Bezpieczeństwo14 lis 2026, 04:28 UTC·2 min czytania

FaceStealer: fałszywe rozmowy wideo „masz wyciszony mikrofon” i 400 mln USD

FBI twierdzi, że północnokoreańscy hakerzy wyłudzili ponad 400 mln dolarów fałszywymi rozmowami wideo z milczącym znajomym i „poprawką” dźwięku. Zajęto 900 nagrań z kamer.

A person on a video call looking at a laptop screen showing a silent, frozen-looking meeting participant and a pop-up asking to update software. — Zdjęcie: theregister

Wyobraź sobie, że znajomy zaprasza cię na rozmowę wideo. Widzisz jego twarz, porusza ustami, ale nic nie słychać. Na czacie pojawia się podpowiedź: zaktualizuj program, a dźwięk zadziała. To właśnie schemat oszustwa FaceStealer, które według FBI przyniosło północnokoreańskim hakerom ponad 400 mln dolarów w ciągu 18 miesięcy.

W czwartek amerykański rząd poinformował, że sąd zgodził się na zajęcie lub zablokowanie ponad 1,2 mld dolarów skradzionych podczas październikowego ataku na giełdę Binance, w którym zginęło 6,3 mld dolarów. Sąd zezwolił też na wyłączenie infrastruktury chmurowej używanej w FaceStealer. FBI przejęło ponad 900 nagrań z kamer internetowych należących do ofiar.

Jak działa oszustwo FaceStealer?

Najpierw ofiara dostaje zaproszenie na spotkanie z przejętego konta, które wygląda wiarygodnie. Według agenta Jeremy’ego Robertsona z FBI w Los Angeles wiadomość nawiązuje do dawnych rozmów lub zainteresowań. W kalendarzu jest link z adresem podszywającym się pod prawdziwy (typosquatting, czyli literówka w domenie).

Link prowadzi do fałszywego spotkania w Zoomie lub Teams. Przestępcy nagrywają obraz z kamery ofiary, a jej rozmówcę odtwarzają z gotowego nagrania. Czasem używają deepfake’ów znanych osób ze środowiska kryptowalut i web3. Gdy ofiara pisze, że nie słychać dźwięku, dostaje link do rzekomej poprawki. Kliknięcie instaluje złośliwe oprogramowanie kradnące kryptowaluty i wysyła listę kontaktów, by oszustwo ruszyło dalej.

Kto jest celem?

Głównie osoby z branży kryptowalut i web3 oraz programiści i opiekunowie projektów open source. Ci ostatni interesują hakerów, bo kontrolują repozytoria kodu, a to pierwszy krok do ataków na łańcuch dostaw oprogramowania.

FBI przypisuje FaceStealer grupie Sapphire Sleet, uznawanej za odłam Lazarus Group. Znana jest też jako UNC1069, Stardust Chollima, APT38 i BlueNoroff. Brett Leatherman z FBI zauważył, że północnokoreańscy hakerzy coraz częściej łączą włamania, socjotechnikę i deepfake’i.

Śledczy i partnerzy z sektora prywatnego pomogli od kradzieży zamrozić ponad 2,7 mld dolarów. Napad na Binance FBI przypisało grupie TraderTraitor, także powiązanej z Lazarus.