Безопасность14 нояб. 2026 г., 04:28 UTC·1 мин чтения

FaceStealer: поддельные звонки «вас не слышно» и кража $400 млн

По данным ФБР, северокорейские хакеры украли более $400 млн с помощью фальшивых видеозвонков с молчаливым «другом» и «обновления» для звука. Изъято 900 записей с вебкамер.

A person on a video call looking at a laptop screen showing a silent, frozen-looking meeting participant and a pop-up asking to update software. — Фото: theregister

Знакомый зовёт вас на видеозвонок. Вы видите его лицо, он шевелит губами, но звука нет. В чате появляется подсказка: обновите программу, и всё заработает. По версии ФБР, именно так устроена схема FaceStealer, которая за 18 месяцев принесла связанным с КНДР хакерам более $400 млн.

В четверг правительство США сообщило, что суд разрешил изъять или заморозить более $1,2 млрд из $6,3 млрд, украденных в прошлом месяце у Binance. Суд также разрешил отключить облачную инфраструктуру FaceStealer. ФБР говорит, что изъяло более 900 записей с вебкамер жертв.

Как работает мошенничество FaceStealer?

Сначала цель получает приглашение на встречу с взломанного аккаунта. По словам специального агента ФБР в Лос-Анджелесе Джереми Робертсона, письмо выглядит правдоподобно, потому что опирается на прошлые разговоры или интересы человека. В приглашении из календаря стоит ссылка с адресом-двойником с опечаткой (тайпосквоттинг).

Ссылка ведёт на поддельную встречу в Zoom или Teams. Пока преступники записывают видео с камеры жертвы, на экране крутится заранее записанный ролик с якобы пригласившим человеком. Иногда используют дипфейки известных людей из мира криптовалют и web3. Когда жертва не слышит звука, ей предлагают ссылку на «исправление». Клик устанавливает вредонос, ворующий криптовалюту, а список контактов уходит мошенникам, чтобы схема пошла дальше.

Кто в зоне риска?

Прежде всего сотрудники криптоиндустрии и web3, а также разработчики и мейнтейнеры открытого ПО. Хакеров интересуют репозитории кода, ведь доступ к ним первый шаг к атакам на цепочку поставок.

ФБР связывает FaceStealer с группировкой Sapphire Sleet, которую считают ответвлением Lazarus Group. Она также известна как UNC1069, Stardust Chollima, APT38 и BlueNoroff. Бретт Лезерман из киберотдела ФБР отметил, что северокорейские хакеры всё чаще сочетают взломы, социальную инженерию и дипфейки.

С момента кражи следователи и частные партнёры помогли заморозить более $2,7 млрд. Нападение на Binance 29 октября ФБР ранее приписало TraderTraitor, тоже связанной с Lazarus.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Dialo: учите языки, разговаривая

Общайтесь с ИИ-собеседником: каждая фраза возвращается исправленной и объяснённой на вашем языке. 9 языков, от A1 до C2.

ediviewer: читайте EDI-файлы как документы

Открывайте сообщения EDIFACT и X12, каждый сегмент объяснён, конвертация в JSON/XML, экспорт в PDF и Excel. Работает локально, без загрузки.

giftdetect: подходящий подарок за минуты

Выберите, кому, по какому поводу и с каким характером. Поисковик читает описания товаров местных магазинов и выводит то, что подходит. Бесплатно, без регистрации.

Теги:binancenorth koreafacestealerfbisapphire sleetcrypto theft