Il 12 novembre 2026 l’FBI ha lanciato un allarme su FaceStealer, una truffa che si spaccia per contatti conosciuti durante false videochiamate e finisce per installare malware. La campagna, attribuita a hacker nordcoreani, ha rubato oltre 400 milioni di dollari in criptovalute negli ultimi 18 mesi, secondo il Dipartimento di Giustizia degli Stati Uniti.
Chi prende di mira FaceStealer e quali segnali cercare
L’FBI descrive attacchi rivolti soprattutto a persone dei settori delle criptovalute e del Web3. Gli attacchi hanno preso di mira anche sviluppatori e responsabili della manutenzione di software open source, con l’obiettivo di accedere ai loro dispositivi e agli account dei repository che gestiscono. Il Dipartimento di Giustizia riferisce che l’FBI ha sequestrato oltre 900 video delle webcam delle vittime.
L’invito può arrivare da un account autentico di Telegram, LinkedIn, Slack o Discord che è stato rubato. Il messaggio è spesso coerente con un rapporto o una conversazione precedente e propone di parlare di una collaborazione o di un investimento. Il fatto che il mittente ti sia familiare non basta: gli aggressori potrebbero aver avuto accesso ai suoi messaggi e ai suoi contatti.
Un altro segnale è un link che sembra portare a Zoom, Microsoft Teams o Google Meet, ma apre un sito falso con un indirizzo quasi identico a quello autentico. Durante la riunione potrebbe comparire la registrazione di una persona conosciuta. Poi arriva il pretesto: l’audio non funziona e bisogna eseguire un comando, incollare codice o installare un presunto aggiornamento. Quella soluzione è la trappola: può installare malware per rubare password, acquisire schermate e consentire l’accesso remoto al dispositivo.
Il furto non deve necessariamente avvenire durante la chiamata. Il Dipartimento di Giustizia indica che, in diversi casi, gli aggressori hanno sottratto criptovalute e dirottato account di comunicazione mesi o anche più di un anno dopo aver compromesso il dispositivo. Perciò, aver chiuso la riunione senza perdere denaro non esclude che il dispositivo sia stato esposto.
Cosa fare prima e durante una riunione sospetta
Conferma chi ha organizzato la riunione tramite un canale diverso da quello dell’invito. Chiama la persona o scrivile in un’altra conversazione per verificare che abbia organizzato la riunione e si aspetti di vederti. L’FBI raccomanda una verifica separata; non rispondere nella stessa chat compromessa per convalidare il messaggio.
Controlla il link prima di accedere. Non aprire direttamente il collegamento ricevuto in un messaggio. Accedi alla riunione dall’app ufficiale, usando un codice di invito, come raccomanda l’FBI. Se la pagina ha un indirizzo insolito o quasi identico a quello di un servizio conosciuto, non proseguire.
Aspetta di identificare chi ha organizzato la riunione prima di accendere la videocamera. L’FBI consiglia di non attivare il video finché non riesci a vedere e sentire chiaramente chi ha organizzato la chiamata. Se compare solo una registrazione, ci sono partecipanti inattesi o la conversazione non corrisponde a quanto concordato, interrompi la riunione e verifica la situazione separatamente.
Rifiuta qualsiasi “soluzione” tecnica che ti chieda di eseguire comandi, incollare codice o installare un aggiornamento durante la chiamata. Non seguire le istruzioni che compaiono sullo schermo né i link per riparare l’audio. Il falso guasto è il passaggio che gli aggressori usano per installare il programma malevolo.
Attiva la verifica in due passaggi su Telegram, WhatsApp e Slack. L’FBI include questa misura tra le sue raccomandazioni perché gli aggressori possono sfruttare account e conversazioni rubati per prendere nuovamente di mira i tuoi contatti. Se gestisci software open source, presta particolare attenzione a qualsiasi richiesta inattesa relativa al tuo dispositivo o ai tuoi account di repository.
Se hai già effettuato l’accesso o seguito le istruzioni
Considera il dispositivo compromesso se hai eseguito un comando, incollato codice o installato qualcosa su indicazione della riunione. Non continuare a usare quella sessione per gestire i tuoi asset digitali: il malware può acquisire ciò che appare sullo schermo e consentire l’accesso remoto.
Sposta le tue criptovalute su un altro wallet creato da un dispositivo diverso, se ritieni che il dispositivo sia stato infettato. È la misura concreta raccomandata dall’FBI a chi teme di essere stato vittima dell’attacco. Non creare il nuovo wallet né effettuare il trasferimento dal dispositivo sospetto.
Avvisa i tuoi contatti e il tuo datore di lavoro affinché non si fidino dei messaggi o degli inviti inviati dai tuoi account. FaceStealer può accedere agli elenchi dei contatti, ai social network e alle app di comunicazione e usare queste relazioni per attaccare altre persone. Avvisa in particolare chi ha ricevuto un invito di recente o potrebbe avere accesso ai tuoi account di lavoro.
Segnala l’incidente su IC3.gov e includi la parola chiave “FaceStealer”, come indicato dall’FBI. Se l’attacco riguarda i tuoi account o il software di cui curi la manutenzione, avvisa anche le persone responsabili di quegli account o del progetto, affinché possano reagire al possibile accesso non autorizzato.
Errori che possono trasformare la chiamata in un’infezione
Non fidarti solo del nome o del volto che appaiono sullo schermo. Gli aggressori usano account autentici rubati e registrazioni di persone conosciute; il Dipartimento di Giustizia segnala anche l’uso di video deepfake per impersonare figure del settore cripto. Un’identità familiare non verifica il link né dimostra che la persona stia partecipando in diretta.
Non dare per scontato che una riunione sia legittima solo perché il messaggio sembra scritto con il tono abituale del contatto. L’accesso alle conversazioni precedenti consente di imitare quel contesto. E non scaricare un presunto programma di installazione per correggere l’audio: in questa truffa, il guasto serve a farti installare malware, non a riparare la videochiamata.
Infine, non confondere FaceStealer con il furto separato ai danni di Binance menzionato dal Dipartimento di Giustizia. Le autorità hanno dichiarato che le due campagne coinvolgevano probabilmente attori nordcoreani diversi e hanno annunciato misure relative a oltre 1,2 miliardi di dollari in criptovalute rubate. La risposta pratica a un invito sospetto resta la stessa: verificarlo tramite un altro canale e non eseguire nulla di quanto ti viene indicato durante la chiamata.
Fonti: Webnews, U.S. Department of Justice, Nextgov/FCW
