朝鲜黑客借视频会议骗局窃取加密货币 FBI查获900余段受害者录像

一场看似普通的视频会议邀请，可能正是一套精密攻击体系的入口。美国联邦调查局（FBI）披露，相关黑客组织并非依靠钓鱼邮件或恶意网站直接窃取密码，而是把真实人物的社交账户、秘密录制的视频以及人工智能生成的深度伪造影像组合起来，让受害者在“与熟人正常交流”的错觉中一步步落入陷阱。

从一封会议邀请开始的信任链条

攻击往往始于一条看似可信的视频会议邀请。黑客先入侵某个目标人物的社交媒体或即时通信账户，取得其联系人信息和过往交流记录，再借被盗账户向受害者发出会议邀请。由于邀请来自真实联系人，措辞也符合双方以往的沟通习惯，目标通常不会起疑。

受害者点击链接后，进入的是仿冒Zoom、Microsoft Teams或Google Meet等主流视频会议软件的网站。会议画面中可能出现受害者熟悉的面孔，实际上却是攻击者事先录制的视频；黑客甚至会安排多名看似真实的参会者，让整场会议显得更加可信。

会议进行到一半，攻击者会故意制造技术故障，例如声称听不到受害者声音，随后提示对方点击链接或执行某些操作来“修复音频”。这个所谓的修复程序实为恶意软件，一旦受害者照做，恶意代码便会被安装进其电脑。

每名受害者都可能成为下一轮攻击的入口

设备被入侵后，黑客可以窃取加密货币、控制社交媒体账户，或获取受害者能够访问的其他计算机系统。他们还会进一步收集受害者的联系人、社交资料和通信记录，再利用这些信息向受害者的亲友、同事及商业伙伴发动新一轮攻击。

这意味着，每一名受害者都可能成为下一轮攻击的跳板。黑客不仅利用最初入侵获取的账户和信息，还能借助受害者本人的真实身份建立新的信任关系，使后续攻击更难被识别。

过去，视频会议中的熟人形象常被当作身份验证的重要依据；如今，盗取真实账户、录制真实影像再加AI深度伪造，足以拼出极具迷惑性的虚假场景。

FBI表示，攻击者已开始利用人工智能制作知名人士和加密货币行业重要人物的深度伪造视频，用于视频会议以提升欺骗效果。此次FBI查获了超过900段受害者的网络摄像头录像，说明攻击者不仅在用预录影像冒充他人，也在持续收集新受害者的视频素材，为后续攻击储备材料。

“FaceStealer”行动与开源供应链新风险

美国司法部将这套行动称为朝鲜黑客组织的“FaceStealer”社会工程攻击行动，并于11月12日宣布采取措施，查封相关黑客使用的云端基础设施。美方称，该行动在过去18个月已造成超过4亿美元的加密货币损失，同时还威胁到开源软件供应链的安全。

FBI将相关活动归因于朝鲜黑客组织Sapphire Sleet，也称UNC1069。该组织还以Dangerous Password、CryptoCore、BlueNoroff等名称被安全研究机构追踪。美方指出，这些攻击者正逐渐把目标从加密货币持有者扩大到开源软件开发人员和维护者，试图入侵他们的个人设备及软件仓库账户。

这一变化尤其值得关注。开源软件被大量企业和开发者用于构建自己的应用程序，一旦攻击者控制某个重要项目的维护者账户，就可能借软件更新或代码提交植入恶意内容，进而影响下游用户。FBI认为，针对开源软件供应链的攻击可能是这套行动的重要新方向。

美国司法部公布的一起案例显示，今年早些时候，一名负责维护JavaScript软件库的开发者参加了一场伪造的Teams会议。会议中出现了开发者认识的人物，对方随后以音频故障为由要求其执行修复操作，最终导致开发者计算机遭到感染。攻击者试图借此取得其控制的软件仓库账户权限，制造进一步的供应链风险。相关攻击最终被发现并阻止，未造成大范围传播。

美国司法部同时强调，FaceStealer行动与近期针对加密货币交易所币安（Binance）的巨额盗窃事件属于不同的黑客行动。后者涉及美方称为TraderTraitor的朝鲜黑客组织，FBI此前已将币安遭窃事件归因于该组织；而FaceStealer主要由Sapphire Sleet等黑客活动集群实施，两者不应混为一谈。

AI正在改写网络犯罪的攻击方式

美国司法部表示，朝鲜长期利用加密货币盗窃为政府活动及受制裁的武器项目筹集资金。此次查封行动旨在破坏FaceStealer的技术基础设施，并提醒加密货币和开源软件行业提高警惕。

这起事件也表明，人工智能和深度伪造技术正在改变网络犯罪的攻击方式。对于企业和开发者而言，单纯依赖视频画面、熟悉的头像或来自熟人账户的会议邀请，已经不足以确认对方身份；在涉及资金、账户权限或软件仓库操作时，建立额外的验证渠道正变得比以往更加必要。