Falsi meeting Zoom: hacker nordcoreani rubano 400 milioni
Una videoconferenza con un collega può sembrare una delle attività più innocue della giornata lavorativa. Ma una nuova campagna di cyberspionaggio e furto di criptovalute dimostra quanto sia facile trasformare un incontro online in una trappola. Il FBI ha attribuito ad hacker legati alla Corea del Nord un’operazione chiamata FaceStealer, che avrebbe permesso di sottrarre oltre 400 milioni di dollari in criptovalute negli ultimi 18 mesi. Il meccanismo sfrutta false riunioni su piattaforme che imitano Zoom, Microsoft Teams e Google Meet, utilizzando registrazioni autentiche di persone conosciute dalle vittime per rendere credibile l’inganno.
La particolarità dell’attacco è che non richiede necessariamente un video generato dall’intelligenza artificiale. Gli aggressori registrano di nascosto le persone già compromesse e riutilizzano quelle immagini per convincere amici, colleghi e contatti professionali a partecipare a nuove chiamate. Quando il partecipante entra nella riunione, vede un volto familiare e abbassa la guardia. Un finto problema tecnico diventa poi il pretesto per installare software malevolo sul computer. Il Dipartimento di Giustizia statunitense ha annunciato il sequestro di infrastrutture cloud utilizzate nella campagna, mentre gli investigatori hanno recuperato oltre 900 registrazioni webcam.
FaceStealer: come funziona la truffa delle false videochiamate
La catena dell’attacco comincia spesso da un account già compromesso. Gli hacker prendono il controllo di profili utilizzati su Telegram, LinkedIn, Slack, Discord o altri servizi di comunicazione e consultano i messaggi precedenti per capire con chi la vittima ha rapporti personali o professionali.
A quel punto inviano un invito apparentemente normale. Può trattarsi di una proposta di collaborazione, una conversazione su un investimento oppure un semplice incontro per aggiornarsi su un progetto. Poiché il messaggio arriva da un account reale di una persona conosciuta, il destinatario potrebbe non sospettare nulla.
Poco prima dell’appuntamento arriva un collegamento a un sito che imita l’interfaccia di Zoom o Teams. L’indirizzo può assomigliare a quello ufficiale, ma appartiene a un dominio controllato dagli aggressori. La vittima accede e trova sullo schermo il filmato preregistrato del contatto, a volte insieme ad altri falsi partecipanti.
Il falso problema audio che installa un malware
Il momento decisivo arriva quando qualcuno nella riunione sostiene di non riuscire a sentire la voce della vittima. Per risolvere il presunto problema audio viene suggerito di scaricare un aggiornamento, aprire un collegamento o eseguire un comando nel terminale.
Questa procedura non ripara alcun microfono. Serve invece a installare componenti malevoli capaci di rubare cookie di sessione e credenziali, registrare i tasti premuti, catturare schermate e mantenere un accesso remoto al computer.
La webcam può essere registrata già durante la falsa chiamata. Gli hacker ottengono così nuovo materiale video da utilizzare per ingannare altre persone, creando una catena nella quale ogni vittima può diventare involontariamente il volto della truffa successiva.
Il furto di criptovalute non avviene necessariamente subito. Gli investigatori hanno documentato casi nei quali gli aggressori hanno aspettato diversi mesi o persino più di un anno prima di svuotare un portafoglio, attendendo che il saldo aumentasse.
Oltre 900 video rubati e l’uso dei deepfake
Il FBI ha recuperato più di 900 video registrati dalle webcam delle vittime nell’ambito delle indagini. Questi filmati venivano utilizzati per simulare la partecipazione di persone affidabili a riunioni mai avvenute realmente.
Gli aggressori hanno cominciato anche a utilizzare deepfake generati con intelligenza artificiale per impersonare personaggi conosciuti nel mondo delle criptovalute e della blockchain. Tuttavia, le registrazioni reali sottratte alle vittime continuano a rappresentare una componente centrale della campagna.
La combinazione tra video autentici, account compromessi e messaggi costruiti sulle conversazioni precedenti rende FaceStealer più convincente di una comune email di phishing. Non basta riconoscere il volto di un conoscente per essere certi che una videochiamata sia autentica.
Chi sono gli hacker nordcoreani dietro FaceStealer
Le autorità statunitensi collegano l’operazione a un insieme di attività nordcoreane conosciute nel settore della sicurezza informatica con diversi nomi, tra cui Sapphire Sleet, UNC1069, BlueNoroff e APT38. Le denominazioni possono variare in base alla società di sicurezza o all’organizzazione che segue la campagna.
Gli obiettivi principali sono persone e aziende attive nei settori delle criptovalute, Web3 e infrastrutture digitali, soprattutto quando un computer può offrire accesso a portafogli, chiavi private, account aziendali o repository software.
Il Dipartimento di Giustizia ha annunciato il sequestro dell’infrastruttura cloud utilizzata nella campagna FaceStealer. L’operazione non implica che tutti i componenti del gruppo siano stati identificati o arrestati, né garantisce che non possano comparire nuove infrastrutture.
Leggi anche:
Nel mirino anche gli sviluppatori di software open source
L’allarme non riguarda soltanto chi possiede criptovalute. Gli investigatori hanno osservato tentativi di compromettere sviluppatori che gestiscono librerie e progetti open source, con l’obiettivo di ottenere accesso ai loro computer e agli account dei repository.
In un caso, un responsabile di una libreria JavaScript molto diffusa è stato attirato in una falsa riunione Teams e ha eseguito le istruzioni suggerite per risolvere un problema tecnico inesistente. Gli aggressori hanno sfruttato l’accesso ottenuto per tentare di distribuire dipendenze malevole attraverso il progetto.
L’operazione è stata individuata e interrotta rapidamente, prima di una diffusione su larga scala. Il rischio resta importante perché compromettere un singolo manutentore può esporre migliaia o milioni di utenti che scaricano software apparentemente affidabile.
Il caso Binance è separato: oltre 6 miliardi di dollari sottratti
Nello stesso annuncio, le autorità statunitensi hanno fornito aggiornamenti su un’altra operazione attribuita a hacker nordcoreani, relativa al furto di oltre 6 miliardi di dollari in asset digitali da Binance avvenuto intorno al 29 ottobre 2026.
È importante non confondere i due episodi: FaceStealer e il caso Binance sono indagini distinte, collegate dalle autorità a gruppi nordcoreani differenti.
Per il caso Binance, il Dipartimento di Giustizia ha comunicato il congelamento di oltre 2,7 miliardi di dollari grazie alla collaborazione tra autorità e operatori privati. Sono inoltre stati ottenuti provvedimenti giudiziari per sequestrare o vincolare più di 1,2 miliardi di dollari, già compresi nella somma congelata e non aggiuntivi.
Il recupero degli altri fondi resta complicato perché gli aggressori utilizzano strumenti e servizi per spostare e riciclare gli asset rubati.
Come riconoscere una falsa riunione Zoom o Teams
Il consiglio più importante è non eseguire mai comandi o script suggeriti da una persona in videoconferenza per risolvere un presunto problema audio, soprattutto quando la procedura richiede di aprire il terminale o disattivare protezioni di sicurezza.
Prima di partecipare a una riunione, verifica il dominio del collegamento e, quando possibile, apri l’applicazione ufficiale di Zoom o Teams inserendo direttamente il codice dell’incontro. Se l’invito è inatteso, contatta l’organizzatore attraverso un canale differente, come una telefonata.
Il FBI consiglia inoltre di tenere la webcam spenta finché non hai verificato che il tuo interlocutore può davvero vederti, sentirti e risponderti. Un video che mostra un volto familiare non basta: potrebbe essere una registrazione.
Attiva l’autenticazione a più fattori sugli account di messaggistica e di lavoro e fai attenzione a richieste improvvise che coinvolgono portafogli digitali, credenziali o accessi ai repository.
Cosa fare se hai seguito le istruzioni di una videochiamata sospetta
Se hai eseguito un comando o installato un programma durante una riunione sospetta, considera il dispositivo potenzialmente compromesso. Interrompi le attività sensibili e contatta il responsabile della sicurezza della tua organizzazione, se utilizzi un computer di lavoro.
Da un dispositivo affidabile, modifica le password degli account coinvolti, revoca le sessioni attive e controlla i metodi di autenticazione. Se possiedi criptovalute e temi che siano state esposte chiavi private o frasi di recupero, crea un nuovo portafoglio su un dispositivo pulito e trasferisci gli asset ancora al sicuro.
Avvisa anche i contatti che potrebbero ricevere messaggi fraudolenti dal tuo account. Negli Stati Uniti il FBI invita a segnalare gli episodi attraverso IC3.gov, indicando la parola chiave FaceStealer.
La vicenda dimostra come una truffa informatica possa sfruttare la fiducia più che una vulnerabilità del programma di videoconferenza. Zoom, Teams e Google Meet non sono necessariamente stati violati: gli hacker hanno creato copie ingannevoli delle loro interfacce per convincere le vittime a compromettere da sole i propri computer.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.