FBI neutralise FaceStealer : 400 M$ en crypto nord-coréens

Ce qui s est passé

Le 13 novembre 2026, le Federal Bureau of Investigation et le Département de Justice américain ont annoncé conjointement le démantèlement de l infrastructure cloud utilisée par l opération FaceStealer, un dispositif de vol de cryptomonnaies attribué à des hackers affiliés au gouvernement nord-coréen. L opération a mobilisé plusieurs bureaux régionaux du FBI ainsi que des partenaires judiciaires internationaux. Les agents fédéraux ont procédé à la saisie de serveurs et d infrastructures d hébergement utilisées pour coordonner les attaques et stocker les données des victimes.

Selon les déclarations officielles du FBI, FaceStealer est une campagne active depuis environ dix-huit mois. Les attaquants ciblent spécifiquement des professionnels évoluant dans le secteur des cryptomonnaies et des protocoles Web3 : fondateurs de projets blockchain, traders institutionnels, développeurs de smart contracts, dirigeants de fonds d investissement crypto. Ces cibles sont sélectionnées pour leurs accès à des portefeuilles numériques à haute valeur et pour leur familiarité avec les visioconférences techniques, ce qui les rend moins méfiants face à des demandes de partage d écran ou d installation d outils de collaboration.

Le vecteur d attaque principal est sophistiqué : les acteurs malveillants utilisent des enregistrements de webcam préalablement récoltés ou générés par IA pour créer des deepfakes de contacts de confiance — collègues, partenaires commerciaux, investisseurs connus dans l industrie. Ces deepfakes sont ensuite utilisés lors de visioconférences sur des versions falsifiées de plateformes populaires de visioconférence. La victime, voyant une image et entendant une voix familière, est mise en confiance et poussée à accepter des demandes d installation de logiciels, de partage d écran ou de connexion à des ressources partagées.

Une fois la confiance établie, les attaquants déploient un implant malveillant sur la machine de la victime. Cet implant dispose de capacités d exfiltration des clés privées de portefeuilles crypto, des phrases de récupération (seed phrases), des sessions d authentification des exchanges et des identifiants stockés dans les gestionnaires de mots de passe. Dans certains cas, le malware installe également un accès persistant à distance permettant aux opérateurs nord-coréens de surveiller l activité de la victime sur une période prolongée avant de procéder au transfert des fonds.

Le FBI a indiqué avoir identifié et saisi plus de 900 vidéos de webcams de victimes lors des opérations de démantèlement. Ces vidéos constituaient le matériau brut à partir duquel les deepfakes étaient générés ou les enregistrements originaux utilisés pour affiner les modèles d imitation vocale et visuelle. La saisie de ce corpus est à la fois un indice de l ampleur de l opération et une mesure de protection pour les victimes dont les enregistrements circulaient sur l infrastructure criminelle.

L estimation financière de 400 millions de dollars de pertes couvre uniquement les victimes que le FBI a pu formellement identifier et dont les transactions ont pu être tracées sur la blockchain. Les enquêteurs précisent que ce chiffre représente probablement une partie seulement du volume total volé, les transactions passant par des mixeurs de cryptomonnaies et des bridges cross-chain conçus pour brouiller les pistes. Cette estimation est distincte d un démantèlement séparé annoncé le même jour, lié au hack de l exchange Binance de 6,3 milliards de dollars, pour lequel le DOJ a saisi plus de 1,2 milliard de dollars d actifs.

L attribution à BlueNoroff (aussi suivi sous les noms Sapphire Sleet, UNC1069, Stardust Chollima et APT38 selon les entreprises de threat intelligence) est solide. Ce groupe est documenté depuis 2016 et a été associé à plusieurs des plus importants vols de cryptomonnaies de l histoire, dont le braquage de la Banque centrale du Bangladesh en 2016 (81 millions de dollars), les attaques WannaCry en 2017 et les vols multiples contre des exchanges asiatiques entre 2018 et 2024. BlueNoroff est considéré comme une unité du Bureau 121, le service de cyberguerre de la Corée du Nord, avec pour mission principale le financement du régime de Pyongyang via des activités cybercriminelles en contournement des sanctions internationales.

Confronté aux accusations du FBI, le gouvernement nord-coréen a qualifié les allégations d « absurde rhétorique politique » dans une déclaration officielle, niant toute implication de ses militaires ou services de renseignement dans des activités cybercriminelles. Cette position est conforme à celle que Pyongyang maintient depuis des années face aux attributions répétées de la communauté internationale.

Pourquoi c est important

L opération FaceStealer marque une évolution significative dans les tactiques des groupes APT nord-coréens. Le recours systématique aux deepfakes en temps réel lors de visioconférences représente une sophistication nouvelle qui rend les défenses traditionnelles — notamment la vérification d identité visuelle lors des appels vidéo — largement inefficaces. Pendant des années, les consignes de sécurité enseignaient aux employés à « vérifier l identité de son interlocuteur en vidéo ». FaceStealer invalide ce réflexe de sécurité si l acteur malveillant dispose d une bibliothèque vidéo suffisante de la cible.

La cible prioritaire — le secteur crypto et Web3 — est délibérément choisie pour sa combinaison de liquidités élevées, de transactions irréversibles et d environnements de travail fortement décentralisés où les collaborations avec des inconnus sont fréquentes et normalisées. Contrairement aux virements bancaires qui peuvent être rappelés ou bloqués, une transaction de cryptomonnaies validée sur la blockchain est définitive. Cette caractéristique fait des actifs numériques une cible de choix pour les acteurs cherchant à contourner le système financier international.

D un point de vue géopolitique, les 400 millions de dollars estimés de FaceStealer s ajoutent à des milliards de dollars accumulés par la Corée du Nord via la cybercriminalité au cours des dix dernières années. Des rapports de l ONU et de diverses agences de renseignement estiment que ces fonds financent directement le programme de missiles balistiques et d armes nucléaires de Pyongyang, contournant les sanctions économiques internationales. Le FBI américain considère la Corée du Nord comme l une des trois menaces cybernétiques les plus graves pour les intérêts américains, aux côtés de la Russie et de la Chine.

Pour les entreprises et organisations, l émergence de deepfakes opérationnels en visioconférence impose de repenser les protocoles de vérification d identité pour les opérations à haute valeur. Des mesures pratiques émergent : mots de code ou phrases d authentification échangés hors bande avant tout appel sensible, vérification d identité via un canal séparé (SMS, appel téléphonique classique), interrogation contextuelle sur des événements récents que seul le vrai interlocuteur connaîtrait. Certaines entreprises du secteur financier commencent à déployer des solutions de détection de deepfakes en temps réel lors des visioconférences, bien que ces outils restent imparfaits face aux modèles les plus récents.

Ce qu il faut retenir

• Les deepfakes en visioconférence sont désormais une arme opérationnelle utilisée par des APT étatiques pour cibler le secteur crypto et Web3 — la vérification visuelle seule n est plus suffisante.
• BlueNoroff / Sapphire Sleet reste un groupe extrêmement actif et sophistiqué, financé par l État nord-coréen avec des ressources considérables.
• Établir des protocoles de vérification hors bande (mots de code, appel séparé) avant toute opération financière initiée via visioconférence est devenu une nécessité dans les secteurs à risque.