الأمن السيبراني14‏/11‏/2026، 4:28 ص UTC·2 دقائق قراءة

FaceStealer: مكالمات زوم مزيفة «صوتك مكتوم» وسرقة 400 مليون دولار

يقول مكتب التحقيقات الفيدرالي إن قراصنة كوريين شماليين سرقوا أكثر من 400 مليون دولار عبر مكالمات فيديو مزيفة يظهر فيها صديق صامت و«تحديث» للصوت.

A person on a video call looking at a laptop screen showing a silent, frozen-looking meeting participant and a pop-up asking to update software. — الصورة: theregister

صديق يدعوك إلى مكالمة فيديو. ترى وجهه وشفتاه تتحركان، لكن لا صوت. ثم تظهر رسالة في المحادثة: حدّث البرنامج ليعمل الصوت. بحسب مكتب التحقيقات الفيدرالي، هذه هي حيلة FaceStealer التي درّت على قراصنة مرتبطين بكوريا الشمالية أكثر من 400 مليون دولار خلال 18 شهرًا.

أعلنت الحكومة الأمريكية الخميس أن المحكمة سمحت بمصادرة أو تجميد أكثر من 1.2 مليار دولار من أصل 6.3 مليار دولار سُرقت من منصة Binance الشهر الماضي. كما سمحت المحكمة بإغلاق البنية السحابية المستخدمة في FaceStealer. ويقول المكتب إنه صادر أكثر من 900 تسجيل من كاميرات الويب تعود إلى الضحايا.

كيف تعمل عملية الاحتيال FaceStealer؟

يتلقى الهدف أولًا دعوة إلى اجتماع من حساب مخترق. وبحسب العميل الخاص جيريمي روبرتسون من مكتب لوس أنجلوس، تبدو الدعوة موثوقة لأنها تستند إلى محادثات أو اهتمامات سابقة مع الشخص نفسه. وفي دعوة التقويم رابط بعنوان مقلَّد بخطأ إملائي (typosquatting).

يقود الرابط إلى اجتماع زوم أو تيمز مزيف. يسجل المحتالون فيديو كاميرا الضحية، بينما يعرضون مقطعًا مسجلًا مسبقًا لمن يُفترض أنه صاحب الدعوة. وأحيانًا يستخدمون مقاطع deepfake لشخصيات معروفة في عالم العملات المشفرة وweb3. وعندما لا يسمع الضحية شيئًا، يُطلب منه تحديث البرنامج عبر رابط. النقر عليه يثبّت برمجية خبيثة تسرق العملات المشفرة وترسل قائمة جهات الاتصال إلى اللصوص ليستمر الاحتيال.

من المستهدفون؟

العاملون في العملات المشفرة وweb3، ومطورو ومشرفو البرمجيات مفتوحة المصدر. فهؤلاء يتحكمون في مستودعات الشيفرة، والوصول إليها خطوة أولى نحو هجمات سلاسل التوريد.

ينسب المكتب العملية إلى مجموعة Sapphire Sleet التي تُعد فرعًا من Lazarus Group، وتُعرف أيضًا بأسماء UNC1069 وStardust Chollima وAPT38 وBlueNoroff. وقال بريت ليذرمان من قسم الجرائم الإلكترونية في المكتب إن القراصنة الكوريين الشماليين يمزجون بشكل متزايد بين الاختراق والهندسة الاجتماعية وتقنيات مثل deepfake.

ومنذ السرقة ساعد المحققون وشركاء من القطاع الخاص في تجميد أكثر من 2.7 مليار دولار. وكان المكتب قد نسب هجوم 29 أكتوبر على Binance إلى TraderTraitor، المرتبطة أيضًا بـ Lazarus.