视频里的同事其实并不在场：朝鲜“FaceStealer”如何把摄像头变成4亿美元的劫案

这个骗局之所以奏效，是因为它看起来根本不像骗局。你收到一位熟人的消息——也许是以前的合作者，或是你参与过的某个项目的开发者。对方提议简短视频通话一下。你加入后，他就在屏幕上，点着头，似乎在说话。只是声音好像出了故障。

据美国联邦调查局（FBI）称，正是这个小小的“故障”，开启了朝鲜近年来最有效的黑客行动之一。FBI表示，国家支持的黑客利用一种被其称为“FaceStealer”的手法，在过去18个月里窃取了超过4亿美元的加密货币，受害者超过900人。

FBI和美国司法部描述了一个自我强化的循环：

邀请。攻击者利用虚假或被盗的社交媒体账号，邀请目标在看似熟悉的平台上开会——实际上是Zoom、Microsoft Teams或Google Meet的仿冒版本。
借来的面孔。目标看到的不是真人，而是此前某位受害者的预录视频，最好是目标认识的人。为了掩盖“发言者”无法回应的事实，音频会显示故障。
修复。弹窗提示可以修复声音。点击后最终会安装恶意软件，打开受害者的设备，包括其通讯录和应用程序。
录制。通话本身被秘密录下。新受害者的面孔又成为欺骗其通讯录中下一个人的素材。

因此，每一次得手都同时带来金钱和新的诱饵。FBI称已查获900多段此类受害者视频——这是一个令人不安的档案库：普通人坐在摄像头前的画面，被改作伪装。

该手法主要针对加密货币和Web3领域的从业者，尤其是开发和维护开源软件的人。从攻击者的角度看，这合情合理：开源社区建立在彼此往往只通过屏幕相识的人之间的信任之上，一个被攻破的维护者就可能打开通往钱包、代码仓库乃至整个协作网络的大门。

FBI官员异常坦率地承认这种手法很难识破。该局称，FaceStealer甚至能骗过经验丰富、具有安全意识的技术人员。洛杉矶的一位高级探员说得更令人印象深刻：如果你想象不出自己会上当的场景，那说明你的想象力还不够。

美国官员称，平壤严重依赖大规模加密货币盗窃为其武器计划提供资金。FaceStealer曝光的一周前，币安刚刚披露黑客利用虚假求职面试从该交易所窃取了创纪录的63亿美元，美国机构将此次攻击归咎于与朝鲜有关的行为者。朝鲜否认参与。

更深层的教训关乎视频本身。多年来，在通话中看到对方的脸一直被当作非正式的身份证明。FaceStealer利用的正是这种习惯，而且根本不需要复杂的深度伪造：在恰当的时机播放真实录像就足够了。

未来几周，安全团队可能会反复强调几条简单规则：对任何并非来自官方域名的会议链接保持警惕；通话中绝不为“修复”声音或画面而安装软件；如果熟悉的面孔似乎无法回应，先通过其他渠道确认再继续。这些建议都不新鲜，新鲜的是忽视它们的代价。