Attention ! Des informaticiens nord-coréens exploitent le télétravail pour infiltrer des organisations internationales.

La menace d'infiltration informatique nord-coréenne ne concerne plus seulement les États-Unis : c'est désormais une crise mondiale. Selon de nouvelles conclusions du Groupe de renseignement sur les menaces de Google (GTIG), des agents de la République populaire démocratique de Corée (RPDC) étendent leur cyber-empreinte à travers l'Europe et au-delà, exploitant des plateformes de télétravail, de fausses identités et des tactiques de plus en plus agressives comme l'extorsion. Ce qui a commencé comme une opération secrète s'est transformé en un vaste réseau international conçu pour détourner argent et informations en toute discrétion.

Une invasion silencieuse de la main-d'œuvre mondiale

Les informaticiens nord-coréens profitent de la demande mondiale de télétravailleurs. En se faisant passer pour des freelances qualifiés originaires de pays comme le Japon, la Malaisie, l'Ukraine, le Vietnam et même les États-Unis, ces individus ont décroché des contrats légitimes via des plateformes comme Upwork, Freelancer et Telegram.

Une fois à l'intérieur, ils peuvent accéder à des systèmes sensibles et parfois même manipuler des infrastructures critiques comme des systèmes de gestion de contenu (CMS), des robots web et des applications blockchain. Ces agents opèrent souvent sous plusieurs identités – parfois jusqu'à une douzaine par individu –, chaque identité servant de référence aux autres. Dans un cas, un seul employé lié à la RPDC gérait douze identités distinctes aux États-Unis et en Europe, chacune conçue pour tromper les employeurs et les plateformes de recrutement.

L'Europe dans le collimateur

Bien que les États-Unis demeurent une cible privilégiée, le renforcement du contrôle juridique et des mesures renforcées de vérification du droit au travail incitent les agents de la RPDC à s'implanter davantage sur les marchés européens. L'Allemagne, le Portugal et le Royaume-Uni ont tous signalé des cas d'infiltration, certains travailleurs participant à des projets de développement d'IA et d'intégration de blockchain – des domaines qui accordent souvent un large accès aux systèmes et manipulent des bases de code propriétaires ou sensibles.

Au Royaume-Uni, des infiltrés ont même été impliqués dans des détournements d'infrastructures d'entreprise, comme l'utilisation d'ordinateurs portables destinés à des bureaux américains depuis Londres. Ces opérations sont souvent soutenues par des intermédiaires locaux ou internationaux qui contribuent à masquer l'identité et l'origine des agents informatiques. Le GTIG note la découverte des coordonnées de courtiers en faux passeports, soulignant ainsi l'efficacité et l'organisation du système.

La montée de l'extorsion : une nouvelle tactique alarmante

Depuis fin octobre 2024, un nouveau niveau de risque est apparu. Face à la répression des forces de l'ordre américaines – perturbations et inculpations en hausse –, certains travailleurs liés à la RPDC se tournent vers l'extorsion comme source de revenus de secours. Leurs tactiques sont effrayantes : après avoir été licenciés ou avoir senti une détection, les agents menacent de divulguer des données sensibles, notamment le code source et des informations critiques pour l'entreprise.

Les chercheurs du GTIG estiment que la pression exercée sur ces agents les force à changer de comportement, passant du vol furtif de données à une coercition financière agressive. Ce changement marque une inquiétante escalade dans la stratégie nord-coréenne en matière de cyberespionnage et de criminalité numérique.

Cibler les lieux de travail BYOD

La stratégie de la RPDC s'est également adaptée aux réalités du télétravail. Le GTIG rapporte que les agents nord-coréens ciblent de plus en plus les entreprises appliquant des politiques BYOD (Bring Your Own Device). Ces organisations, cherchant à réduire leurs coûts en ne fournissant pas d'ordinateurs portables professionnels, facilitent involontairement la tâche des freelances malveillants qui exercent leurs activités sans surveillance.

Cette vulnérabilité est aggravée par l'utilisation de cryptomonnaies et de plateformes de paiement numérique comme Payoneer, qui contribuent à masquer l'origine et la destination des fonds. Il s'agit d'un système soigneusement conçu, conçu pour exploiter les points faibles des défenses mondiales en matière de cybersécurité : la confiance humaine, l'accès à distance et les systèmes décentralisés.

Un écosystème mondial de tromperie

L'ampleur des opérations de la RPDC suggère une infrastructure mondiale en pleine maturation, dotée de réseaux de soutien multidimensionnels, de courtiers en fausses identités et de systèmes de blanchiment de capitaux. Les dernières conclusions du GTIG soulignent à quel point ces acteurs sont devenus agiles et dangereux.

« Face à la prise de conscience accrue de la menace aux États-Unis, les informaticiens de la RPDC ont créé un écosystème mondial de profils frauduleux afin d'améliorer leur agilité opérationnelle », explique le GTIG. Leur capacité à transférer rapidement leurs opérations au-delà des frontières tout en maintenant un flux de revenus stable constitue une préoccupation majeure pour les organisations du monde entier.

Que peuvent faire les organisations ?

1. Renforcez la vérification d’identité : mettez en œuvre des processus de vérification rigoureux en plusieurs étapes pour l’embauche de travailleurs à distance.

Réflexions finales

L'expansion mondiale de l'infiltration informatique nord-coréenne ne constitue pas seulement un problème de cybersécurité : c'est une menace pour la sécurité nationale et l'économie. Face à la sophistication croissante de leurs tactiques, les entreprises doivent s'adapter en mettant en place des défenses tout aussi performantes. L'époque où l'on recrutait à la légère des freelances du monde entier sans vérification approfondie des antécédents est révolue. L'inaction pourrait coûter cher : le vol, voire l'utilisation abusive, de vos ressources numériques les plus critiques.