De FBI meldt dat door North Korea gelieerde dreigingsactoren in de afgelopen 18 maanden meer dan $400 miljoen aan cryptocurrency hebben gestolen. De kern van het misbruik draait om Deepfake video-oplichting binnen een social engineering-campagne die de naam FaceStealer draagt. Tegelijkertijd is er ook bericht over het veiligstellen van grote bedragen aan crypto die eerder via aanvallen op onder andere een beursplatform zijn buitgemaakt.
Wat deze zaak extra urgent maakt, is dat de aanvallers niet alleen berichten sturen, maar ook video- en webcamcontent inzetten om vertrouwen af te dwingen. Hierdoor worden slachtoffers overtuigd om zelf in actie te komen—met malware en uiteindelijk diefstal van wallets, seed phrases en toegang tot accounts.
Wat is FaceStealer en waarom werkt het zo goed?
FaceStealer is een campagne waarbij aanvallers slachtoffers lokken met uitnodigingen voor videovergaderingen. De “look and feel” moet kloppen: er wordt gebruikgemaakt van opgenomen en nagebootste video’s, inclusief deepfakes van bekende personen binnen de crypto- en Web3-wereld.
De FBI beschrijft dat targets doelgericht worden benaderd. Dat gebeurt onder meer via gestolen accounts van eerdere slachtoffers. Zodra iemand deelneemt aan de nepmeeting, kan de aanvaller de videosignaalopname gebruiken om het vertrouwen in volgende stappen verder op te bouwen.
Volgens de berichtgeving sluit FaceStealer ook aan op eerdere campagnes die in 2025 door andere partijen zijn beschreven (zoals “GhostCall”). Daarnaast wordt het gelinkt aan een bredere North Korea-gerelateerde cluster die in de literatuur onder meerdere namen wordt gevolgd.
Hoe ziet de aanval er in grote lijnen uit?
Uit de beschrijving komt naar voren dat FaceStealer meerdere fases kent. Het systeem is als het ware ontworpen om telkens één stap verder te komen: van contactname naar ontmoeting, van ontmoeting naar technische “legitimatie” en van daaruit naar uitvoering van kwaadaardige code.
1) Compromitteren of misbruiken van het eerste contact
De dreigers verzamelen waardevolle gegevens bij slachtoffers, zoals crypto-wallets en seed phrases. Daarnaast worden communicatieaccounts (zoals Telegram of vergelijkbare apps) misbruikt om andere contacten te benaderen. Ook worden gesprekken of video-opnames heimelijk vastgelegd tijdens de interactie.
2) Uitnodigingen voor een video-call via gestolen of nagebootste identiteit
De slachtoffers krijgen een uitnodiging voor een videovergadering, vaak met een rationele aanleiding die past bij hun interesse: bijvoorbeeld een investeringsdiscussie. Als de target interesse toont, volgt er een agenda-uitnodiging die de volgende stap al voorbereidt.
3) Nepvideoplatform en misleiding met een “echte” call
In plaats van een legitieme meetinglink wordt een gemaskeerde, misleidende link verstuurd. Bij deelname aan de fake vergadering speelt de aanvaller een eerder opgenomen webcamvideo af die lijkt op die van een vertrouwde contactpersoon—en soms zelfs meerdere “deelnemers” via aanvullende video’s of deepfake-materiaal.
4) De trigger: klik op een link na een fake technische fout
Na enkele minuten duikt een nep-technische storing op. Slachtoffers krijgen te horen dat ze niet zouden kunnen worden gehoord en ontvangen een link die het probleem “oplost”. Die link is een ClickFix-achtige trigger om malware te installeren of om via een ander kanaal toegang te krijgen tot de workstation van het slachtoffer.
In de beschrijving worden meerdere uitvoervormen genoemd: een link die leidt tot installatie, maar ook scenario’s waarin het slachtoffer wordt aangezet tot het draaien van een script of het kopiëren/plakken van code in een Terminal-omgeving. Op die manier maakt het slachtoffer zichzelf onderdeel van het besmettingsproces.
De rol van deepfakes en generatieve AI
Een opvallend element is dat Deepfake video-oplichting hier verder gaat dan “een vervelende phishing mail”. De aanvallers gebruiken deepfake video’s van bekende en invloedrijke figuren in crypto en Web3 om de geloofwaardigheid van de video-call te vergroten.
Daarnaast wordt er gesproken over het gebruik van generatieve AI voor het maken van visuele elementen: avatars, artwork en synthetische video’s die moeten doen alsof er meerdere deelnemers aanwezig zijn. Ook wordt benoemd dat de dreigers lures kunnen maken op basis van openbaar beschikbare informatie, zoals interviews en conferentietalks—bijvoorbeeld via screen-recordings—zodat de gelijkenis en stem passen bij een specifieke persoon.
Waarom dit ook software- en supply chain-risico’s raakt
De zaak laat zien dat aanvallen niet eindigen bij geld aftroggelen. In de berichtgeving wordt ook het bredere doel genoemd: het verkrijgen van toegang tot ontwikkelaars, onderhouders en software-repository’s met een hoge download-impact.
Er wordt zelfs verwezen naar targeting van een maintainer van een populaire npm-pakket: door het inzetten van een gemanipuleerde versie kan een trojanized build worden geleverd, inclusief een cross-platform remote access trojan (RAT). Dat onderstreept hoe social engineering kan doorlopen naar technische compromittaties die lateralen en ketenaanvallen mogelijk maken.
Als je wilt begrijpen hoe zulke ketenaanvallen zich kunnen verplaatsen naar infrastructuur, is deze achtergrond interessant: AI-beveiligingsagenten voor webapp checks: Daybreak.
Wat kun je doen als organisatie of individu?
Omdat de aanpak sterk leunt op menselijk gedrag, is het belangrijk om je maatregelen niet alleen op technische filters te baseren, maar ook op werkwijze en bewustwording.
Hanteer één harde regel: vertrouw geen video-call op identiteit
Deepfakes kunnen overtuigend zijn. Beoordeel daarom de afspraak en identiteit aanvullend via onafhankelijke kanalen (bijvoorbeeld via een bestaand kanaal dat je intern controleert, of een vaste werkwijze voor verificatie). Verwacht niet dat “video is video” automatisch bewijs is.
Beperk uitvoering van onbekende “fixes” en updates
De beschrijving draait om het klikken op een link of het uitvoeren van code na een nep-probleem. Spreek af dat medewerkers nooit automatisch scripts draaien of updates installeren op basis van een bericht uit een video-call. Ook niet als het probleem “op het moment zelf” lijkt te ontstaan.
Gebruik veilige omgevingen voor testopdrachten
In de bredere context van aanverwante campagnes wordt benadrukt dat interviewopdrachten met downloads alleen in een afzonderlijke, wegwerpbare virtuele machine mogen draaien—niet op een werk-laptop. Dat verkleint de kans dat malware direct toegang krijgt tot bedrijfsassets.
Voor praktische incidentreactie en containmentscenario’s kan ook dit helpen: AI-agent stoppen: zo reageer je bij misbruik.
Signalen om op te letten
Hoewel aanvallers zich inspannen om overtuigend te lijken, zijn er terugkerende patronen die je kunt trainen in je organisatie:
- Uitnodigingen voor videovergaderingen die “meteen nu” urgent zijn, vooral rond investeringen of samenwerkingen.
- Verzoeken om onverwacht een link te openen of een “technische correctie” toe te passen tijdens de call.
- Het ontbreken van een controlepad buiten de videoomgeving om (geen verifieerbare, vaste route).
- Ongebruikelijke technische stappen: Terminal/scripts, code kopiëren/plakken of “update” via een dubieuze URL.
Door medewerkers deze patronen te laten herkennen, verlaag je de kans dat de aanval precies op de menselijke zwakte landt.
Conclusie: pak Deepfake video-oplichting proactief aan
De FBI koppelt FaceStealer aan grootschalige cryptodiefstal en maakt duidelijk hoe Deepfake video-oplichting kan worden ingezet om slachtoffers te overtuigen, vertrouwen af te dwingen en vervolgens malware te laten installeren. Het is daarmee niet alleen een “cybersecurity incident”, maar ook een aanval op besluitvorming en identiteit—waarmee teams anders moeten leren omgaan met verificatie, links en code-uitvoering.
Door strakke regels rond verificatie van video-afspraken, het weigeren van “fixes” die uit een call komen, en het isoleren van testopdrachten in wegwerp-omgevingen, maak je de aanvalsketen aanzienlijk minder effectief. De belangrijkste stap is eenvoudig: behandel de video als startpunt van verificatie, niet als eindbewijs.
Bron: https://thehackernews.com/2026/11/fbi-says-north-korean-hackers-stole.html
