FaceStealer: FBI waarschuwt voor nep-Zoomgesprekken die cryptowallets leeghalen

Een uitnodiging voor een videocall van een bekende kan het begin zijn van een diefstal. De FBI waarschuwt voor een truc die FaceStealer heet: Noord-Koreaanse hackers nodigen via gekaapte accounts uit voor nagemaakte Zoom- en Teams-sessies, spelen daar opgenomen video's van echte bekenden af en zorgen dat hun doelwit zelf malware installeert. Volgens het Amerikaanse ministerie van Justitie hebben de daders daarmee in de afgelopen 18 maanden voor meer dan 400 miljoen dollar aan cryptovaluta buitgemaakt.

Op 12 november 2026 heeft het ministerie de cloudinfrastructuur van de campagne in beslag genomen. Tegelijk meldde het dat rechters de inbeslagname of blokkering van meer dan 1,2 miljard dollar uit de Binance-hack van 29 oktober hebben goedgekeurd. Beide staan in het persbericht van het Amerikaanse ministerie van Justitie van 12 november. De belangrijkste verdediging is eenvoudig: start videoconferenties alleen via de officiële app met een vergadercode en voer nooit een script uit dat iemand je tijdens een gesprek stuurt.

FaceStealer: zo werkt de oplichting met nep-Zoomgesprekken

FaceStealer is de naam die de FBI aan een social-engineeringcampagne heeft gegeven. Bij social engineering misbruiken aanvallers geen technisch lek, maar brengen ze mensen ertoe zelf de deur voor hen open te zetten. Achter FaceStealer zitten volgens de FBI groepen die bekendstaan onder namen als Sapphire Sleet, UNC1069, BlueNoroff, APT38 of Stardust Chollima. Ze worden allemaal toegeschreven aan de Noord-Koreaanse staat.

Het principe is een kringloop. Elk nieuw slachtoffer levert de daders drie dingen op: toegang tot zijn computer, toegang tot zijn chataccounts en een stiekem opgenomen webcamvideo. Met dat account en die video benaderen de daders vervolgens de contacten van het slachtoffer. De FBI heeft naar eigen zeggen met een huiszoekingsbevel meer dan 900 van zulke webcamopnamen veiliggesteld. Elk daarvan staat voor iemand wiens gezicht al als lokaas voor de volgende aanval heeft gediend.

Gekaapte Telegram-accounts openen de deur voor de uitnodiging

Het eerste contact komt niet van vreemden. De daders schrijven vanuit echte accounts van eerdere slachtoffers; de FBI noemt Telegram, LinkedIn, Slack en Discord. Omdat ze de chatgeschiedenis meelezen, kunnen ze hun berichten afstemmen op eerdere gesprekken. De aanleidingen klinken onschuldig: even bijpraten, een samenwerking bespreken, een beleggingskans doornemen.

Na een toezegging volgt een afspraakverzoek via Calendly of een vergelijkbare agendadienst. Opvallend is volgens de FBI dat die uitnodiging vaak nog geen link naar de videoconferentie bevat. Die sturen de daders pas kort voor de afspraak via het gekaapte chataccount. Zo blijft hun infrastructuur zo kort mogelijk zichtbaar, en heeft het doelwit tegen die tijd al minstens twee berichten van een vertrouwd account gekregen.

Typosquatting: valse Zoom- en Teams-pagina's met een wachtkamer

De link leidt niet naar Zoom of Microsoft Teams, maar naar een pagina van de aanvallers. De FBI spreekt van typosquatting: de daders registreren adressen die sprekend op echte diensten lijken, bijvoorbeeld door verwisselde letters, extra woorden of koppeltekens. Als voorbeelden noemt de dienst uu01webzoom.us en teams.livemeet.us. De nagebouwde omgeving moet niet van het origineel te onderscheiden zijn, inclusief een wachtkamer waarin je schijnbaar wacht tot je wordt toegelaten.

Zodra je op de link klikt, neemt je webcam al op. In de vergadering zie je dan de video van de bekende die je uitnodigde, vaak aangevuld met andere deelnemers. In werkelijkheid zijn dat afgespeelde opnamen van eerdere slachtoffers. Wie zijn camera aanzet, levert het materiaal voor de volgende ronde.

De geveinsde geluidsstoring als malwareval

Na korte tijd meldt de vermeende bekende zich met een chatbericht in de vergadering: hij kan je niet horen. De andere deelnemers voeren de druk op, want alleen jij lijkt het probleem te hebben. Dan volgt de zogenaamde oplossing. Je moet op een updatemelding klikken, een script uitvoeren of een opdracht in de opdrachtregel plakken.

Juist die stap installeert de malware. Volgens de FBI laadt die onder meer een programma dat browsercookies buitmaakt, een keylogger die toetsaanslagen vastlegt, een tool voor schermopnamen en een achterdeur voor blijvende toegang. Beveiligingsonderzoekers noemen deze aanpak ClickFix: het slachtoffer voert de schadelijke opdracht zelf uit, waardoor veel beveiligingsprogramma's niet aanslaan. Het beveiligingsbedrijf Arctic Wolf heeft een technische analyse van zulke aanvallen in een eigen rapport gepubliceerd.

Deepfakevideo's van bekende cryptogezichten als nieuwe stap

Nieuw in de waarschuwing is de inzet van deepfakes. Een deepfake is een met kunstmatige intelligentie gemaakte video die een echt persoon toont in beelden die nooit zo zijn opgenomen. Volgens de FBI maken de daders zulke video's inmiddels uit openbaar beschikbare foto's en fragmenten van bekende mensen uit de crypto- en Web3-sector. De kwaliteit hoeft alleen genoeg te zijn voor een webcambeeld.

Een nepgezicht van een bekende naam in het gesprek moet het vertrouwen nog verder vergroten. De FBI benadrukt wel dat de campagne nog steeds vooral met gestolen video's van echte slachtoffers werkt. Voor jou betekent dat: een bekend gezicht in beeld is geen bewijs meer dat die persoon echt aan de andere kant zit.

Seedphrase op de computer: waarom de daders maandenlang wachten

Bijzonder gevoelig is een detail uit de waarschuwing. Na een geslaagde besmetting doorzoekt de malware de computer op cryptowallets, seedphrases en andere toegangsgegevens. De seedphrase is de reeks woorden waarmee een wallet volledig kan worden hersteld. Wie die heeft, heeft de coins.

De daders slaan niet meteen toe. In meerdere gevallen kwam de diefstal volgens de FBI pas maanden tot meer dan een jaar na de oorspronkelijke besmetting. De daders kopiëren de herstelwoorden, volgen de saldi op de blockchain en halen de wallet pas leeg als er na een grotere storting genoeg te halen valt. Een computer die maanden geleden is besmet, is daarom ook vandaag nog een gevaar, zelfs als er tot nu toe niets is verdwenen.

Binance-hack: 1,2 miljard dollar in beslag genomen, 2,7 miljard bevroren

Het tweede deel van het persbericht gaat over de Binance-hack. Op of rond 29 oktober hebben leden van het Noord-Koreaanse leger, door de FBI TraderTraitor genoemd, volgens het ministerie van Justitie virtuele bezittingen ter waarde van meer dan 6 miljard dollar bij Binance ontvreemd. Hoe de aanval verliep en wie erachter zit, hebben we samengevat in ons verslag over de Binance-hack en TraderTraitor.

Autoriteiten en bedrijven hebben sindsdien samen meer dan 2,7 miljard dollar bevroren. Voor meer dan 1,2 miljard dollar daarvan ligt al een rechterlijke toestemming voor inbeslagname of blokkering. De zoektocht gaat door, want volgens het ministerie sluizen de daders de buit via bridges, mixers en exchanges. Een bridge is een dienst die tokens tussen twee blockchains overzet; een mixer vermengt betalingen van veel gebruikers om de herkomst te verhullen. Assistant Attorney General A. Tysen Duva verklaarde dat ongeveer de helft van de historische diefstal direct kon worden tegengehouden.

Voor klanten van een exchange laat de zaak zien hoe belangrijk toezicht en duidelijke regels voor bewaring zijn. Een vergunning onder de Europese MiCA-verordening verplicht aanbieders in de EU onder meer om klantgelden gescheiden te bewaren.

Opensource-toeleveringsketen: npm- en Rust-pakketten in het vizier

FaceStealer is niet alleen op cryptotegoeden gericht. Volgens de FBI benaderen de daders steeds vaker mensen die opensourcesoftware ontwikkelen en onderhouden. Krijgen ze toegang tot hun computer, dan kunnen ze kwaadaardige code in softwarepakketten smokkelen die vervolgens door miljoenen gebruikers worden gedownload. Deskundigen spreken van een aanval op de toeleveringsketen.

Begin dit jaar was dat volgens de FBI bijna gelukt. De beheerder van een grote JavaScript-bibliotheek met tientallen miljoenen downloads per week volgde in een nep-Teamsgesprek de zogenaamde foutoplossing. De daders gebruikten zijn toegang om schadelijke afhankelijkheden in de bibliotheek te plaatsen. Alleen de snelle ontdekking voorkwam grote schade. Andere pogingen richtten zich op beheerders van pakketten in de JavaScript-registry npm en onlangs op Rust-pakketten, zogeheten crates. Ook walletsoftware is op zulke pakketten gebouwd.

Patrick Grandy, hoofd van het FBI-kantoor in Los Angeles, noemt de truc zeer doeltreffend, zelfs tegen technisch onderlegde en beveiligingsbewuste gebruikers. FaceStealer misbruikt het vertrouwen in alomtegenwoordige videoconferenties en in persoonlijke relaties. Wie zich geen scenario kan voorstellen waarin hij erin trapt, denkt niet creatief genoeg, zei Grandy volgens het persbericht.

Zo bescherm je je tegen nep-videocalls en ClickFix-malware

Wat er is gebeurd: op 12 november 2026 hebben het Amerikaanse ministerie van Justitie en de FBI de infrastructuur van de Noord-Koreaanse FaceStealer-campagne in beslag genomen. De daders lokken mensen via gekaapte chataccounts naar nagemaakte Zoom- en Teams-sessies en laten hun doelwitten met een geveinsde geluidsstoring malware installeren. De schade bedraagt volgens het ministerie meer dan 400 miljoen dollar in 18 maanden.

Ben je getroffen? Volgens de FBI staan mensen uit de crypto- en Web3-sector en ontwikkelaars van opensourcesoftware centraal. Omdat de daders de contactlijsten van hun slachtoffers afwerken, kan echter iedereen worden benaderd die met deze mensen in contact staat. Een waarschuwingssignaal is een videocall waarbij je via een link instapt in plaats van via de app en tijdens het gesprek een update, script of opdracht moet uitvoeren. Heb je dat de afgelopen maanden gedaan, behandel de computer dan als besmet.

1. Vergadercode in plaats van link: neem alleen via de geïnstalleerde app met de vergadercode deel aan Zoom- of Teams-sessies, zeker bij uitnodigingen van contacten die je zelden spreekt.
2. Camera pas later aan: zet je webcam pas aan als je de uitnodiger live ziet en hoort en een vraag hebt gesteld die alleen hij of zij kan beantwoorden.
3. Geen opdrachten tijdens het gesprek: voer tijdens een vergadering nooit een script uit en plak geen code in de opdrachtregel; werk de app zo nodig apart bij via de website van de maker.
4. Tweede kanaal: bevestig elke afspraak via een andere weg dan die van de uitnodiging, bijvoorbeeld telefonisch als het verzoek via Telegram binnenkwam.
5. Chataccounts beveiligen: zet bij Telegram, WhatsApp en Slack tweestapsverificatie en inlogmeldingen aan en gebruik zelfverwijderende berichten, zodat gekaapte chatgeschiedenissen weinig prijsgeven.

De basis van veilig bewaren lees je in onze gids over crypto veilig bewaren; geschikte apparaten vergelijkt de vergelijking van hardware wallets.

Besmette computer: de noodstappen volgens de FBI

Wie vermoedt in zo'n val te zijn gelopen, moet eerst de coins in veiligheid brengen. De FBI raadt aan op een apparaat dat nooit voor contact met de daders is gebruikt een nieuwe wallet met een nieuwe seedphrase aan te maken en alle tegoeden daarheen over te zetten. De oude herstelzin geldt als verbrand, want de daders kunnen hem hebben gekopieerd en wachten misschien alleen op het juiste moment.

Daarna volgen de accounts. Wijzig alle wachtwoorden, meld in Telegram, WhatsApp en andere diensten alle actieve sessies af en stel tweestapsverificatie in. Ben je de toegang tot een account al kwijt, neem dan contact op met het platform en laat het blokkeren of herstellen. Laat je contacten bovendien weten dat iemand namens jou kan schrijven en je webcamvideo kan afspelen. Liep het gesprek op een werkcomputer of staan er werkbestanden op je privéapparaat, licht dan ook je werkgever in.

In de Verenigde Staten neemt de FBI meldingen aan via het platform IC3 met het trefwoord FaceStealer. Daarbuiten is de politie het eerste aanspreekpunt, en aangifte kan vaak ook online.

Software wallet of hardware wallet: waar de FBI grotere bedragen ziet

Een software wallet is een programma of browserextensie die je sleutels op de computer of smartphone opslaat. Precies daar slaat FaceStealer toe. De FBI raadt daarom aan in browserextensies alleen kleine bedragen te houden. Grotere tegoeden horen op een apart fysiek apparaat dat niet met de computer is verbonden, of bij een exchange. Herstelzinnen en privésleutels horen volgens de FBI op geen enkel apparaat.

Een hardware wallet ondertekent transacties op een eigen apparaat, en de privésleutel verlaat dat apparaat niet. Een keylogger op de laptop kan hem daarom niet onderscheppen. Voorwaarde is dat je de seedphrase nooit intypt, nooit fotografeert en nooit in een cloud opslaat. Voor dagelijks gebruik met kleine bedragen blijft een software wallet handig, zolang er niet meer in staat dan je kunt missen.

FaceStealer-afweer: drie gewoonten tegen de truc van 400 miljoen

1. Tegoeden spreiden: houd in de browserwallet alleen wat je voor de volgende transacties nodig hebt en zet de rest op een apparaat uit de vergelijking van hardware wallets.
2. Exchange met toezicht kiezen: laat je coins op een platform staan, kies dan een aanbieder met een MiCA-vergunning uit het overzicht van gereguleerde cryptobeurzen.
3. Dagelijkse wallet bewust kiezen: voor kleine bedragen op de smartphone helpt een vergelijking van software wallets bij de keuze van een app met transactiewaarschuwingen.

(Per 13 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)