Les pirates nord-coréens utilisent de nouvelles tactiques : payez 500 $ pour être embauché, puis impersonnez des employés

Original | Odaily Planet Daily (@OdailyChina)

Auteur | Wenser (@wenser 2010)

Vous vous souvenez du pirate nord-coréen qui a accédé au portefeuille MetaMask via un sous-traitant ? (Lecture recommandée : « Heureusement ! Un employé sous-traitant a failli détruire MetaMask »)

Et ce pirate nord-coréen, démasqué après avoir piégé une fausse entreprise DeFi ? (Recommandé : « La grande pièce d’hameçonnage de l’année : une fausse DeFi révèle les vrais pirates de Lazarus »)

Comme les sociétés de sécurité qui mènent des opérations d'incitation à la fraude, les pirates nord-coréens perfectionnent leurs « méthodes d'attaque » : passant des vulnérabilités techniques aux attaques d'ingénierie sociale, puis à l'embauche de personnes via des projets externalisés et l'intégration à distance dans des projets cryptographiques. Récemment, ils ont adopté une nouvelle tactique : embaucher des individus pour passer les entretiens dans des entreprises cryptographiques, puis les remplacer eux-mêmes pour intégrer l'entreprise en toute discrétion, attendre le bon moment, et finalement voler des actifs cryptographiques et des informations sensibles par des attaques techniques internes.

Un mois plus tard, la guerre entre les sociétés de sécurité et les pirates nord-coréens a connu de nouveaux développements, et une nouvelle arnaque a fait son apparition.

Découvrez d'abord les « réalisations » des pirates nord-coréens : selon les données de l'entreprise de sécurité CrowdStrike, les pertes en cryptomonnaies causées par les pirates liés à l'État nord-coréen et les acteurs de menaces ont dépassé 2 milliards de dollars américains en 2025, soit une augmentation de 51 % par rapport à l'année précédente ; la Banque de Corée du Sud estime que, malgré des sanctions internationales coordonnées, le taux de croissance du produit intérieur brut (PIB) de la Corée du Nord en 2025 a atteint 3,5 %.

Les informations actuellement confirmées indiquent que les pirates informatiques nord-coréens, en tant que « force nationale », contribuent également de manière significative à la croissance économique.

Le 31 juillet de cette année, le Département d'État américain et le FBI, en collaboration avec le Japon, la Corée du Sud, l'Australie, le Canada, la France, l'Allemagne, l'Italie, les Pays-Bas, la Nouvelle-Zélande et le Royaume-Uni, ont publié un rapport de sécurité intitulé « Avis sur les travailleurs informatiques de la Corée du Nord ».

Le rapport contient une quantité importante d'informations, dont les points clés sont les suivants :

D'abord, la Corée du Nord s'appuie sur un réseau de développeurs techniques déployés à l'étranger pour mener des opérations à l'extérieur, en envoyant ces techniciens obtenir des identités falsifiées et travailler à distance pour gagner de l'argent, puis transférer les salaires vers des comptes d'institutions gouvernementales nord-coréennes. Les fonds concernés sont finalement utilisés pour le développement et la promotion du programme d'armes nucléaires et de missiles balistiques de la Corée du Nord.

Ensuite, en ce qui concerne les activités spécifiques des hackers nord-coréens, ces développeurs techniques obtiennent généralement des emplois et les salaires correspondants sur des plateformes en ligne de travail, d'achat et de sous-traitance gérées par des entreprises privées à l'étranger, en usurpant l'identité de ressortissants d'autres pays.

Une fois encore, en dehors de cela, les techniciens nord-coréens ne se contentent pas de percevoir un salaire d'employé normal, mais représentent une menace interne élevée pour les informations commerciales et les actifs commerciaux des entreprises où ils sont embauchés. Une part considérable d'entre eux profitent de cette occasion pour participer au vol de données, au vol de cryptomonnaies et au vol d'informations sensibles.

Enfin, du point de vue des méthodes de mise en œuvre, les activités de préparation et les techniques opérationnelles des pirates nord-coréens deviennent de plus en plus complexes, incluant même l'utilisation d'outils tels que des modèles et applications d'IA pour créer des identités falsifiées et mener des activités illégales à l'échelle mondiale.

Il convient de souligner que l'information la plus importante mentionnée dans ce rapport est que, sur la base des entretiens en personne précédents, les pirates nord-coréens ont récemment amélioré leur « processus de travail » —

• Aujourd'hui, ils recrutent souvent à l'avance des techniciens de pays tiers (comme l'Iran, le Liban, etc.) via des sites d'emploi tels que LinkedIn ;
• Ensuite, les pirates coréens demandent à certains développeurs techniques de travailler à temps partiel en tant que « assistants à l’entretien », en échange d’une rémunération en cryptomonnaie de 500 dollars par mois pour les aider à intégrer l’entreprise cible.
• Enfin, les pirates nord-coréens se substituent eux-mêmes aux employés, intègrent l'équipe de l'entreprise cible et réalisent ainsi une pénétration technique, tout en percevant le salaire correspondant à leur poste, dans le but de voler progressivement des informations sensibles, des données, des actifs de cryptomonnaie et du code technique.

Sans aucun doute, dans le cadre de la lutte continue contre les attaques et les défenses sécuritaires, les pirates nord-coréens améliorent progressivement leur « SOP (flux de travail) », et leur objectif final est naturellement de transférer les fonds vers leur pays.

Pour l'instant, les méthodes des pirates nord-coréens sont difficiles à prévenir, mais elles restent traçables. Voici certains indicateurs que les entreprises doivent surveiller et vérifier :

Pour les entreprises qui gèrent des plateformes en ligne, il est particulièrement important de prêter attention aux points suivants :

• Les employés modifient fréquemment les informations d'inscription (nom de compte, coordonnées, compte bancaire de réception, etc.).
• Le nom du titulaire de la pièce d'identité professionnelle ne correspond pas au nom du compte de paiement enregistré.
• Créer plusieurs comptes de réception en utilisant le même document d'identité.
• Les documents d'authentification semblent contrefaits ou créés/modifiés à l'aide de logiciels de retouche d'images ou d'outils de génération d'images par IA.
• Plusieurs comptes techniques émettent des demandes d'accès depuis la même adresse IP.
• Un seul compte a effectué des demandes d'accès à partir de plusieurs adresses IP en peu de temps.
• Le compte reste connecté pendant une durée anormalement longue.
• Nombre d'heures travaillées cumulées ou indicateurs de travail associés anormaux (par exemple, temps en ligne excessif, efficacité trop élevée, charge de travail trop importante).
• Les utilisateurs de sites d'emploi créent des évaluations falsifiées pour améliorer la note du site d'emploi.

Pour les entreprises recrutant du personnel ou effectuant des entretiens et en faisant appel à des sous-traitants, faire attention à ces détails permet d'éviter rapidement les infiltrations internes par des pirates nord-coréens :

• Le profil du candidat contient des erreurs ou des formulations peu naturelles (suspicieusement traduites par une machine), et il affirme ne pas maîtriser sa langue maternelle (compte tenu de la popularité des services de traduction par IA, il convient de porter une attention accrue à son expression linguistique).
• Dans la réunion vidéo, des détails falsifiés sont révélés, tels qu'une incompatibilité entre la photo et les informations d'identité ; l'image vidéo de la réunion est générée par IA ou réalisée avec l'aide d'un tiers, avec une expression verbale et des gestes et expressions faciales peu naturels.
• Le candidat à l'entretien refuse de participer à la réunion vidéo et de montrer son visage.
• Les tarifs de rémunération des services sont inférieurs au prix du marché habituel.
• Son compte technique personnel est géré par plusieurs personnes (ce qui indique généralement que ces activités de piratage sont souvent menées par des équipes, et que les interlocuteurs réels peuvent varier dans le temps).
• Exiger le paiement en cryptomonnaie et refuser de fournir les informations complètes du compte bancaire et du compte de paiement.