美國司法部 11 月 12 日宣布查扣北韓駭客用於「FaceStealer」社交工程行動的雲端基礎設施，該行動過去 18 個月已造成逾 4 億美元加密貨幣遭竊，FBI 並依聯邦搜索令查扣逾 900 段受害者網路攝影機影片 [1]。FBI 警示指出，攻擊者以先前受害者遭劫持的 Telegram、LinkedIn、Slack、Discord 等帳號邀約目標進入仿冒的 Zoom、Teams 或 Google Meet 會議，播放熟人預錄影像後佯稱技術故障，誘導目標點擊更新或執行指令「修復」而安裝惡意程式；FBI 將此活動歸因於北韓國家支持駭客，公開名稱包括 Sapphire Sleet、APT38 與 BlueNoroff 等 [2]。現在該做什麼：FBI 建議以官方視訊會議應用程式搭配會議代碼加入會議、透過其他管道向邀請人確認會議，且會議中被要求更新時不要執行腳本或把程式碼貼進命令列或終端機 [2]。
高進行中官方確認
FBI 查扣北韓 FaceStealer 假視訊會議基礎設施：冒用熟人影像誘騙「修復」植入惡意程式，加密貨幣損失逾 4 億美元
閱讀約 4 分鐘
- 揭露
- 2026年11月12日
- 發布
- 2026年11月14日
- 最後更新
- 2026年11月14日
- CVSS 依據
- 本站評估
- 技術 / 系統類型
- 開源套件（npm、PyPI 等）
- 初始入侵方式
- 社交工程（電話、冒充客服）
- 外洩資料類型
- 帳號密碼 / 憑證
- 攻擊者類型
- 國家級 / APT
- 動機
- 金錢
本頁內容
30 秒摘要
發生什麼事
誰受影響
現在該做什麼本站建議
- 加入視訊會議時使用官方 Zoom 或 Teams 應用程式並輸入會議代碼，不要點擊連結進入網頁版，回應不常聯絡或新聯絡人的邀約時尤其如此 [2]。
- 透過與邀約不同的管道（例如電話或簡訊）向邀請人確認會議 [2]。
- 會議中若被要求更新，不要執行腳本或把程式碼貼進命令列或終端機，改為另外更新通訊軟體 [2]。
- 在能看到、聽到並與邀請人交談之前，不要開啟網路攝影機 [2]。
- 為 Telegram、WhatsApp、Slack 等通訊帳號啟用多因素驗證與登入通知 [2]。
- 懷疑遭入侵時，在未與駭客接觸過的裝置建立新錢包（新助記詞）並轉移資產、變更所有密碼並登出所有工作階段，並至 IC3.gov 以關鍵字「FaceStealer」報案 [2]。
事件時間軸
技術細節
發生什麼
美國司法部 11 月 12 日宣布針對北韓竊取加密貨幣的協同行動，包括查扣「FaceStealer」社交工程行動所用的雲端基礎設施；司法部稱該行動過去 18 個月造成逾 4 億美元加密貨幣遭竊，並曾試圖入侵參與開源軟體供應鏈的人員 [1]。FBI 依聯邦搜索令查扣逾 900 段 FaceStealer 受害者的網路攝影機影片，這些受害者在全球各地的加密貨幣與 Web3 產業工作 [1][3]。
攻擊手法
FBI 警示指出，攻擊者先劫持受害者的 Telegram 等通訊帳號，冒充受害者向其聯絡人提議開會，並透過 Calendly 等排程服務約定時間，臨近開會時才傳送看似 Zoom 或 Teams 的連結，實為仿冒網域，例如 uu01webzoom.us 與 teams.livemeet.us [2]。目標進入仿冒會議後，攻擊者播放先前受害者的預錄影像，並常加入多段影片營造多人與會，同時偷錄目標的網路攝影機畫面 [2]。攻擊者接著佯稱音訊等技術問題，引導目標點擊「更新」、執行腳本或把程式碼貼進命令列，實際下載的惡意程式會安裝瀏覽器 cookie 竊取工具、鍵盤側錄、螢幕擷取與後門 [2]。FBI 指出，部分案例中攻擊者在初次入侵後數月到一年多才竊取加密貨幣，並利用受害者的聯絡人清單繼續擴散；攻擊者也開始以「超級智慧」（SI）製作加密貨幣與 Web3 業界知名人士的深偽影片 [1][2]。
開源供應鏈
FBI 表示，攻擊者今年稍早以假 Teams 會議誘騙一個重要開源 JavaScript 函式庫的維護者執行「修正」措施而遭感染，隨後利用其權限建立惡意相依套件；該函式庫每週下載量達數千萬次，因及時偵測與應變而未造成大規模受害 [2]。FBI 另指已有多次針對 npm 套件維護者、近期並針對 Rust crate 維護者的嘗試，其目的在於入侵軟體供應鏈 [2][3]。
歸因與研究
FBI 將此活動歸因於北韓國家支持駭客，公開名稱包括 Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff 與 Stardust Chollima；司法部稱北韓政府藉大規模竊取加密貨幣資助政權 [1][2]。FBI 警示引用 Arctic Wolf、Jumpsec 與 Microsoft 威脅情報中心的報告作為補充技術資訊 [2]。Arctic Wolf 表示，其透過存取攻擊者基礎設施追蹤到 BlueNoroff 的素材庫涉及 58 國 677 人，其中 84% 為創辦人或高階主管，誘餌也擴及共享財務文件、PDF 檢視器更新、身分驗證、硬體錢包存取與資安稽核等情境 [4]。
建議措施
FBI 建議以官方視訊會議應用程式與會議代碼加入會議、在確認邀請人之前不開啟攝影機、不在會議中執行腳本或貼上程式碼、以其他管道確認會議，並為通訊帳號啟用多因素驗證；懷疑遭入侵者應以新裝置建立新錢包轉移資產、變更密碼並向 IC3.gov 報案 [2]。Arctic Wolf 建議將任何要求執行指令、腳本或捷徑的請求視為警訊，並以另一個可信管道確認不尋常的請求 [4]。
參考來源
官方 / 一級來源3
- [1]U.S. Department of Justice2026-11-12擷取日 2026-11-14已存檔 2026-11-14 sha256 681e395da673
“These actions include the seizure of cloud-based infrastructure used in the FaceStealer social engineering scheme that has resulted in the theft of more than $400 million worth of cryptocurrency”
- [2]FBI / IC32026-11-12擷取日 2026-11-14已存檔 2026-11-14 sha256 f12a76dc2460
“The FBI attributes this activity to North Korean state-sponsored hackers, known publicly by the names Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff and Stardust Chollima.”
- [3]FBI2026-11-12擷取日 2026-11-14已存檔 2026-11-14 sha256 23499eb3ab0c
“The FBI identified and seized over 900 webcam videos of victims working in the crypto and Web3 industries around the world.”
研究機構1
- [4]Arctic Wolf2026-11-12擷取日 2026-11-14已存檔 2026-11-14 sha256 46b814f90a2d
“Founders and C-suite executives make up 84% of that total. These counts describe who the threat actor prepared material against, not confirmed compromises.”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。