FaceStealer : comment des pirates nord-coréens ont dérobé plus de 400 millions de dollars en cryptomonnaie grâce à des deepfakes

Le FBI américain a révélé jeudi 13 novembre 2026 un vaste vol de cryptomonnaie attribué à des pirates informatiques affiliés à Pyongyang. Selon l'agence, ces hackers ont dérobé plus de 400 millions de dollars en dix-huit mois en se faisant passer pour des proches de leurs victimes lors d'appels vidéo truqués par intelligence artificielle.

Le programme utilisé pour ces attaques porte un nom : FaceStealer. Il permet de détourner le visage de personnes influentes du secteur des cryptomonnaies pour fabriquer des deepfakes hyperréalistes, utilisés ensuite pour piéger des victimes lors de réunions en visioconférence.

Un piège par deepfake lors d'une visioconférence

La méthode décrite par le FBI suit toujours le même scénario. Les pirates se font passer pour une personne connue de la victime, l'attirent dans un échange vidéo deepfake, puis prétextent un problème technique.

Ce prétexte pousse la victime à cliquer sur un lien qui installe un logiciel pirate sur son appareil. Ce logiciel exploite ensuite toutes les données disponibles sur la machine infectée.

Les autorités américaines affirment avoir réussi à couper l'infrastructure informatique utilisée pour ces pièges. Elles ont saisi environ 900 vidéos enregistrées via la webcam des victimes, selon Le Soir.

« FaceStealer est un schéma d'ingénierie sociale hautement efficace, capable de tromper même les utilisateurs d'informatique les plus expérimentés techniquement et les plus conscients en termes de sécurité », Patrick Grandy, directeur adjoint de l'antenne du FBI de Los Angeles.

Le vol massif de Binance, en toile de fond

Cette campagne FaceStealer s'ajoute à une autre affaire révélée en novembre par le FBI : le piratage de la plateforme d'échange Binance, attribué au groupe TraderTraitor et évalué à plus de 6 milliards de dollars. La Corée du Nord rejette ces accusations.

Brett Leatherman, directeur de la branche cyber du FBI, a relié les deux dossiers à une même stratégie de financement de l'Etat nord-coréen.

« Le régime nord-coréen a recours aux bénéfices de vols de cryptomonnaie à grande échelle pour financer ses programmes d'armements illégaux, volant des milliards de dollars ces dernières années », Brett Leatherman, directeur de la branche cyber du FBI.

Deux problématiques distinctes, deux ordres de grandeur

Les montants dérobés via FaceStealer et le piratage de Binance illustrent l'ampleur prise par la cybercriminalité liée aux cryptomonnaies et à l'intelligence artificielle générative. Ils n'ont toutefois aucun lien direct avec la fraude aux moyens de paiement classiques observée en France (cartes bancaires, virements, chèques) : il s'agit de deux phénomènes distincts, l'un reposant sur le détournement d'actifs numériques via des deepfakes ciblant des personnalités du secteur crypto, l'autre sur des techniques d'escroquerie plus traditionnelles touchant les moyens de paiement du quotidien. Le tableau ci-dessous rassemble les deux types de données à titre de repère chiffré, sans que l'un explique ou aggrave l'autre.

En France, le nombre de victimes d'escroqueries et de fraude aux moyens de paiement est passé de 417 300 en 2024 à 448 300 en 2025, soit une hausse de 7 % en un an, selon l'Observatoire de la sécurité des moyens de paiement de la Banque de France. Le nombre d'opérations frauduleuses, lui, a reculé de 7,6 % sur la même période, à 7,2 millions d'opérations.

Une ingénierie sociale difficile à détecter

Le FBI insiste sur l'efficacité technique de la méthode FaceStealer, capable de tromper des professionnels avertis.

Les autorités américaines recommandent la vigilance face à toute demande de visioconférence inattendue impliquant l'installation d'un logiciel ou d'une extension, même venant d'un contact connu. L'Autorité de contrôle prudentiel et de résolution rappelle de son côté qu'une entreprise légitime ne demande jamais de codes PIN, mots de passe ou identifiants bancaires par e-mail, SMS ou téléphone.

Ce que ça change pour votre entreprise

Les deepfakes vidéo ne visent plus seulement les particuliers détenteurs de cryptomonnaie : une entreprise peut être ciblée par un faux appel vidéo imitant un fournisseur, un client habituel, voire un dirigeant ou un responsable financier interne. Plusieurs réflexes concrets permettent de limiter l'exposition à ce type de fraude :

• Vérifier systématiquement par un canal distinct toute demande urgente de paiement, de virement ou d'installation de logiciel reçue par visioconférence, même si l'interlocuteur semble familier.
• Mettre en place une procédure de rappel téléphonique sur un numéro déjà connu et enregistré en interne — jamais celui communiqué pendant l'appel ou le message suspect — avant toute validation.
• Former les équipes finance et comptabilité qui autorisent les virements à ces scénarios de deepfake, avec des exemples concrets et une procédure claire de double validation pour tout ordre inhabituel ou urgent.
• Refuser par principe l'installation d'un logiciel ou d'une extension suggérée en cours d'appel pour résoudre un « problème technique », et signaler l'incident au service informatique avant d'agir.