Le collègue à l’écran n’est pas vraiment là : comment le « FaceStealer » nord-coréen a transformé les webcams en casse à 400 millions de dollars

L’astuce fonctionne parce que rien n’y ressemble à une astuce. Un message arrive de quelqu’un que l’on connaît — un ancien collaborateur, un développeur d’un projet auquel on a contribué. Il propose un bref appel vidéo. On se connecte, et le voilà à l’écran, qui hoche la tête et semble parler. Seul le son paraît défaillant.

C’est par ce petit bug, selon le FBI, que commence l’une des opérations de piratage nord-coréennes les plus efficaces de ces dernières années. Le bureau fédéral affirme que des pirates soutenus par l’État, recourant à un stratagème baptisé « FaceStealer », ont dérobé plus de 400 millions de dollars en cryptomonnaies en 18 mois, faisant plus de 900 victimes.

Comment fonctionne la boucle

Le FBI et le ministère américain de la Justice décrivent un cycle qui s’auto-alimente :

• L’invitation. Via de faux comptes ou des comptes piratés sur les réseaux sociaux, les attaquants invitent leur cible à une réunion sur des plateformes d’apparence familière — en réalité des imitations de Zoom, Microsoft Teams ou Google Meet.
• Le visage emprunté. Au lieu d’une personne en direct, la cible voit des images préenregistrées d’une victime précédente, idéalement une connaissance. Pour masquer le fait que « l’interlocuteur » ne peut pas répondre, le son semble tomber en panne.
• La réparation. Une fenêtre propose de réparer le son. Un clic finit par installer un logiciel malveillant qui ouvre l’appareil de la victime, y compris ses contacts et ses applications.
• L’enregistrement. L’appel lui-même est enregistré en secret. Le visage de la nouvelle victime devient la matière première pour piéger la personne suivante dans sa liste de contacts.

Chaque réussite produit donc à la fois de l’argent et un nouvel appât. Le FBI dit avoir saisi plus de 900 de ces vidéos de victimes — une archive troublante de gens ordinaires devant leur webcam, transformés en déguisements.

Qui est visé

Le stratagème cible les professionnels des cryptomonnaies et du Web3, en particulier ceux qui développent et maintiennent des logiciels libres. Du point de vue de l’attaquant, c’est logique : les communautés open source reposent sur la confiance entre des personnes qui ne se connaissent souvent qu’à travers un écran, et un seul mainteneur compromis peut ouvrir l’accès à des portefeuilles, à des dépôts de code ou à tout un réseau de contributeurs.

Les responsables du FBI reconnaissent avec une franchise inhabituelle à quel point c’est difficile à repérer. Le bureau estime que FaceStealer peut tromper même des techniciens expérimentés et soucieux de sécurité. Un haut responsable à Los Angeles l’a résumé de façon frappante : si vous n’imaginez aucun scénario où vous tomberiez dans le piège, c’est que vous ne faites pas preuve d’assez d’imagination.

Un enjeu qui dépasse la crypto

Selon des responsables américains, Pyongyang finance largement ses programmes d’armement grâce au vol massif de cryptomonnaies. La révélation de FaceStealer intervient une semaine seulement après que Binance a annoncé que des pirates avaient utilisé de faux entretiens d’embauche pour dérober un montant record de 6,3 milliards de dollars à la plateforme — une attaque attribuée par les agences américaines à des acteurs liés à la Corée du Nord. Pyongyang dément.

La leçon plus large concerne la vidéo elle-même. Pendant des années, voir un visage lors d’un appel a servi de preuve d’identité informelle. FaceStealer exploite précisément cette habitude, sans même recourir à des deepfakes sophistiqués : de vrais enregistrements, diffusés au bon moment, suffisent.

Ce qu’il faut retenir

Les équipes de sécurité vont sans doute rappeler quelques règles simples dans les semaines à venir. Se méfier de tout lien de réunion qui ne provient pas d’un domaine officiel. Ne jamais installer de logiciel pour « réparer » le son ou l’image pendant un appel. Si un visage familier semble incapable de répondre, vérifier par un autre canal avant d’aller plus loin. Rien de tout cela n’est nouveau. Ce qui l’est, c’est le prix à payer pour l’ignorer.