Une victime qui croit parler à un proche en visioconférence : ce piège a permis de voler plus de 400 millions de dollars en cryptomonnaies en 18 mois. Ainsi, le FBI et le ministère de la Justice des États-Unis ont annoncé jeudi 12 novembre 2026 le démantèlement de l’infrastructure de FaceStealer, un dispositif attribué à des pirates nord-coréens. Ensuite, les enquêteurs ont indiqué avoir saisi des serveurs cloud et plus de 900 vidéos de webcam de victimes.
Le procédé repose d’abord sur le piratage du compte Telegram ou LinkedIn d’une personne connue de la cible, qui reçoit alors une invitation à une réunion en ligne. Puis, dès sa connexion, sa webcam est enregistrée et la vidéo d’une précédente victime est diffusée pour simuler la présence de contacts de confiance. Des deepfakes de personnalités du secteur peuvent aussi être utilisés.
Enfin, Jeremy Robertson, agent spécial du bureau du FBI à Los Angeles, a détaillé la suite du piège : « Les pirates nord-coréens vous envoient un message en se faisant passer pour quelqu’un que vous connaissez ou pour une personne importante de votre secteur. Ils affichent ensuite un faux message d’erreur indiquant qu’une mise à jour est nécessaire. En l’exécutant, vous téléchargez en réalité un logiciel malveillant qui donne aux pirates accès à votre ordinateur, à vos cryptomonnaies et peut-être à vos réseaux sociaux. Le cycle recommence, car ils ont désormais tout ce qu’il faut pour se faire passer pour vous ».
Le FBI attribue l’opération au groupe BlueNoroff, aussi connu sous le nom d’APT38. Ainsi, les victimes sont des dirigeants, des développeurs et des experts en cybersécurité des secteurs de la crypto et du Web3, et les pirates visent de plus en plus les développeurs de logiciels open source. Cette cible laisse craindre des attaques contre les chaînes d’approvisionnement logicielles. En effet, Patrick Grandy, directeur adjoint du bureau de Los Angeles, a insisté sur la difficulté de s’en protéger : « FaceStealer est un système d’ingénierie sociale très efficace, capable de tromper même l’utilisateur le plus expérimenté et le plus attentif à la sécurité. Il exploite notre confiance dans les plateformes de visioconférence et dans nos relations personnelles. Si vous n’imaginez aucun scénario où vous pourriez en être victime, vous n’êtes pas assez créatif ».
Ce même jour, le ministère de la Justice a aussi annoncé la saisie judiciaire de plus de 1,2 milliard de dollars volés lors du piratage de la plateforme Binance, une affaire distincte de FaceStealer. Dans la foulée, Brett Leatherman, directeur des opérations cyber du FBI, a rappelé l’enjeu financier pour Pyongyang : « Le régime nord-coréen dépend des revenus du vol massif de cryptomonnaies pour financer son programme d’armement illicite, après avoir dérobé des milliards de dollars ces dernières années. Le FBI reste déterminé à identifier et à perturber les acteurs nord-coréens qui ciblent la communauté des actifs virtuels ».