Le FBI alerte sur les faux appels FaceStealer

Un visage familier dans une réunion frauduleuse

Le FBI a publié le 12 novembre 2026 une alerte FaceStealer destinée aux professionnels des cryptomonnaies et du Web3, ainsi qu’aux responsables de logiciels libres. Selon l’agence, les attaquants utilisent des comptes de messagerie détournés et des enregistrements de webcam pour faire passer de fausses réunions vidéo pour des conversations avec des contacts de confiance.

D’après l’alerte, le FBI a identifié et saisi plus de 900 enregistrements de webcam de victimes. Il attribue la campagne à des acteurs nord-coréens soutenus par l’État et estime les cryptomonnaies volées à plus de $400 millions sur 18 mois. Ces chiffres et cette attribution sont les conclusions de l’agence ; ils ne constituent pas une annonce d’indemnisation ou de restitution de fonds. [1]

La prétendue réparation installe un logiciel malveillant

Une invitation peut provenir du véritable compte d’une personne connue. Pendant la fausse réunion, les attaquants diffusent des images enregistrées et prétendent qu’un problème audio ou une autre panne technique doit être corrigé. La mise à jour ou la réparation proposée conduit le participant à installer un logiciel malveillant.

Le FBI indique que la campagne repose encore principalement sur de véritables enregistrements volés, même si les attaquants utilisent aussi des hypertrucages. Reconnaître un visage ne permet donc pas d’authentifier la réunion. L’appareil compromis peut exposer les cryptomonnaies, les comptes de communication et les contacts de la victime, fournissant ainsi de quoi envoyer de nouvelles invitations.

L’alerte décrit des vols survenus plusieurs mois, voire plus d’un an après la compromission initiale. Un solde de portefeuille inchangé immédiatement après un appel suspect n’indique donc pas de manière fiable que l’appareil et ses données secrètes sont restés protégés. [2]

Les développeurs sont aussi visés

L’alerte couvre également des tentatives d’accès aux appareils des développeurs et à leurs dépôts logiciels. Le FBI décrit la compromission d’un responsable d’une bibliothèque JavaScript, où une réaction rapide a stoppé une attaque plus large sur la chaîne d’approvisionnement. Il ne nomme pas cette bibliothèque dans l’alerte.

Une étude antérieure de Microsoft, publiée en avril 2026 et actualisée en juin, documente l’activité de Sapphire Sleet contre des utilisateurs de macOS au moyen de fausses mises à jour et d’exécutions déclenchées par l’utilisateur. Elle apporte un contexte technique au mécanisme d’ingénierie sociale, sans confirmer indépendamment l’estimation globale des pertes du FBI. [2][3]

Les recommandations du FBI

Le FBI conseille de rejoindre les réunions via l’application officielle avec un code d’invitation et de confirmer les rencontres inattendues par un autre canal de communication. Les participants ne doivent pas exécuter de scripts ni coller des commandes dans un terminal pour résoudre un problème présenté pendant l’appel.

En cas de compromission présumée, les recommandations comprennent la sécurisation des comptes sensibles, la fermeture des sessions actives, l’activation de l’authentification multifacteur et l’information des contacts et employeurs. L’agence demande d’inclure le mot-clé FaceStealer dans les signalements transmis via IC3. La récupération des comptes et la remise en état de l’appareil restent nécessaires même après la neutralisation d’une infrastructure malveillante. [4]