O FBI publicou na quinta-feira (12) um alerta sobre uma campanha chamada FaceStealer, atribuída a hackers do governo da Coreia do Norte. Segundo o órgão, o grupo desviou ao longo de 18 meses mais de US$ 400 milhões em criptomoedas, o equivalente a cerca de R$ 2,25 bilhões. Os alvos são profissionais de criptoativos, Web3 e tecnologia em vários países.
Como o golpe começa
O primeiro passo é invadir contas de mensageiros e redes sociais de vítimas anteriores. Com o perfil de alguém conhecido, os criminosos procuram novos alvos e propõem uma reunião online. O link leva a uma página falsa que imita o Zoom ou o Microsoft Teams.
O FBI associa a operação à unidade de cibercrime financeiro do regime norte-coreano. Empresas de segurança acompanham o grupo com nomes como BlueNoroff, APT38 e Sapphire Sleet.
O que acontece na chamada
Dentro da reunião falsa, a vítima vê participantes que parecem reais. São vídeos antigos de outras pessoas ou imagens sintéticas feitas com IA generativa. Depois, os golpistas simulam falhas de áudio ou de conexão e pedem que a pessoa clique em um link ou digite comandos no terminal para resolver o problema.
É nesse momento que o malware entra. O programa instalado captura credenciais, chaves privadas e ativos guardados no computador. A pressa fabricada pelo suposto defeito é o que faz muita gente seguir as instruções sem desconfiar.
Desenvolvedores também são alvo
A mesma infraestrutura serve a ataques contra quem trabalha com código aberto e mantém bibliotecas. Os criminosos usam falsas entrevistas de emprego e testes técnicos para convencer engenheiros a baixar repositórios adulterados. A meta é plantar código malicioso na cadeia de suprimentos de software e alcançar muitos usuários de uma vez.
Uma análise recente da Arctic Wolf Labs sobre o BlueNoroff aponta que a escala das operações cresceu nos últimos meses. Segundo os relatórios técnicos, centenas de empresas de alto nível em dezenas de países foram atingidas. Um golpe parecido, com vagas falsas, já foi atribuído ao grupo Lazarus, também ligado à Coreia do Norte.
O que fazer
O alerta recomenda nunca executar scripts enviados por desconhecidos e testar qualquer código só em máquinas virtuais descartáveis. Para o brasileiro que trabalha com cripto ou desenvolvimento, vale ainda desconfiar de convites de reunião vindos de contatos que não costumam escrever, mesmo com a conta aparentemente legítima.
Agências de países como Japão e Austrália pedem que qualquer suspeita de invasão seja comunicada logo às autoridades. Em caso de infecção, as orientações são revogar sessões ativas, trocar todas as credenciais e mover os fundos para carteiras físicas, desconectadas da internet.
