Expediente unc1069-deepfake-zoomFraude con deepfakesGlobal
UNC1069 de Corea del Norte usa video deepfake en falsas llamadas de Zoom contra empresas cripto
Mandiant vinculó una intrusión en una fintech a UNC1069, ligado a la RPDC, que combinó una cuenta de Telegram secuestrada, una reunión de Zoom falsa con video generado por IA y señuelos ClickFix para instalar malware en macOS.
AltaAtaque con IAEstado: En cursoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 9 feb 2026
- Ubicación
- Global
- Objetivo
- Empresas fintech y de criptomonedas
- Gravedad
- Alta
- Provocado por
- UNC1069 (vinculado a Corea del Norte, también conocido como Masan)
- Tipo de actor
- Patrocinado por un Estado
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Mandiant vinculó una intrusión en una fintech a UNC1069, ligado a la RPDC, que combinó una cuenta de Telegram secuestrada, una reunión de Zoom falsa con video generado por IA y señuelos ClickFix para instalar malware en macOS.
Impacto: Siete familias de malware para macOS en el host de una víctima; se recopilaron credenciales, datos del navegador, tokens de sesión, elementos del Llavero, datos de Telegram y Notas de Apple. Pérdidas no divulgadas.
Quién lo provocó
Actor: UNC1069 (vinculado a Corea del Norte, también conocido como Masan)
Atribución: Atribuido por Mandiant con alta confianza a un grupo con nexo con la RPDC rastreado desde 2018
Motivo: Robo de criptomonedas y recolección de identidades para futura ingeniería social
Cómo ocurrió
Vector de ataque: Cuenta de Telegram de un ejecutivo comprometida, enlace de Calendly a una página de Zoom falsa con video generado por IA de un CEO y comando ClickFix que instalaba cargadores para macOS
Causa raíz: Confianza en contactos conocidos en apps de mensajería y disposición a ejecutar comandos de terminal pegados para resolver un falso problema con la reunión
Cronología
- GTIG observa que UNC1069 usa Gemini para scripts dirigidos a billeteras y señuelos
- Mandiant publica el análisis de la intrusión con el nuevo malware SILENCELIFT, DEEPBREATH y CHROMEPUSH
Respuesta
Respuesta a incidentes de Mandiant, publicación de indicadores y guías de endurecimiento sobre la ejecución de scripts sin firmar.
Estado actual: En curso
Fuentes (pestaña nueva)
- The Record therecord.media
- BleepingComputer bleepingcomputer.com
- SOC Prime socprime.com
Citar este expediente
UNC1069 de Corea del Norte usa video deepfake en falsas llamadas de Zoom contra empresas cripto. AI Threat Watch, expediente unc1069-deepfake-zoom, 9 feb 2026. https://aithreat.io/es/cases/unc1069-deepfake-zoom/
Enlace permanente: https://aithreat.io/es/cases/unc1069-deepfake-zoom/