Nouvelle tactique des hackers nord-coréens : payer 500 $ par mois pour passer un entretien, puis se faire embaucher à la place

Original｜Odaily News（@OdailyChina）

Auteur｜Wenser（@wenser 2010）

Vous souvenez-vous de ce hacker nord-coréen qui a infiltré le portefeuille MetaMask via l'externalisation ?

Et de ce hacker nord-coréen piégé par une fausse société DeFi et exposé publiquement ?

À l'instar des sociétés de sécurité qui tendent des pièges, les hackers nord-coréens améliorent également leurs « méthodes d'attaque », passant des failles techniques initiales aux attaques d'ingénierie sociale, puis à l'infiltration de projets externalisés et à l'embauche à distance dans des projets crypto. Récemment, leurs méthodes d'infiltration ont pris une nouvelle tournure : ils engagent d'abord quelqu'un pour passer l'entretien d'embauche d'une société crypto, puis se substituent à cette personne pour intégrer l'entreprise, s'y infiltrer, attendre le moment opportun, et finalement voler des actifs cryptographiques et des informations sensibles via des attaques techniques internes.

Un mois plus tard, la guerre entre les sociétés de sécurité et les hackers nord-coréens a connu de nouveaux développements, et un nouveau type d'arnaque a fait surface.

« Sauver la nation par des voies détournées » : les hackers engagent des personnes pour passer les entretiens puis prennent le poste, le tout pour « servir la patrie »

Commençons par le « palmarès » des hackers nord-coréens : selon les données de la société de sécurité CrowdStrike, en 2025, les hackers et acteurs malveillants liés à l'État nord-coréen ont causé des pertes de cryptomonnaies dépassant 2 milliards de dollars, soit une hausse de 51 % en glissement annuel ; la Banque de Corée estime que, malgré les sanctions conjointes à l'échelle mondiale, le taux de croissance du produit intérieur brut (PIB) de la Corée du Nord en 2025 a tout de même atteint 3,5 %.

Il est désormais établi que les hackers nord-coréens, en tant qu'« équipe nationale », ont largement contribué à cette croissance économique.

Le 31 juillet dernier, le Département d'État américain et le FBI, conjointement avec 11 pays dont le Japon, la Corée du Sud, l'Australie, le Canada, la France, l'Allemagne, l'Italie, les Pays-Bas, la Nouvelle-Zélande et le Royaume-Uni, ont publié un rapport de sécurité intitulé « Alerte concernant les travailleurs informatiques nord-coréens ».

Ce rapport contient de nombreuses informations, dont les points clés suivants :

Premièrement, la Corée du Nord s'appuie sur un réseau de développeurs techniques déployés au niveau national et à l'étranger pour mener ses opérations. En envoyant ces techniciens obtenir de fausses identités et travailler à distance, elle récupère ensuite leurs salaires sur des comptes d'agences gouvernementales nord-coréennes. Les fonds ainsi collectés sont finalement utilisés pour le développement et l'avancement des programmes d'armes nucléaires et de missiles balistiques de la Corée du Nord.

Deuxièmement, en ce qui concerne le travail concret des hackers nord-coréens, ces développeurs techniques obtiennent généralement des emplois et les salaires correspondants en usurpant l'identité de ressortissants d'autres pays sur des plateformes d'emploi en ligne, d'achat et de sous-traitance exploitées par des entreprises privées à l'étranger.

Troisièmement, en outre, les prestataires de services techniques nord-coréens ne se contentent pas de percevoir des salaires normaux d'employés ; ils représentent également une menace interne extrêmement élevée pour les informations commerciales et les actifs commerciaux des entreprises qui les emploient. Un nombre considérable d'entre eux ont profité de ces opportunités pour participer à des vols de données, de cryptomonnaies et d'informations sensibles.

Enfin, en ce qui concerne les méthodes de mise en œuvre concrètes, les activités préparatoires et les modes opératoires des hackers nord-coréens deviennent de plus en plus sophistiqués, incluant même l'utilisation d'outils tels que des modèles et applications d'IA pour fabriquer de fausses identités et mener des activités illégales à l'échelle mondiale.

Il convient de noter que le point le plus important mentionné dans ce rapport est que, sur la base des précédents « entretiens en personne », les hackers nord-coréens ont récemment amélioré leur « flux de travail » —

• Désormais, ils recrutent souvent à l'avance, via des sites de recrutement comme LinkedIn, des travailleurs techniques de certains pays tiers (comme l'Iran, le Liban, etc.) ;
• Ensuite, les hackers nord-coréens demandent à certains développeurs techniques de travailler à temps partiel en tant qu'« assistants d'entretien », en les rémunérant 500 dollars par mois en cryptomonnaie pour les aider à intégrer l'entreprise cible.
• Enfin, les hackers nord-coréens prennent eux-mêmes la place de ces personnes, intègrent l'entreprise cible et deviennent membres de l'équipe, réalisant ainsi une infiltration technique. Tout en percevant le salaire correspondant au poste, ils guettent l'occasion de voler des informations et données sensibles, des actifs en cryptomonnaie, des codes techniques et d'autres actifs commerciaux.

Il ne fait aucun doute que, dans cette bataille de sécurité en constante évolution, les hackers nord-coréens améliorent progressivement leur « SOP (flux de travail) », et leur objectif final est naturellement de rapatrier les fonds vers leur pays.

Liste de contrôle d'auto-évaluation de l'infiltration par les hackers nord-coréens : des informations personnelles des employés aux habitudes d'expression quotidiennes

À l'heure actuelle, les méthodes des hackers nord-coréens sont difficiles à prévenir, mais elles laissent néanmoins des traces. Voici quelques indicateurs auxquels certaines entreprises doivent être attentives et qu'elles doivent vérifier :

Pour les entreprises qui exploitent des plateformes en ligne, une attention particulière doit être portée aux aspects suivants :

• Les employés modifient fréquemment leurs informations d'inscription (nom de compte, coordonnées, compte bancaire de réception des paiements, etc.).
• Le nom du titulaire de la pièce d'identité de l'employé ne correspond pas au nom du compte de paiement enregistré.
• Utilisation du même document d'identité pour créer plusieurs comptes de réception de paiements.
• Les documents de vérification d'identité sont soupçonnés d'être falsifiés ou générés/modifiés à l'aide de logiciels de retouche d'image ou d'outils de génération d'images par IA.
• Plusieurs comptes techniques envoient des demandes d'accès depuis la même adresse IP.
• Un seul compte envoie des demandes d'accès depuis plusieurs adresses IP en peu de temps.
• Le compte reste connecté pendant une durée anormalement longue.
• Le nombre total d'heures de travail ou les indicateurs de travail associés sont anormaux (par exemple, temps en ligne excessif, efficacité au travail trop élevée, charge de travail trop importante).
• Les utilisateurs des sites de recrutement rédigent de faux avis sur eux-mêmes pour améliorer leur note sur les sites d'emploi, etc.

Pour les entreprises qui recrutent des employés, mènent des entretiens ou embauchent des sous-traitants, prêter attention aux détails suivants peut permettre d'éviter à temps l'infiltration interne par les hackers nord-coréens :

• Le profil du candidat contient des expressions erronées ou peu naturelles (soupçonnées d'être issues d'une traduction automatique), et il prétend ne pas maîtriser la langue de son pays d'origine indiqué dans ses informations d'identité (compte tenu de la généralisation des services de traduction par IA, il convient de se concentrer davantage sur son expression linguistique).
• Des détails falsifiés sont exposés lors des vidéoconférences, comme une photo ne correspondant pas aux informations d'identité ; la vidéo de la réunion est générée par IA ou réalisée avec la complicité d'un tiers, et l'expression linguistique ainsi que les gestes et attitudes ne sont pas naturels.
• L'employé interviewé refuse de participer aux vidéoconférences et de montrer son visage.
• Le tarif de la prestation de travail est inférieur au prix normal du marché.
• Il apparaît que son compte technique personnel est utilisé par plusieurs personnes (ce qui indique généralement que ce type d'activité de piratage est souvent mené en équipe, et que l'interlocuteur réel peut changer au fil du temps).
• Il exige d'être payé en cryptomonnaie et refuse de fournir des informations complètes sur son compte bancaire et son compte de paiement.