FaceStealer : le FBI alerte sur de faux appels Zoom qui vident les portefeuilles crypto

Une invitation à une visioconférence envoyée par une connaissance peut marquer le début d’un vol. Le FBI met en garde contre une méthode baptisée FaceStealer : des pirates nord-coréens invitent, depuis des comptes détournés, à de fausses réunions Zoom et Teams, y diffusent des vidéos enregistrées de véritables proches et amènent leur cible à installer elle-même un logiciel malveillant. Selon le ministère américain de la Justice, les auteurs ont ainsi dérobé au cours des 18 derniers mois des cryptomonnaies d’une valeur de plus de 400 millions de dollars.

Le 12 novembre 2026, le ministère a saisi l’infrastructure cloud de la campagne. Dans le même communiqué, il a indiqué que des tribunaux avaient autorisé la saisie ou le blocage de plus de 1,2 milliard de dollars issus du piratage de Binance du 29 octobre. Les deux annonces figurent dans le communiqué du ministère américain de la Justice du 12 novembre. La parade principale est simple : ne lancez une visioconférence que depuis l’application officielle avec un code de réunion, et n’exécutez jamais un script que l’on vous envoie pendant un appel.

FaceStealer : comment fonctionne l’arnaque aux faux appels Zoom

FaceStealer est le nom que le FBI a donné à une campagne d’ingénierie sociale. L’ingénierie sociale désigne des attaques qui n’exploitent pas une faille technique mais poussent des personnes à ouvrir elles-mêmes la porte aux attaquants. Selon le FBI, derrière FaceStealer se trouvent des groupes connus sous des noms comme Sapphire Sleet, UNC1069, BlueNoroff, APT38 ou Stardust Chollima. Tous sont attribués à l’État nord-coréen.

Le principe est celui d’un cercle. Chaque nouvelle victime fournit aux pirates trois éléments : l’accès à son ordinateur, l’accès à ses comptes de messagerie et une vidéo de webcam enregistrée à son insu. Avec le compte et la vidéo, les pirates contactent ensuite les relations de la victime. Le FBI indique avoir saisi, sur mandat de perquisition, plus de 900 enregistrements de ce type. Chacun correspond à une personne dont le visage a déjà servi d’appât pour l’attaque suivante.

Des comptes Telegram détournés pour envoyer l’invitation

Le premier contact ne vient pas d’inconnus. Les pirates écrivent depuis les véritables comptes d’anciennes victimes ; le FBI cite Telegram, LinkedIn, Slack et Discord. Comme ils lisent l’historique des échanges, ils peuvent adapter leurs messages aux conversations précédentes. Les prétextes paraissent anodins : prendre des nouvelles, évoquer une collaboration, discuter d’une opportunité d’investissement.

Après un accord suit une demande de rendez-vous via Calendly ou un service d’agenda similaire. Le FBI souligne que cette invitation ne contient souvent pas encore de lien vers la visioconférence. Les pirates ne l’envoient que peu avant le rendez-vous, depuis le compte de messagerie détourné. Leur infrastructure reste ainsi visible le moins longtemps possible, et la cible a déjà reçu au moins deux messages d’un compte familier.

Typosquatting : de fausses pages Zoom et Teams avec salle d’attente

Le lien ne mène pas à Zoom ni à Microsoft Teams, mais vers une page des pirates. Le FBI parle de typosquatting : les attaquants enregistrent des adresses qui ressemblent à s’y méprendre à de vrais services, par des lettres inversées, des mots ajoutés ou des tirets. L’agence cite en exemple uu01webzoom.us et teams.livemeet.us. L’interface reproduite doit être impossible à distinguer de l’original, y compris la salle d’attente dans laquelle vous semblez attendre d’être admis.

Dès que vous cliquez sur le lien, votre webcam enregistre déjà. Dans la réunion, vous voyez ensuite la vidéo de la connaissance qui vous a invité, souvent accompagnée d’autres participants. Il s’agit en réalité d’enregistrements d’anciennes victimes diffusés en boucle. Activer sa caméra revient à fournir la matière du tour suivant.

La fausse panne de son, piège à logiciel malveillant

Au bout de quelques instants, la prétendue connaissance écrit dans le chat de la réunion qu’elle ne vous entend pas. Les autres participants accentuent la pression, car vous semblez être le seul à avoir le problème. Vient alors la prétendue solution. Vous êtes invité à cliquer sur un message de mise à jour, à exécuter un script ou à copier une commande dans le terminal.

C’est précisément cette étape qui installe le logiciel malveillant. Selon le FBI, il charge notamment un programme qui récupère les cookies du navigateur, un enregistreur de frappe qui capte les saisies au clavier, un outil de capture d’écran et une porte dérobée pour un accès durable. Les chercheurs en sécurité appellent cette technique ClickFix : la victime exécute elle-même la commande malveillante, raison pour laquelle de nombreux antivirus ne réagissent pas. L’entreprise de sécurité Arctic Wolf a publié une analyse technique de ces attaques dans un rapport dédié.

Des deepfakes de figures connues de la crypto, nouvelle étape

La nouveauté de l’alerte tient à l’usage de deepfakes. Un deepfake est une vidéo générée par intelligence artificielle qui montre une personne réelle dans une scène qu’elle n’a jamais tournée. Selon le FBI, les pirates fabriquent désormais de telles vidéos à partir de photos et d’extraits publics de personnalités du secteur de la crypto et du Web3. La qualité doit seulement suffire pour une image de webcam.

Le faux visage d’une figure connue dans l’appel doit renforcer encore la confiance. Le FBI souligne toutefois que la campagne repose toujours majoritairement sur des vidéos volées de véritables victimes. Pour vous, cela signifie qu’un visage connu à l’écran ne prouve plus que la personne se trouve réellement de l’autre côté.

Phrase de récupération sur l’ordinateur : pourquoi les pirates attendent des mois

Un détail de l’alerte est particulièrement sensible. Après une infection réussie, le logiciel malveillant fouille l’ordinateur à la recherche de portefeuilles crypto, de phrases de récupération et d’autres accès. La phrase de récupération (seed phrase) est la suite de mots qui permet de restaurer entièrement un portefeuille. Qui la détient détient les cryptos.

Les pirates ne frappent pas tout de suite. Dans plusieurs cas, selon le FBI, le vol n’est intervenu que des mois, voire plus d’un an, après l’infection initiale. Les attaquants copient les mots de récupération, surveillent les soldes sur la blockchain et ne vident le portefeuille que lorsqu’un dépôt important rend l’opération rentable. Un ordinateur infecté il y a des mois reste donc dangereux aujourd’hui, même si rien n’a encore disparu.

Piratage de Binance : 1,2 milliard de dollars saisis, 2,7 milliards gelés

La seconde partie du communiqué concerne le piratage de Binance. Le 29 octobre ou aux alentours de cette date, des membres de l’armée nord-coréenne, que le FBI désigne sous le nom de TraderTraitor, ont dérobé à Binance des actifs virtuels d’une valeur de plus de 6 milliards de dollars, selon le ministère de la Justice. Le déroulement de l’attaque et ses commanditaires sont résumés dans notre article consacré au piratage de Binance et à TraderTraitor.

Depuis, autorités et entreprises ont gelé ensemble plus de 2,7 milliards de dollars. Pour plus de 1,2 milliard de dollars, une autorisation judiciaire de saisie ou de blocage a déjà été accordée. Les recherches se poursuivent, car selon le ministère les auteurs font transiter le butin par des bridges, des mixeurs et des plateformes d’échange. Un bridge est un service qui transfère des jetons entre deux blockchains ; un mixeur mélange les paiements de nombreux utilisateurs pour en masquer l’origine. Le procureur général adjoint A. Tysen Duva a déclaré qu’environ la moitié de ce vol historique avait pu être stoppée immédiatement.

Pour les clients d’une plateforme, l’affaire montre l’importance de la supervision et de règles claires de conservation. Un agrément au titre du règlement européen MiCA oblige notamment les prestataires dans l’UE à conserver séparément les fonds de leurs clients.

Chaîne d’approvisionnement open source : les paquets npm et Rust visés

FaceStealer ne vise pas seulement les avoirs en cryptomonnaies. Selon le FBI, les pirates approchent de plus en plus les personnes qui développent et maintiennent des logiciels open source. S’ils accèdent à leur ordinateur, ils peuvent glisser du code malveillant dans des paquets logiciels que des millions d’utilisateurs téléchargent ensuite. Les spécialistes parlent d’une attaque contre la chaîne d’approvisionnement.

Au début de l’année, une telle attaque a failli réussir, selon le FBI. Le mainteneur d’une grande bibliothèque JavaScript, téléchargée des dizaines de millions de fois par semaine, a suivi la prétendue procédure de dépannage lors d’un faux appel Teams. Les pirates ont utilisé son accès pour introduire des dépendances malveillantes dans la bibliothèque. Seule une détection rapide a évité des dégâts majeurs. D’autres tentatives ont visé des mainteneurs de paquets du registre JavaScript npm et, plus récemment, des paquets Rust, appelés crates. Les logiciels de portefeuille reposent eux aussi sur de tels paquets.

Patrick Grandy, responsable du bureau du FBI à Los Angeles, décrit la méthode comme très efficace, y compris face à des utilisateurs avertis et soucieux de sécurité. FaceStealer exploite la confiance dans des visioconférences devenues omniprésentes et dans les relations personnelles. Celui qui ne parvient pas à imaginer un scénario dans lequel il se ferait piéger ne fait pas preuve d’assez d’imagination, a déclaré Patrick Grandy selon le communiqué.

Comment vous protéger des faux appels vidéo et du logiciel ClickFix

Ce qui s’est passé : le 12 novembre 2026, le ministère américain de la Justice et le FBI ont saisi l’infrastructure de la campagne nord-coréenne FaceStealer. Les pirates attirent leurs cibles, depuis des comptes de messagerie détournés, dans des réunions Zoom et Teams contrefaites et les amènent, au moyen d’une fausse panne de son, à installer un logiciel malveillant. Selon le ministère, le préjudice dépasse 400 millions de dollars en 18 mois.

Êtes-vous concerné ? Selon le FBI, la campagne cible les professionnels de la crypto et du Web3 ainsi que les développeurs de logiciels open source. Comme les pirates parcourent les listes de contacts de leurs victimes, toute personne en relation avec ces profils peut toutefois être sollicitée. Un signal d’alerte : une visioconférence que vous rejoignez par un lien plutôt que par l’application, et au cours de laquelle on vous demande d’exécuter une mise à jour, un script ou une commande. Si vous l’avez fait ces derniers mois, considérez l’ordinateur comme infecté.

1. Le code de réunion plutôt qu’un lien : rejoignez les réunions Zoom ou Teams uniquement depuis l’application installée avec le code de réunion, surtout lorsque l’invitation vient d’un contact avec qui vous échangez rarement.
2. La caméra plus tard : n’activez votre webcam qu’après avoir vu et entendu en direct la personne qui vous invite et lui avoir posé une question à laquelle elle seule peut répondre.
3. Aucune commande pendant l’appel : n’exécutez jamais de script et ne copiez aucun code dans le terminal pendant une réunion ; si nécessaire, mettez l’application à jour séparément depuis le site de l’éditeur.
4. Un second canal : confirmez chaque rendez-vous par une autre voie que celle de l’invitation, par exemple par téléphone si la demande est arrivée sur Telegram.
5. Sécuriser les messageries : activez sur Telegram, WhatsApp et Slack la double authentification et les alertes de connexion, et utilisez les messages éphémères afin que des historiques détournés en révèlent peu.

Les bases d’une conservation sûre sont expliquées dans notre guide pour conserver ses cryptos en sécurité, et les appareils adaptés sont présentés dans le comparatif des portefeuilles matériels.

Ordinateur infecté : les mesures d’urgence recommandées par le FBI

Si vous pensez être tombé dans un tel piège, mettez d’abord vos cryptos à l’abri. Le FBI recommande de créer, sur un appareil qui n’a jamais servi à communiquer avec les pirates, un nouveau portefeuille avec une nouvelle phrase de récupération, puis d’y transférer tous vos avoirs. L’ancienne phrase de récupération doit être considérée comme compromise, car les pirates ont pu la copier et n’attendent peut-être que le bon moment.

Viennent ensuite les comptes. Changez tous vos mots de passe, fermez toutes les sessions actives sur Telegram, WhatsApp et les autres services, et activez une double authentification. Si vous avez déjà perdu l’accès à un compte, adressez-vous à la plateforme pour le faire bloquer ou restaurer. Prévenez aussi vos contacts que quelqu’un pourrait écrire en votre nom et diffuser votre vidéo de webcam. Si l’appel a eu lieu sur un ordinateur professionnel ou si des fichiers de travail se trouvent sur votre appareil personnel, votre employeur doit également être informé.

Aux États-Unis, le FBI reçoit les signalements via sa plateforme IC3 avec le mot-clé FaceStealer. En Allemagne, la police est le premier interlocuteur, et la plupart des Länder proposent pour cela un commissariat en ligne.

Portefeuille logiciel ou matériel : où le FBI conseille de garder les gros montants

Un portefeuille logiciel est un programme ou une extension de navigateur qui stocke vos clés sur l’ordinateur ou le smartphone. C’est précisément là qu’intervient FaceStealer. Le FBI conseille donc de ne conserver que de petits montants dans les extensions de navigateur. Les montants plus importants doivent aller sur un appareil physique séparé, non connecté à l’ordinateur, ou sur une plateforme d’échange. Selon le FBI, les phrases de récupération et les clés privées n’ont leur place sur aucun appareil.

Un portefeuille matériel signe les transactions sur son propre appareil, et la clé privée ne le quitte pas. Un enregistreur de frappe installé sur l’ordinateur portable ne peut donc pas la capter. À condition de ne jamais saisir votre phrase de récupération au clavier, de ne jamais la photographier et de ne jamais l’enregistrer dans un cloud. Pour un usage quotidien avec de petits montants, un portefeuille logiciel reste pratique, tant qu’il ne contient pas plus que ce que vous pouvez vous permettre de perdre.

Parade contre FaceStealer : trois habitudes face à l’arnaque à 400 millions

1. Répartir ses avoirs : ne gardez dans le portefeuille du navigateur que ce dont vous avez besoin pour vos prochaines transactions, et placez le reste sur un appareil issu du comparatif des portefeuilles matériels.
2. Choisir une plateforme supervisée : si vous laissez des cryptos sur une plateforme, optez pour un acteur agréé MiCA figurant dans notre sélection de plateformes crypto réglementées.
3. Choisir avec soin son portefeuille du quotidien : pour de petits montants sur smartphone, le comparatif des portefeuilles logiciels aide à trouver une application dotée d’alertes sur les transactions.

(Au 13 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)