FaceStealer : la Corée du Nord a volé 400 millions de dollars en crypto avec de faux appels Zoom, selon le FBI

Le FBI affirme que des pirates d’État nord-coréens ont volé plus de 400 millions de dollars en cryptomonnaies en 18 mois en invitant leurs cibles à de faux appels Zoom et Teams, où l’« ami » à l’écran n’est qu’un extrait enregistré en secret de sa propre webcam. Dans une alerte FLASH datée du 12 novembre 2026, le bureau baptise ce montage FaceStealer et indique avoir saisi, sur mandat fédéral, plus de 900 de ces vidéos de victimes.

Le département de la Justice a annoncé l’opération le même jeudi, dans un communiqué qui couvre aussi le vol subi par Binance fin octobre. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il dit avoir saisi une infrastructure hébergée dans le cloud et utilisée par les pirates, lors d’une opération menée par le parquet fédéral du district central de Californie et le FBI de Los Angeles. Aucune arrestation, aucune inculpation et aucun fonds saisi n’ont été annoncés pour cette partie de l’affaire.

Pour les utilisateurs de crypto, la nouveauté tient moins à la menace qu’au détail. Des sociétés de sécurité, dont Microsoft en avril, avaient déjà décrit ce leurre de la fausse réunion. Le FLASH expose ici le cycle complet, étape par étape, et se termine par une liste de précautions rédigée par le FBI.

Ce que le FBI et le département de la Justice ont annoncé le 12 novembre

Le FLASH, numéroté AC-111226-MS et classé TLP:CLEAR (diffusion libre), compte sept pages. Son titre évoque une « bibliothèque de webcams enregistrées en secret » de plus de 900 professionnels de la tech. Le FBI dit avoir identifié et saisi plus de 900 vidéos de victimes que les pirates utilisaient pour usurper l’identité de personnes dans des attaques en chaîne ; le département de la Justice les décrit comme des vidéos de webcam de victimes travaillant dans la crypto et le Web3 à travers le monde.

Le bureau attribue FaceStealer au groupe nord-coréen que les sociétés de sécurité suivent sous plusieurs noms : Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff et Stardust Chollima. Sept étiquettes pour ce que le FBI traite comme un seul acteur étatique.

Le communiqué cite Patrick Grandy, directeur adjoint en charge du bureau du FBI à Los Angeles. Selon lui, le montage « exploite notre confiance dans les plateformes de visioconférence omniprésentes et dans les relations personnelles auxquelles nous tenons ». Son avertissement à ceux qui se croient à l’abri : « Si vous ne parvenez pas à imaginer un scénario où vous pourriez tomber dans le piège, vous ne faites pas preuve d’assez de créativité. » Khaldoun Shobaki, procureur fédéral adjoint du district central de Californie, a mené l’enquête avec le FBI de Los Angeles, et le bureau a ouvert une page de ressources à l’adresse fbi.gov/facestealer.

Le même communiqué annonce les mesures prises sur Binance : le département dit disposer d’une autorisation judiciaire pour saisir ou geler plus de 1,2 milliard de dollars sur les plus de 6 milliards dérobés à la plateforme autour du 29 octobre, et avoir déjà gelé plus de 2,7 milliards au total. Le FBI attribue ce vol à une autre unité nord-coréenne, TraderTraitor, comme Coindaro l’a rapporté quand le bureau a désigné TraderTraitor pour le piratage de Binance. Les deux dossiers partagent un communiqué, pas une méthode.

Les deux textes officiels donnent les 400 millions de dollars comme un total unique pour FaceStealer, et c’est ainsi que le chiffre est repris ici. Aucun ne précise combien de victimes ont perdu de l’argent ni combien chacune a perdu, et l’article de CyberScoop du 12 novembre, tiré des mêmes éléments, ne donne pas non plus de ventilation.

Comment un faux appel Zoom transforme une vidéo de webcam volée en logiciel malveillant

Le FLASH cite de fausses versions de Zoom, de Microsoft Teams et de Google Meet, et ses exemples portent sur les deux premières. Le cycle compte six étapes. Chacune alimente la suivante, ce qui explique, selon le FBI, que le nombre de cibles « croît de façon exponentielle ».

1. Tout commence avec une personne déjà piratée, que le FBI appelle la victime A. Les pirates ont fouillé son appareil à la recherche de portefeuilles et de phrases de récupération, pris le contrôle de son compte Telegram ou d’une autre messagerie chiffrée en l’en excluant, copié ses contacts et ses historiques de conversation, et enregistré sa webcam pendant qu’elle attendait le début d’un appel.
2. Se faisant passer pour la victime A, ils écrivent à ses contacts et proposent un appel pour prendre des nouvelles, discuter d’une collaboration ou parler d’un investissement. Avec l’historique des échanges en main, ils adaptent le message aux conversations passées. Ils utilisent aussi de nouveaux comptes Telegram, LinkedIn, Slack et Discord, créés pour l’occasion ou détournés.
3. Une invitation de type Calendly arrive d’abord, sans lien vidéo. Peu avant la réunion, le vrai lien parvient depuis le compte de la victime A. Il pointe vers un domaine ressemblant à l’original, enregistré à l’avance ; le FBI cite uu01webzoom.us et teams.livemeet.us en exemple. La page, hébergée sur un serveur contrôlé par les pirates, copie Zoom ou Teams et se veut, selon les termes du FBI, « impossible à distinguer des véritables interfaces ».
4. La cible patiente dans ce qui ressemble à une salle d’attente ordinaire. Une fois admise, les pirates diffusent la vidéo enregistrée de la victime A, souvent accompagnée d’autres extraits pour donner l’impression que plusieurs personnes participent.
5. Après un court délai, la « victime A » envoie un message disant qu’on ne l’entend pas. Le correctif proposé est une mise à jour, un script ou une ligne de code à coller dans le terminal. Le suivre télécharge un logiciel malveillant qui installe un voleur de cookies de navigateur, des enregistreurs de frappe, un outil de capture d’écran et une porte dérobée. La webcam de la cible est enregistrée depuis le premier clic sur le faux lien.
6. La vidéo et les contacts de la nouvelle victime servent de matière aux invitations suivantes.

Deux détails rendent le montage plus difficile à repérer qu’un simple lien d’hameçonnage. L’invitation vient d’un vrai compte avec lequel la cible a déjà échangé, et le visage à l’écran est une vraie séquence de cette personne. Le FBI ajoute que les pirates savent attendre : dans plusieurs cas, ils ont volé des fonds et détourné des comptes des mois, et parfois plus d’un an, après la première intrusion, le temps que les soldes des portefeuilles grossissent. Ils copient les phrases de récupération, surveillent les adresses sur la blockchain et reconstituent le portefeuille après un gros transfert.

Les deepfakes sont un complément : selon le FBI, les vraies vidéos volées font l’essentiel du travail

Une grande partie de la couverture de jeudi a mis les « deepfakes » en avant. Le FLASH est plus prudent. Il indique que les pirates ont commencé à employer des outils d’IA, que le document appelle « super intelligence (SI) », pour transformer des photos et vidéos publiques de personnalités connues de la crypto et du Web3 en faux participants vidéo. Ces extraits peuvent remplacer ou accompagner les séquences volées aux victimes, et leur qualité « doit seulement être suffisante pour passer pour une vidéo de webcam ».

Mais le FBI précise que FaceStealer « continue pour l’heure de reposer très majoritairement sur le vol de vraies vidéos de victimes ». Il remercie la société de sécurité Arctic Wolf pour son apport sur la fabrication des deepfakes. Concrètement, un contrôle qui chercherait les signes d’un visage synthétique n’aurait pas arrêté la plupart de ces attaques : les visages étaient vrais, seul le moment ne l’était pas.

Cela compte pour les outils vendus comme détecteurs de deepfakes. Coindaro en a examiné un le mois dernier, quand World ID a proposé aux banques un contrôle anti-deepfake pour Zoom. Un extrait enregistré d’un vrai collègue pose une autre question qu’un visage généré, et les conseils du FBI dans ce FLASH ne reposent sur le repérage ni de l’un ni de l’autre.

Mainteneurs open source : une bibliothèque JavaScript a frôlé l’infection

FaceStealer sert surtout à voler de la crypto, dit le FBI, mais le même leurre a visé des mainteneurs de logiciels, car un seul mainteneur compromis peut diffuser du code malveillant à tous les utilisateurs d’un paquet. Plus tôt en 2026, selon le FLASH, les pirates ont attiré le mainteneur d’une importante bibliothèque JavaScript open source dans un faux appel Teams réunissant plusieurs participants, dont au moins une personne qu’il connaissait.

On lui a dit que quelque chose n’allait pas sur son système ; il a suivi le correctif suggéré et infecté son ordinateur. Les attaquants ont ensuite utilisé ses accès pour ajouter des dépendances malveillantes, qui auraient été téléchargées avec la bibliothèque, laquelle est téléchargée des dizaines de millions de fois par semaine. Une détection rapide a empêché le pire, indique le FBI, qui ne nomme pas la bibliothèque.

Le FLASH ajoute que plusieurs autres tentatives ont visé des mainteneurs du registre JavaScript npm et, récemment, des mainteneurs de crates Rust. Pour les utilisateurs de crypto, le risque dépasse leur propre ordinateur : portefeuilles, applications décentralisées et outils de plateformes reposent sur ces paquets. Coindaro a couvert le 10 novembre un autre cas de chaîne d’approvisionnement, quand une version de Swarm a distribué une porte dérobée volant des portefeuilles ; rien de ce qui a été publié ne relie cet incident à la Corée du Nord.

La fausse invitation à une réunion, un scénario déjà vu dans les arnaques crypto sur Telegram

Plusieurs incidents récents ont recouru à des leurres d’ingénierie sociale semblables, même si le FBI n’en rattache aucun à FaceStealer par son nom. Le 6 novembre, la plateforme d’options SignalPlus a fait remonter un piratage à une fausse invitation Teams et indiqué que sa perte s’élevait à moins de 82 000 $. Binance a dit que sa propre intrusion de fin octobre avait commencé par un faux entretien d’embauche, et Microsoft a documenté une intrusion de Sapphire Sleet sur macOS, du leurre à la compromission, dans un rapport publié le 16 avril 2026 que cite le FBI.

Deux autres rapports d’entreprises cités par le FBI contiennent des listes d’indicateurs de compromission : « Still in the meeting: BlueNoroff six months on » d’Arctic Wolf et une analyse par Jumpsec d’un kit ClickFix de BlueNoroff. « ClickFix » est le nom que le secteur donne à l’astuce de la cinquième étape, où la victime est persuadée de lancer elle-même la commande de l’attaquant.

Ce que le FBI recommande avant, pendant et après un appel vidéo

Sept précautions closent le FLASH. Elles valent que le visage à l’écran soit une séquence volée ou un deepfake, et la plupart ne coûtent rien.

• Rejoignez la réunion avec l’application officielle de Zoom ou de Teams et l’identifiant de réunion, sans cliquer sur un lien vers une version web, surtout quand l’invitation vient d’un contact nouveau ou rarement sollicité.
• Gardez votre caméra éteinte tant que vous ne pouvez pas voir, entendre et parler avec la personne qui vous a invité.
• Si un appel vous demande une mise à jour, n’exécutez jamais de script et ne collez pas de code dans un terminal. Mettez l’application à jour séparément, ou rejoignez la réunion par la version web officielle avec l’identifiant.
• Vérifiez que les invitations de calendrier contiennent un lien vidéo. Les pirates l’omettent souvent et l’envoient près de l’heure de la réunion, pour exposer le moins possible leur infrastructure.
• Confirmez la réunion par un autre canal que celui de l’invitation : un SMS ou un appel téléphonique si l’invitation est arrivée sur Telegram.
• Protégez Telegram, WhatsApp, Slack et vos autres messageries par une authentification multifacteur, des alertes de connexion et des messages éphémères. Les pirates prennent les comptes en se connectant depuis un autre appareil, en changeant le numéro de récupération et en fermant vos sessions.
• Ne gardez que de petits montants dans les portefeuilles d’extension de navigateur. Les soldes plus importants vont sur un appareil matériel distinct et déconnecté, ou auprès d’une plateforme, et aucune phrase de récupération ni clé privée ne doit être stockée sur vos appareils.

Pour ceux qui pensent être tombés dans le piège, la marche à suivre du FBI est claire. D’abord, créer un nouveau portefeuille avec une nouvelle phrase de récupération sur un appareil qui n’a jamais servi à échanger avec les attaquants, et y déplacer les fonds ; l’ancienne phrase doit être considérée comme copiée. Ensuite, changer les mots de passe, fermer toutes les sessions actives et ajouter une authentification multifacteur, y compris sur les comptes de développeur. Prévenir ses contacts et, si des fichiers de travail se trouvaient sur l’appareil, son employeur. Demander aux plateformes de fermer ou de restaurer les comptes perdus, et déposer un signalement sur IC3.gov avec le mot-clé « FaceStealer ».

Notre guide pour conserver une phrase de récupération hors ligne explique pourquoi une phrase passée un jour par un appareil connecté à internet doit être abandonnée, et notre guide pour éviter les arnaques crypto recense les signaux d’alerte et les démarches après un vol.

Ce que l’annonce ne dit pas

Les documents publics laissent plusieurs zones d’ombre. Ils ne nomment ni le tribunal qui a délivré le mandat, ni les domaines ou serveurs mis hors service, ni leur nombre. Ils ne donnent aucun nombre de victimes ayant perdu de l’argent, aucune perte par victime et aucun nom de victime. Aucun accusé n’est désigné et aucun fonds n’est déclaré saisi pour FaceStealer. La bibliothèque JavaScript n’est pas identifiée.

On ignore aussi combien des 900 personnes enregistrées savent qu’elles ont été filmées. Le FBI demande à quiconque soupçonne une compromission de la signaler avec le mot-clé FaceStealer. La Corée du Nord a par le passé rejeté les accusations américaines de vol de crypto en les qualifiant de provocation politique ; au 13 novembre à 17 h 45 UTC, aucune réaction de Pyongyang à cette annonce ni aucun nouveau détail officiel n’avait été publié depuis le communiqué de jeudi.

Les prochaines informations viendront probablement des sociétés de sécurité que cite le FBI, dont les rapports contiennent les indicateurs techniques, et d’éventuelles pièces judiciaires déposées dans le district central de Californie. Cet article sera mis à jour si la bibliothèque est nommée ou si des poursuites sont engagées.