FBI: attenzione alle false videochiamate FaceStealer

Un volto conosciuto in una riunione falsa

Il 12 novembre 2026 l’FBI ha pubblicato un avviso su FaceStealer rivolto a chi lavora nelle criptovalute e nel Web3 e ai manutentori di software open source. Secondo l’agenzia, gli aggressori utilizzano account di messaggistica compromessi e registrazioni delle webcam per far sembrare le riunioni video fraudolente conversazioni con contatti fidati.

L’avviso riferisce che l’FBI ha identificato e sequestrato oltre 900 registrazioni delle webcam delle vittime. Attribuisce la campagna ad attori nordcoreani sostenuti dallo Stato e stima criptovalute rubate per oltre $400 milioni in 18 mesi. Cifre e attribuzione sono conclusioni dell’agenzia; non costituiscono un annuncio di risarcimenti o restituzione dei fondi. [1]

La presunta riparazione installa malware

L’invito può arrivare dall’account autentico di una persona conosciuta. Durante la falsa riunione, gli aggressori riproducono filmati registrati in precedenza e sostengono che occorra risolvere un problema audio o un altro guasto tecnico. L’aggiornamento o la riparazione proposta porta il partecipante a installare malware.

L’FBI afferma che la campagna continua a basarsi soprattutto su registrazioni autentiche rubate, sebbene vengano utilizzati anche deepfake. Riconoscere un volto non autentica quindi la riunione. Il dispositivo compromesso può esporre criptovalute, account di comunicazione e contatti della vittima, fornendo materiale per altri inviti.

L’avviso descrive furti avvenuti mesi o oltre un anno dopo la compromissione iniziale. Un saldo del portafoglio invariato subito dopo una chiamata sospetta non è dunque un’indicazione affidabile che il dispositivo e i suoi dati segreti siano rimasti al sicuro. [2]

Nel mirino anche gli sviluppatori

L’avviso riguarda anche i tentativi di ottenere accesso ai dispositivi degli sviluppatori e ai repository software. L’FBI descrive la compromissione di un manutentore di una libreria JavaScript, in cui una risposta rapida ha fermato un attacco più ampio alla catena di fornitura. L’avviso non indica il nome della libreria.

Una precedente ricerca di Microsoft, pubblicata nell’aprile 2026 e aggiornata a giugno, documenta attività di Sapphire Sleet contro utenti macOS mediante falsi aggiornamenti ed esecuzione avviata dall’utente. Offre un contesto tecnico al meccanismo di ingegneria sociale, ma non conferma in modo indipendente la stima complessiva delle perdite dell’FBI. [2][3]

Le raccomandazioni dell’FBI

L’FBI consiglia di accedere tramite l’applicazione ufficiale per le riunioni con un codice di invito e di confermare gli incontri inattesi attraverso un altro canale di comunicazione. I partecipanti non devono eseguire script o incollare comandi nel terminale per risolvere un problema presentato durante la chiamata.

Dopo una sospetta compromissione, le raccomandazioni includono proteggere gli account sensibili, chiudere le sessioni attive, attivare l’autenticazione a più fattori e avvisare contatti e datori di lavoro. L’agenzia chiede di inserire la parola chiave FaceStealer nelle segnalazioni inviate tramite IC3. Il recupero degli account e la bonifica del dispositivo restano necessari anche dopo lo smantellamento dell’infrastruttura dannosa. [4]