FBI warnt vor gefälschten FaceStealer-Videoanrufen

Ein vertrautes Gesicht in einem gefälschten Treffen

Das FBI veröffentlichte am 12. November 2026 eine FaceStealer-Warnung für Beschäftigte im Kryptowährungs- und Web3-Bereich sowie für Betreuer quelloffener Software. Laut der Behörde nutzen Angreifer übernommene Nachrichtenkonten und Webcam-Aufzeichnungen, damit betrügerische Videotreffen wie Gespräche mit vertrauten Kontakten erscheinen.

Dem Bericht zufolge identifizierte und beschlagnahmte das FBI mehr als 900 Webcam-Aufnahmen von Opfern. Es schreibt die Kampagne staatlich unterstützten nordkoreanischen Akteuren zu und beziffert die innerhalb von 18 Monaten gestohlenen Kryptowährungen auf mehr als $400 Millionen. Diese Zahlen und die Zuordnung sind Erkenntnisse der Behörde; sie sind keine Ankündigung von Entschädigungen oder zurückgezahlten Geldern. [1]

Die angebliche Reparatur installiert Schadsoftware

Eine Einladung kann vom echten Konto einer bekannten Person kommen. Während des gefälschten Treffens spielen Angreifer zuvor aufgezeichnete Videos ab und behaupten, ein Tonproblem oder ein anderer technischer Fehler müsse behoben werden. Das angebotene Update oder die Reparatur führt zur Installation von Schadsoftware.

Laut FBI beruht die Kampagne weiterhin überwiegend auf echten gestohlenen Aufnahmen, obwohl auch Deepfakes eingesetzt werden. Ein bekanntes Gesicht bestätigt deshalb nicht die Echtheit eines Treffens. Das kompromittierte Gerät kann Kryptowährungen, Kommunikationskonten und Kontakte des Opfers offenlegen und damit Material für weitere Einladungen liefern.

Die Warnung beschreibt Fälle, in denen der Diebstahl Monate oder mehr als ein Jahr nach der ursprünglichen Kompromittierung erfolgte. Ein unverändertes Wallet-Guthaben unmittelbar nach einem verdächtigen Anruf ist daher kein verlässliches Zeichen dafür, dass Gerät und geheime Daten sicher geblieben sind. [2]

Auch Entwickler werden angegriffen

Die Warnung umfasst auch Versuche, Zugriff auf Entwicklergeräte und Software-Repositories zu erhalten. Das FBI beschreibt die Kompromittierung eines Betreuers einer JavaScript-Bibliothek, bei der eine schnelle Reaktion einen größeren Lieferkettenangriff verhinderte. Die Bibliothek wird in der Warnung nicht benannt.

Eine frühere Microsoft-Untersuchung vom April 2026 mit einer Aktualisierung im Juni dokumentiert Sapphire-Sleet-Aktivitäten gegen macOS-Nutzer mit gefälschten Updates und vom Nutzer selbst ausgelöster Ausführung. Sie liefert technischen Kontext zum Social-Engineering-Verfahren, bestätigt aber nicht unabhängig die gesamte Schadensschätzung des FBI. [2][3]

Was das FBI empfiehlt

Das FBI empfiehlt, die offizielle Besprechungsanwendung mit einem Einladungscode zu verwenden und unerwartete Treffen über einen anderen Kommunikationskanal zu bestätigen. Teilnehmer sollten keine Skripte ausführen oder Befehle in ein Terminal kopieren, um ein während des Anrufs behauptetes Problem zu lösen.

Bei vermuteter Kompromittierung empfiehlt die Behörde unter anderem, sensible Konten abzusichern, aktive Sitzungen zu beenden, Mehrfaktor-Authentifizierung einzuschalten und Kontakte sowie Arbeitgeber zu warnen. Meldungen über IC3 sollen das Stichwort FaceStealer enthalten. Kontowiederherstellung und Bereinigung des Geräts bleiben auch nach der Abschaltung schädlicher Infrastruktur erforderlich. [4]