Tin tặc Triều Tiên đang sử dụng các cuộc họp video đáng tin cậy để truy cập ví tiền điện tử và dữ liệu cá nhân như thế nào?

Tội phạm mạng Triều Tiên đã tìm ra cách xâm nhập vào ví tiền điện tử mà không cần dựa vào tấn công vét cạn hay các video giả mạo (deepfake) hào nhoáng.

Thay vào đó, cái bẫy trông giống như một cuộc gọi công việc thông thường — những gương mặt quen thuộc, những cuộc trò chuyện xã giao thường lệ và một yêu cầu đơn giản để khắc phục sự cố kỹ thuật.

Đến khi nạn nhân nhận ra có điều gì đó không ổn, tiền của họ thường đã biến mất.

Các cuộc họp video giả mạo biến lòng tin thành điểm xâm nhập

Liên minh An ninh mạng (SEAL) cho biết họ đang theo dõi nhiều nỗ lực hàng ngày liên quan đến các tác nhân đe dọa Triều Tiên sử dụng các cuộc họp Zoom và Microsoft Teams giả mạo để phát tán phần mềm độc hại.

Các chiến dịch này nhắm mục tiêu vào những người sáng lập, nhà phát triển, nhà đầu tư tiền điện tử và bất kỳ ai có quyền truy cập vào tài sản kỹ thuật số hoặc hệ thống nội bộ.

Nhà nghiên cứu bảo mật của MetaMask, Taylor Monahan, được biết đến trực tuyến với tên Tayvano, là một trong những người đầu tiên vạch trần cách thức hoạt động của trò lừa đảo và mức độ hiệu quả của nó.

Cô ấy đã viết trên X,

“Chúng đã đánh cắp hơn 300 triệu đô la bằng phương pháp này rồi. Các tác nhân đe dọa từ CHDC Triều Tiên vẫn đang gây thiệt hại cho quá nhiều người trong số các bạn thông qua các cuộc họp Zoom/Teams giả mạo của chúng.”

Các tài khoản Telegram bị chiếm đoạt khiến phương pháp tiếp cận trông có vẻ hợp pháp

Các cuộc tấn công thường bắt đầu trên Telegram.

Tin tặc trước tiên chiếm quyền kiểm soát một tài khoản thật thuộc về người mà nạn nhân đã quen biết — một người liên lạc cũ, một nhà đầu tư gặp tại hội nghị hoặc một đồng nghiệp từ một dự án trước đó.

Monahan nói,

“Họ nhắn tin cho tất cả những người đã từng trò chuyện trước đó lịch sử.”

Sử dụng những cuộc trò chuyện hiện có, kẻ tấn công xây dựng uy tín trước khi đề nghị một cuộc gọi để cập nhật thông tin.

Một liên kết Calendly được chia sẻ, dẫn đến một cuộc họp Zoom hoặc Teams thông thường.

Khuôn mặt được ghi hình, Áp lực thực sự

Khi cuộc gọi bắt đầu, nạn nhân sẽ thấy một đoạn video rất thuyết phục về người quen và đôi khi là các thành viên khác trong nhóm.

Đoạn phim không phải do AI tạo ra.

Thay vào đó, nó thường là video lặp lại được lấy từ podcast, phỏng vấn hoặc các lần xuất hiện trước công chúng, khiến việc phát hiện bất cứ điều gì bất thường trở nên khó khăn hơn.

Bước ngoặt xảy ra khi kẻ tấn công tuyên bố có vấn đề kỹ thuật, Thường thì chất lượng âm thanh kém.

Họ đưa ra giải pháp nhanh chóng: tải xuống bản vá, cập nhật SDK hoặc chạy một đoạn mã nhỏ được gửi qua cuộc trò chuyện trong cuộc họp.

Tệp đó chứa phần mềm độc hại.

Từ một cú nhấp chuột đến kiểm soát hoàn toàn thiết bị

Nếu được cài đặt, phần mềm độc hại thường là Trojan truy cập từ xa.

Nó âm thầm cho phép kẻ tấn công kiểm soát thiết bị, cho phép chúng đánh cắp mật khẩu, khóa riêng tư, tài liệu bảo mật nội bộ và mã thông báo phiên Telegram.

Ví tiền điện tử thường bị rút sạch.

Quyền truy cập Telegram bị đánh cắp sau đó được sử dụng lại để tiếp cận nhóm nạn nhân tiếp theo, cho phép trò lừa đảo lan rộng nhanh chóng qua các mạng lưới đáng tin cậy.

Monahan cảnh báo rằng phương pháp này khai thác thói quen nghề nghiệp hơn là điểm yếu kỹ thuật.

Sự khẩn cấp của một cuộc gọi kinh doanh và sự lịch sự khi muốn giúp giải quyết vấn đề được sử dụng để khiến nạn nhân bỏ qua các bước kiểm tra cơ bản.

Sự chuyển dịch từ Deepfake sang Kỹ thuật xã hội Long-Con

Các nhà nghiên cứu an ninh mạng coi đây là một sự thay đổi chiến lược.

Thay vì dựa vào video deepfake hoặc lừa đảo hàng loạt, các nhóm Triều Tiên đang tập trung vào các hoạt động chậm hơn, có mục tiêu được xây dựng xung quanh thông tin thật. các mối quan hệ.

Nhóm Lazarus và các cá nhân khác có liên hệ với CHDC Triều Tiên đã bị cáo buộc liên quan đến các cuộc phỏng vấn xin việc giả mạo và các chiến dịch tuyển dụng nhắm vào các công ty tiền điện tử.

Tháng trước, nhóm này cũng bị cáo buộc liên quan đến vụ rò rỉ 30,6 triệu đô la Mỹ tại sàn giao dịch lớn nhất Hàn Quốc, Upbit.

SEAL và các chuyên gia khác cho rằng chiến thuật cuộc họp giả hiện là một trong những công cụ hiệu quả nhất trong chiến thuật này.

Tại sao người dùng tiền điện tử đặc biệt dễ bị tấn công

Các giao dịch tiền điện tử không thể đảo ngược và quyền truy cập thường phụ thuộc vào một thiết bị duy nhất nắm giữ khóa riêng.

Một khi phần mềm độc hại đã xâm nhập, sẽ có rất ít thời gian để phản ứng.

Các vụ trộm tiền điện tử toàn cầu đã đạt mức 2,17 tỷ đô la Mỹ tài sản bị đánh cắp bởi giữa năm 2025, theo ước tính của ngành, với các tác nhân Triều Tiên chịu trách nhiệm cho một phần đáng kể.

Các chuyên gia cảnh báo rằng bất kỳ yêu cầu tải xuống phần mềm nào trong khi gọi video giờ đây nên được coi là mối đe dọa, bất kể người yêu cầu là ai.

Hành động ngay lập tức có thể hạn chế thiệt hại

Các công ty bảo mật khuyên bất kỳ ai nghi ngờ bị nhiễm virus nên tắt WiFi ngay lập tức và tắt nguồn thiết bị để ngăn chặn phần mềm độc hại.

Nên chuyển tiền sang ví mới từ một thiết bị sạch và xóa tất cả mật khẩu liên quan. đã được thay thế.

Nên xóa sạch hệ thống trước khi sử dụng lại máy tính bị xâm nhập.

Khi các cuộc gọi video và ứng dụng nhắn tin trở thành công cụ hàng ngày trong ngành công nghiệp tiền điện tử, những kẻ tấn công đang đặt cược rằng sự quen thuộc sẽ tiếp tục làm giảm khả năng phòng thủ.

Hiện tại, giả định an toàn nhất rất đơn giản: một cuộc họp thông thường có thể không hề thông thường.