FBI triệt phá chiến dịch FaceStealer của Triều Tiên đứng sau vụ hack Binance 5 tỷ USD

Tóm tắt nhanh

• FBI và U.S. Department of Justice đã công bố chiến dịch trấn áp FaceStealer, một chiến dịch social engineering bị cáo buộc do Triều Tiên đứng sau. Cơ quan chức năng đã thu giữ hạ tầng cloud liên quan và phát hiện 900 video nạn nhân trong đó.
• Theo FBI, chiến dịch này đã đánh cắp khoảng 400 triệu USD tiền điện tử từ nạn nhân và được cho là đã chạy ít nhất 18 tháng. Vụ hack Binance gần đây, với hơn 5 tỷ USD bị lấy đi và phần lớn đã bị phong tỏa hoặc thu hồi, là vụ lớn nhất gắn với nhóm này.
• FaceStealer được mô tả là dạng spear-phishing nâng cao, dùng AI deepfakes, thông tin cá nhân của nạn nhân và mạng lưới liên hệ của họ để chuẩn bị nhiều tháng trước. Nhóm này nhắm vào người dùng qua các cuộc gọi Zoom hoặc Teams giả mạo trên miền web bị đánh vần gần giống tên thật.
• Theo FBI, kẻ tấn công thường bắt đầu bằng cách chiếm quyền truy cập ứng dụng liên lạc của một người rồi lấy toàn bộ cuộc trò chuyện, danh bạ và âm thầm ghi hình video. Sau đó họ dùng chính dữ liệu này để tiếp cận nạn nhân mục tiêu bằng lời mời việc làm hoặc cơ hội đầu tư.
• Nạn nhân cuối cùng sẽ bị dụ vào một cuộc họp trực tuyến do máy chủ của kẻ tấn công điều hành, với các tham gia deepfake hoặc bản ghi cuộc họp cũ để tạo cảm giác hợp pháp. Khi xuất hiện 'sự cố kỹ thuật', nạn nhân bị yêu cầu cài 'update' hoặc phần mềm chứa malware.
• Từ đó, kẻ tấn công có thể chiếm máy tính của nạn nhân và lấy session trình duyệt, mật khẩu CI/CD cùng nhiều thông tin xác thực khác. FBI nói những dữ liệu này thường được dùng để nhắm tới ví tiền crypto hoặc chọn ra mục tiêu giá trị hơn.
• Báo cáo của FBI cho biết các hacker cũng nhiều lần cố xâm nhập vào phần mềm mã nguồn mở, chủ yếu là Javascript/NPM modules và Rust crates. Một ví dụ được nhắc gián tiếp rất có thể là vụ Axios bị xâm nhập vào tháng 3/2026.
• Trong vụ Axios, thư viện Node/Javascript này có khoảng 100 triệu lượt tải mỗi tuần và từng chứa remote-access tool trong vài giờ. Nhà phát triển bị lừa bởi một kẻ giả danh công ty tuyển dụng, dựng Slack workspace và mời vào cuộc họp Teams có nhiều 'người' tham gia.
• FBI cảnh báo chiến dịch này khó dừng lại dù đã bị đánh mạnh, vì các đối tượng có thể lặp lại nhiều vòng trước khi chốt mục tiêu. Trong quá trình đó, họ tiếp tục thu thập video và dữ liệu để khiến cú đánh cuối cùng thuyết phục hơn.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.