Le monde du recrutement en ligne devient un terrain de chasse pour les cybercriminels. Les États-Unis et plusieurs agences internationales tirent la sonnette d’alarme face à une campagne massive orchestrée depuis Pyongyang. Cette opération, baptisée « Contagion Interview », utilise l’intelligence artificielle pour tromper les responsables des ressources humaines et infiltrer les systèmes informatiques des sociétés ciblées. La Corée du Nord : 1 640 entreprises piratées via de fausses offres d’emploi crypto révèle l’ampleur d’une stratégie qui mêle espionnage industriel et vol massif d’actifs numériques à l’échelle planétaire.
En bref
- Une opération d’État touchant 1 640 entreprises dans 57 pays, avec 700 à 800 organisations gravement compromises
- Utilisation de l’IA pour créer de faux profils de candidats et d’entreprises-façades légalement enregistrées aux États-Unis
- Déploiement de malwares sophistiqués via de faux tests de compétences pour voler cryptomonnaies et données sensibles
- 1,34 milliard de dollars de cryptomonnaies dérobés servant directement à financer le programme d’armement nord-coréen
- 39 arrestations effectuées par le FBI et des mesures de sécurité renforcées dans l’industrie crypto
La méthode employée par les hackers nord-coréens
Préparation et création de faux profils
La Corée du Nord : 1 640 entreprises piratées via de fausses offres d’emploi crypto représente une opération d’une ampleur inédite. Les hackers nord-coréens ont mis en place une véritable machine de guerre, utilisant l’intelligence artificielle pour créer des profils de candidats entièrement fictifs.
Ces criminels volent des photos d’inconnus sur Internet et les associent à des CV parfaitement rédigés. Mais la sophistication va bien au-delà : ils ont créé de véritables entreprises-façades, enregistrées légalement aux États-Unis.
Softglide LLC dans l’État de New York et Blocknovas LLC au Nouveau-Mexique existent officiellement, avec de fausses adresses et de faux dirigeants. Cette structure permet de donner une crédibilité totale aux opérations.
L’organisation fonctionne comme une entreprise structurée. Une équipe identifiée sous le nom d’Eagle Vision aurait envoyé des candidatures à plus d’un millier d’entreprises en trois mois seulement. L’intensité est impressionnante : un agenda intercepté révèle 22 entretiens programmés en une semaine, sous 7 identités différentes.
Pendant les entretiens vidéo, l’IA intervient directement pour modifier l’apparence du candidat et même générer des réponses en anglais en temps réel.
Stratégies d’infiltration et d’ingénierie sociale
Les hackers utilisent des CV impeccables et profitent du télétravail généralisé pour passer les entretiens à distance. Une fois le contact établi, ils proposent un test de compétences.
Mais au lieu d’utiliser une plateforme connue comme Google Meet ou Zoom, ils redirigent la victime vers un site web obscur. C’est là que le piège se referme.
Ces sites déploient des malwares sophistiqués comme OtterCookie et InvisibleFerret, capables de voler des mots de passe et de copier tout ce qui passe par le presse-papiers de l’ordinateur. Les experts en cybersécurité ont baptisé cette campagne « Contagion Interview », reliée à une autre opération appelée « Operation Dream Job ».
Les attaquants ont accidentellement exposé un fichier contenant les adresses e-mail et IP de plus de 230 personnes ciblées entre janvier et mars. Ces victimes occupent des postes variés : développeurs, influenceurs, comptables, consultants ou responsables marketing.
Les cibles touchées et l’ampleur des intrusions
Détails des entreprises exposées
L’enquête menée par la société de cybersécurité Kumio révèle que 1 640 entreprises dans 57 pays ont été compromises. Ce chiffre donne la mesure d’une opération planétaire orchestrée depuis Pyongyang.
Parmi ces victimes, entre 700 et 800 organisations auraient subi des intrusions majeures, donnant aux hackers un accès étendu à leurs systèmes. L’investigation a nécessité 22 mois de travail pour documenter l’ensemble des systèmes de commande et contrôle.
Les entreprises du secteur des cryptomonnaies, notamment les exchanges crypto étrangers, constituent la cible prioritaire, mais aucun secteur n’est vraiment épargné.
Impact sur le secteur des cryptomonnaies
L’objectif principal reste le vol de clés de portefeuilles crypto et l’accès à l’infrastructure blockchain. Les hackers parviennent à infiltrer des systèmes critiques : serveurs d’entreprise, environnements cloud comme AWS, et identifiants de développeurs.
Ces accès leur permettent de mettre la main sur des actifs numériques. Un employé d’une entreprise américaine du secteur raconte avoir perdu 1 000 dollars en ethers et Solana depuis son portefeuille, juste après avoir envoyé une vidéo demandée lors d’un faux processus de recrutement.
Cette approche ciblée sur le secteur crypto n’est pas un hasard : les transactions sont difficilement traçables et les sommes en jeu sont considérables.
Le rôle des plateformes comme LinkedIn et Telegram
LinkedIn et Telegram servent de porte d’entrée principale pour ces arnaques. Les faux recruteurs contactent leurs victimes sur ces plateformes, se présentant comme représentants d’entreprises connues.
Les échanges démarrent de manière classique : discussion sur le poste, la rémunération, les responsabilités. Puis le recruteur propose de basculer vers un outil externe pour continuer le processus.
LinkedIn affirme avoir pris des mesures contre les faux comptes identifiés, tandis que Telegram indique supprimer les arnaques dès leur détection. Mais la réactivité des plateformes peine à suivre le rythme de création de nouveaux profils frauduleux.
Le problème reste structurel : ces réseaux sociaux professionnels facilitent naturellement les contacts entre recruteurs et candidats, ce qui rend la détection des faux profils particulièrement complexe.
Le financement des activités nord-coréennes via les cyberattaques
Derrière ces opérations se cache un enjeu financier colossal. Selon Chainalysis, 1,34 milliard de dollars de cryptomonnaies auraient été dérobés via ce type de stratagème sur une année.
Ces sommes colossales ne servent pas à l’enrichissement personnel des hackers. Les observateurs américains et onusiens s’accordent pour dire qu’elles financent directement le programme d’armement de Pyongyang.
L’opération d’emplois à distance sous fausses identités rapporterait à elle seule 800 millions de dollars par an au régime nord-coréen. Le Département du Trésor américain estime que jusqu’à 90 % des revenus générés par ces travailleurs reviennent au régime.
Les mécanismes de rapatriement passent par plusieurs banques, des transactions en cryptomonnaies et des opérations de blanchiment sophistiquées. Entre 1 600 et 3 000 emplois seraient actuellement occupés dans le monde par des travailleurs nord-coréens via ce dispositif.
Réponses et mesures de sécurité dans l’industrie
Le FBI a lancé une alerte fin 2024 contre ces stratagèmes d’ingénierie sociale qualifiés de « complexes et élaborés ». Les candidats développent progressivement des réflexes de vérification avant de répondre à une offre d’emploi.
L’entreprise Kraken a détecté l’arnaque dès l’année dernière et continue de recevoir des signalements persistants. Elle utilise désormais des outils spécifiques pour identifier les faux comptes se faisant passer pour des recruteurs.
Robinhood a reconnu avoir été victime d’une campagne d’usurpation et a pris des mesures pour désactiver les domaines web liés à l’arnaque. Le problème reste que le recrutement massif en télétravail, avec une vérification rare des identités en personne, transforme chaque poste crypto en porte potentiellement ouverte.
Nous conseillons de respecter quelques règles simples de sécurité :
- Privilégier les entretiens sur des plateformes reconnues comme Google Meet ou Zoom
- Vérifier systématiquement l’identité du recruteur et le contexte de l’offre
- Refuser d’exécuter ou d’installer des fichiers présentés comme indispensables au recrutement
- Se méfier des redirections vers des portails externes non officiels
Témoignages de victimes et le coût de ces arnaques
Un employé de Global Ledger en Suisse confie que ces tentatives arrivent « tout le temps » dans le secteur. Il note une amélioration « effrayante » des techniques des hackers sur la dernière année.
Un entrepreneur dans l’intelligence artificielle raconte s’être interrogé sur l’absence d’entretien en direct via une plateforme connue, ce qui l’a poussé à arrêter le processus. Un consultant a abandonné une candidature après réception d’un lien censé accélérer le recrutement.
L’enquête a permis d’identifier 19 personnes qui ont confirmé avoir été ciblées sur la période concernée. Certaines ont subi des pertes financières directes, d’autres ont échappé de justesse au piège.
Le FBI a annoncé l’arrestation de 39 personnes soupçonnées d’avoir participé ou aidé ces réseaux. Un complice américain témoigne avoir signé un contrat à 75 000 dollars par an, dont il gardait 50 %, affirmant ignorer le lien avec la Corée du Nord.
Les conséquences dépassent le simple vol financier. Une victime d’usurpation d’identité raconte que son identité a servi à décrocher 9 emplois pour environ 100 000 euros de salaires. Résultat : elle se retrouve sur liste noire bancaire, incapable d’ouvrir un compte ou de demander un crédit.
Cette affaire rappelle que la Corée du Nord : 1 640 entreprises piratées via de fausses offres d’emploi crypto constitue bien plus qu’une simple arnaque. C’est une opération d’État sophistiquée qui finance un programme d’armement en exploitant les vulnérabilités du travail à distance.
FAQ
Comment les hackers nord-coréens créent-ils de faux profils de candidats ?
Comment les hackers nord-coréens créent-ils de faux profils de candidats ? En volant des photos, en générant des CV impeccables avec l’IA et en passant des entretiens vidéo où l’IA modifie l’apparence et produit des réponses en anglais en temps réel.
Quels malwares sont utilisés dans la campagne « Contagion Interview » ?
Quels malwares sont utilisés dans la campagne « Contagion Interview » ? OtterCookie et InvisibleFerret, déployés via des sites web obscurs, pour voler des mots de passe, récupérer le presse-papiers et ouvrir un accès aux systèmes.
Combien d’entreprises ont été compromises et dans combien de pays ?
Combien d’entreprises ont été compromises et dans combien de pays ? 1 640 entreprises dans 57 pays, avec 700 à 800 organisations touchées par des intrusions majeures donnant un accès étendu aux systèmes.
Quel est le rôle de LinkedIn et Telegram dans ces arnaques ?
Quel est le rôle de LinkedIn et Telegram dans ces arnaques ? LinkedIn et Telegram servent de porte d’entrée: faux recruteurs, bascule vers un outil externe, puis redirection vers un portail non officiel utilisé pour piéger la victime.
Pourquoi le secteur des cryptomonnaies est-il une cible prioritaire ?
Pourquoi le secteur des cryptomonnaies est-il une cible prioritaire ? Parce que les hackers visent les clés de portefeuilles crypto, l’accès blockchain, AWS et identifiants de développeurs, facilitant ainsi les vols de crypto avec des transactions difficiles à traçables.
Quelles mesures simples appliquer lors d’un recrutement à distance pour limiter le risque ?
Quelles mesures simples appliquer lors d’un recrutement à distance pour limiter le risque ? Privilégier Google Meet ou Zoom, vérifier l’identité du recruteur, refuser d’exécuter/installer des fichiers, et se méfier des redirections externes.