FBI предупредило о поддельных звонках FaceStealer

Знакомое лицо на поддельной встрече

12 ноября 2026 года FBI выпустило предупреждение о FaceStealer для работников криптовалютной отрасли и Web3, а также сопровождающих открытое программное обеспечение. По данным ведомства, злоумышленники используют захваченные аккаунты мессенджеров и записи с веб-камер, чтобы поддельные видеовстречи выглядели как разговоры со знакомыми людьми.

В уведомлении говорится, что FBI обнаружило и изъяло более 900 записей с веб-камер пострадавших. Ведомство связывает кампанию с поддерживаемыми государством северокорейскими хакерами и оценивает похищенную за 18 месяцев криптовалюту более чем в $400 млн. Эти суммы и атрибуция являются выводами FBI; речь не идёт об объявлении компенсаций или возврате средств. [1]

Вместо исправления устанавливается вредоносная программа

Приглашение может прийти из настоящего аккаунта знакомого человека. Во время поддельной встречи злоумышленники воспроизводят записанное ранее видео и сообщают о проблеме со звуком или другой технической неисправности. Предложенное обновление или исправление приводит к установке вредоносной программы.

FBI сообщает, что основой кампании по-прежнему остаются настоящие похищенные записи, хотя используются и дипфейки. Поэтому узнаваемое лицо не удостоверяет подлинность встречи. Заражённое устройство открывает доступ к криптовалюте, аккаунтам связи и контактам пострадавшего, которые используются для следующих приглашений.

В уведомлении описаны случаи кражи через несколько месяцев или более года после первоначального заражения. Неизменившийся баланс кошелька сразу после подозрительного звонка поэтому не означает, что устройство и хранящиеся на нём секреты защищены. [2]

Разработчики тоже становятся целями

Предупреждение также касается попыток получить доступ к устройствам разработчиков и репозиториям программ. FBI описывает компрометацию сопровождающего библиотеки JavaScript, при которой быстрые ответные действия остановили более масштабную атаку через цепочку поставок. Название библиотеки в уведомлении не указано.

В исследовании Microsoft, опубликованном в апреле 2026 года и дополненном в июне, описана активность Sapphire Sleet против пользователей macOS: поддельные обновления и запуск файлов самим пользователем. Это технический контекст механизма социальной инженерии, а не независимое подтверждение общей оценки ущерба FBI. [2][3]

Что рекомендует FBI

FBI рекомендует подключаться через официальное приложение для встреч с кодом приглашения и подтверждать неожиданные встречи через другой канал связи. Не следует запускать скрипты или вставлять команды в терминал ради устранения проблемы, о которой сообщили во время звонка.

При подозрении на компрометацию рекомендации включают защиту важных аккаунтов, завершение активных сеансов, включение многофакторной аутентификации и предупреждение контактов и работодателей. При отправке сообщения об инциденте через IC3 ведомство просит указать ключевое слово FaceStealer. Восстановление аккаунтов и очистка устройства необходимы и после отключения вредоносной инфраструктуры. [4]