Des hackers nord-coréens ont volé 400 millions de dollars en crypto via de faux appels vidéo, selon le FBI

Comment fonctionne l'arnaque

Le FBI appelle l'opération FaceStealer. Les hackers envoient des invitations à des réunions depuis des comptes de réseaux sociaux et de messagerie qu'ils ont pris à des victimes antérieures, puis attirent leurs cibles dans des appels hébergés sur des versions contrefaites de Zoom, Microsoft Teams et Google Meet. Une fois la cible connectée, les hackers diffusent des images de webcam préenregistrées de victimes précédentes que la cible connaît, afin que l'appel paraisse authentique, tandis que la webcam de la cible est secrètement filmée. Suit une panne technique mise en scène, et la cible est invitée à cliquer sur un lien pour « réparer », ce qui installe un logiciel malveillant, selon le ministère de la Justice. Dans certains cas, les hackers ont attendu des mois, voire plus d'un an, avant de retirer les fonds. L'accès obtenu via les appareils compromis expose ensuite les listes de contacts et les applications, qui fournissent la série suivante de cibles.

La plupart des cibles travaillent dans la crypto et d'autres secteurs liés à internet. Le FBI affirme que les hackers s'en prennent de plus en plus aux développeurs et aux mainteneurs de logiciels open source, dont les comptes d'appareils et de dépôts de logiciels peuvent servir à compromettre les chaînes d'approvisionnement logicielles. Le bureau indique aussi que le groupe a commencé à utiliser l'intelligence artificielle pour fabriquer des deepfakes de figures connues de la crypto et de la blockchain, ce qui rend l'usurpation plus convaincante. Brett Leatherman, directeur adjoint de la division cyber du FBI, décrit cette approche comme un mélange d'outils.

« Les hackers nord-coréens mêlent de plus en plus l'intrusion informatique, l'ingénierie sociale et les technologies émergentes comme les deepfakes pour rendre leurs tentatives d'usurpation plus convaincantes et plus faciles à multiplier. »

Saisies et lien avec Binance

Les autorités affirment avoir démantelé l'infrastructure cloud utilisée par les hackers et saisi plus de 900 vidéos de webcam de victimes en vertu d'un mandat fédéral. Patrick Grandy, qui dirige le bureau de terrain du FBI à Los Angeles, avertit que n'importe qui pourrait être piégé par le procédé.

« Si vous n'arrivez pas à imaginer un scénario dans lequel vous pourriez en être victime, c'est que vous ne faites pas preuve de suffisamment d'imagination. »

Par ailleurs, le ministère de la Justice s'est joint aux deux plus grands émetteurs de stablecoins pour tenter de sécuriser près de la moitié de l'argent dérobé lors du piratage de Binance, selon Bloomberg. Le ministère a obtenu une autorisation judiciaire pour saisir ou geler 1,2 milliard de dollars, tandis que les agences américaines et des entreprises privées ont gelé plus de 2,7 milliards de dollars au total. Le 12 novembre, Bloomberg a rapporté que Binance avait déclaré avoir couvert l'intégralité des 6,3 milliards de dollars d'actifs cryptographiques prélevés sur les comptes de clients lors de l'incident du 29 octobre.

Dérobés (chiffre de l'AP)6,3

Gelés par les agences américaines et des entreprises privées2,7

Saisie ou gel autorisés par la justice1,2

Dérobés (chiffre de l'AP)

6.3 mds USD

Gelés par les agences américaines et des entreprises privées

2.7 mds USD

Saisie ou gel autorisés par la justice

1.2 mds USD

Données tirées du texte de l’article

Attribution et réponse de Pyongyang

Le FBI rattache FaceStealer à Sapphire Sleet, qu'il décrit comme une émanation du groupe Lazarus, également connu sous les noms d'UNC1069, Stardust Chollima, APT38 et BlueNoroff. Le vol chez Binance est une affaire distincte : le FBI l'attribue à un groupe appelé TraderTraitor, qui aurait pris plus de 6 milliards de dollars vers le 29 octobre. Deutsche Welle rapporte que le vol de Binance est imputé à des hackers militaires nord-coréens, distincts de la nébuleuse Sapphire Sleet. L'AP l'a qualifié de plus grand braquage de crypto jamais enregistré.

Pyongyang a démenti les accusations américaines. Kim Yo Jong, sœur de Kim Jong-un, aurait qualifié ces affirmations de rhétorique absurde visant à présenter la Corée du Nord comme un État cybercriminel, et les a dénoncées comme une grave provocation politique contre son pays.

La suite

Le FBI indique qu'il continuera d'exposer et de perturber l'activité de piratage nord-coréenne et d'en augmenter le coût. Le bureau soutient que le régime dépend du vol de crypto pour financer ses programmes d'armement. Pour les fonds gelés, les autorités déposent généralement une demande de confiscation devant un tribunal, et un juge statue ensuite sur qui détient une créance légitime sur l'argent récupéré.