato. El FBI advierte que copian las frases de recuperación y esperan a que el saldo crezca.
2. Recuperar las cuentas. Cambiar todas las contraseñas, cerrar las sesiones abiertas y activar el doble factor. Si se perdió el acceso, pedir a la plataforma que restituya o cierre la cuenta.
3. Avisar a los contactos. Alguien puede estar usando esa cara y esa cuenta para engañarlos.
4. Avisar al empleador, si había archivos o accesos de trabajo en el equipo.
5. Preservar la evidencia. No borrar los chats. Guardar el enlace recibido, capturas con fecha y hora, direcciones de billetera e identificadores de las transacciones.
6. Denunciar. En la Argentina, ante la fiscalía o la comisaría más cercana. A nivel federal funciona la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI). En la Ciudad de Buenos Aires, el Ministerio Público Fiscal recibe denuncias las 24 horas en el 0800-33-FISCAL (347225). El FBI recibe reportes de cualquier país en ic3.gov, con la palabra clave «FaceStealer».

Notas relacionadas: deepfake en tiempo real: alerta y temas legales, deepfake y derecho a la propia imagen, los diez engaños digitales más comunes y clonación del chip y vaciamiento de cuentas.

Fuentes

• Departamento de Justicia de Estados Unidos, comunicado 26-1356, 12 de noviembre de 2026
• FBI, FLASH AC-111226-MS, 12 de noviembre de 2026: descripción técnica del esquema, recomendaciones y pasos ante un compromiso
• Código Penal, texto actualizado, artículos 1, 153, 153 bis, 172, 173 inciso 16, 183 y 184; ley 26.388
• Código Civil y Comercial, artículo 53; ley 25.326 de Protección de los Datos Personales; ley 27.411 (Convenio de Budapest); ley 27.739; Ley de Contrato de Trabajo, artículos 63 y 87
• Sobre el proyecto de reforma del Código Penal: análisis publicados por iProUP y otros medios especializados. No se consultó el texto del proyecto