أمريكا تعطّل حملة FaceStealer الكورية الشمالية: اجتماعات فيديو مزيفة سرقت 400 مليون دولار

أعلنت وزارة العدل الأمريكية يوم 12 نوفمبر 2026 تعطيل البنية التحتية السحابية لحملة أطلق عليها مكتب التحقيقات الفيدرالي (FBI) اسم «FaceStealer»، وتنسبها إلى مخترقين تابعين لكوريا الشمالية. وبحسب الوزارة، تسببت الحملة في سرقة ما يزيد على 400 مليون دولار من العملات الرقمية خلال الأشهر الثمانية عشر الماضية.

كيف تعمل الحيلة؟

يصل الضحية عرض لاجتماع فيديو، غالباً عبر دعوة Calendly أو رابط Zoom أو Teams، ويأتي من حساب مسروق لشخص يعرفه سبق أن وقع ضحية. داخل الاجتماع، يسجّل المهاجمون صورة كاميرا الضحية، ويعرضون له مقاطع مسجلة مسبقاً لضحايا سابقين يعرفهم، لإيهامه بأن زملاءه حاضرون. وتقول الوزارة إن المهاجمين استخدموا كذلك مقاطع «Deepfake» لشخصيات معروفة في قطاع العملات الرقمية.

بعد ذلك يُختلق خلل تقني، مثل أن الطرف الآخر لا يسمعك، ويُرسل رابط «إصلاح» يثبّت في الحقيقة برمجية خبيثة. ومن الجهاز المخترق يسرق المهاجمون العملات الرقمية، ويستولون على حسابات التواصل مثل Telegram وLinkedIn وSlack وDiscord لاصطياد معارف الضحية، أحياناً بعد أشهر من الاختراق الأول.

لماذا يستهدفون المطورين؟

تشير الوزارة إلى أن الحملة استهدفت بشكل متزايد مطوري ومشرفي البرمجيات مفتوحة المصدر، للوصول إلى أجهزتهم وحساباتهم على مستودعات الشيفرة. وترى أن هذا الاستهداف «يبدو محسوباً لتمكين هجمات على سلسلة إمداد البرمجيات».

من يقف خلفها؟

ينسب FBI النشاط إلى مجموعة تُعرف في القطاع الخاص بأسماء منها Sapphire Sleet وUNC1069 وBlueNoroff وAPT38 وStardust Chollima. وبموجب أمر قضائي، صادر المكتب أكثر من 900 مقطع فيديو لكاميرات ضحايا من حول العالم، وتواصل مع كثير منهم.

وتزامن الإعلان مع خطوة منفصلة لاستعادة جزء من الأموال المسروقة في اختراق منصة Binance الشهر الماضي.