摘要：
美国联邦调查局（FBI）表示，朝鲜国家支持的黑客组织在过去18个月内，通过一套名为“FaceStealer”的复杂社会工程攻击手段，窃取了价值超过4亿美元的加密货币。这些攻击者利用受害者熟悉的人物形象伪造视频会议，诱骗目标安装恶意软件，再通过被入侵的设备和社交关系网络扩大攻击范围。
据路透社2026年11月12日报道，FBI披露，这套攻击体系并非简单地通过钓鱼邮件或恶意网站窃取密码，而是将真实人物的社交账户、秘密录制的视频以及人工智能生成的深度伪造影像结合起来，使受害者误以为自己正在与可信赖的同事、朋友或行业人士进行正常交流。
攻击通常从一封看似可信的视频会议邀请开始。黑客首先入侵某个目标人物的社交媒体或即时通信账户，获取其联系人信息以及过去的交流记录，然后利用被盗账户向受害者发送会议邀请。由于邀请来自真实联系人，且信息内容符合双方以往的交流习惯，目标往往不会产生太多怀疑。
受害者点击链接后，会进入一个仿冒Zoom、Microsoft Teams或Google Meet等主流视频会议软件的网站。会议画面中可能出现受害者熟悉的人物，实际上却是攻击者提前录制的视频。黑客甚至会安排多个看似真实的参会者，以增强整个会议的可信度。
在会议过程中，攻击者会故意制造技术故障，例如声称无法听到受害者的声音，随后提示对方点击链接或执行某些操作来修复音频问题。所谓的修复程序实际上是恶意软件，一旦受害者按照指示操作，恶意代码就会被安装到其电脑中。
设备遭到入侵后，黑客便可以窃取加密货币、控制社交媒体账户，或者获取受害者能够访问的其他计算机系统。攻击者还会进一步收集受害者的联系人、社交媒体信息和通信记录，再利用这些资料向其亲友、同事及商业伙伴发动新一轮攻击。
这意味着，每一名受害者都可能成为下一轮攻击的入口。黑客不仅能够利用最初入侵获得的账户和信息，还能借助受害者本人的真实身份建立新的信任关系，使后续攻击更难被识别。
FBI表示，攻击者已经开始利用人工智能制作知名人士和加密货币行业重要人物的深度伪造视频。这些虚假影像被用于视频会议，以进一步提高欺骗效果。FBI此次查获了超过900段受害者的网络摄像头录像，显示攻击者不仅在利用预先录制的影像冒充他人，也在持续收集新受害者的视频素材，为后续攻击提供材料。
美国司法部将这套行动称为朝鲜黑客组织的“FaceStealer”社会工程攻击行动，并于11月12日宣布采取措施，查封了相关黑客使用的云端基础设施。美国方面称，这一行动已造成过去18个月超过4亿美元的加密货币损失，同时还威胁到开源软件供应链的安全。
FBI将相关活动归因于朝鲜黑客组织Sapphire Sleet，也称UNC1069。该组织还使用Dangerous Password、CryptoCore、BlueNoroff等名称被安全研究机构追踪。美国方面指出，这些攻击者正逐渐将目标从加密货币持有者扩大到开源软件开发人员和维护者，试图入侵他们的个人设备及软件仓库账户。
这一变化尤其值得关注。开源软件通常被大量企业和开发者用于构建自己的应用程序，如果攻击者能够控制某个重要项目的维护者账户，就有可能在软件更新或代码提交中植入恶意内容，进而影响下游用户。FBI认为，针对开源软件供应链的攻击可能是这套行动的重要新方向。
美国司法部公布的一起案例显示，今年早些时候，一名负责维护JavaScript软件库的开发者参加了一场伪造的Teams会议。会议中出现了开发者认识的人物，对方随后以音频故障为由要求其执行修复操作，最终导致开发者的计算机遭到感染。攻击者试图借此获得其控制的软件仓库账户权限，制造进一步的供应链风险。相关攻击最终被发现并阻止，未造成大范围传播。
美国司法部同时强调，FaceStealer行动与近期针对加密货币交易所币安（Binance）的巨额盗窃事件属于不同的黑客行动。后者涉及美国方面称为TraderTraitor的朝鲜黑客组织。FBI此前将币安遭窃事件归因于该组织，而FaceStealer则主要由Sapphire Sleet等黑客活动集群实施，两者不应混为一谈。
美国司法部表示，朝鲜长期利用加密货币盗窃为政府活动及受制裁的武器项目筹集资金。此次查封行动旨在破坏FaceStealer的技术基础设施，并提醒加密货币和开源软件行业提高警惕。
这起事件也表明，人工智能和深度伪造技术正在改变网络犯罪的攻击方式。过去，视频会议中的熟人形象往往能够成为身份验证的重要依据，但如今，黑客可以通过盗取真实账户、录制真实人物影像以及生成AI深度伪造视频，制造出极具迷惑性的虚假场景。对于企业和开发者而言，单纯依赖视频画面、熟悉的头像或来自熟人账户的会议邀请，已经不足以确认对方身份。
评论