Les pirates d’État nord-coréens ont commis une erreur de débutant qui a offert à un chercheur en sécurité une fenêtre de deux ans sur leurs opérations : ils ont infecté leurs propres ordinateurs avec leur propre logiciel malveillant.
Vangelis Stykas, chercheur grec en sécurité et directeur technique de Kumio, a présenté ses conclusions à Las Vegas lors de Black Hat, la conférence annuelle sur la sécurité. Il a déclaré avoir passé environ 22 mois à l’intérieur de serveurs de commande et de contrôle gérés par des groupes de pirates nord-coréens, et que la porte d’entrée avait été leur propre négligence opérationnelle. Dans plusieurs cas, les attaquants avaient accidentellement contaminé leurs propres postes de travail avec leurs propres outils, ce qui a donné à Stykas une vue directe sur leurs conversations Slack et Discord et sur le reste de leur configuration quotidienne. Il n’a pas expliqué comment il avait pénétré leurs systèmes au départ.
Ce qu’il y a découvert, rapporté en premier lieu par Wired, constitue l’une des plus vastes campagnes d’intrusion en entreprise jamais documentées. Stykas a indiqué avoir identifié des intrusions chez 1 640 entreprises réparties dans 57 pays, et qu’entre 700 et 800 de ces organisations avaient subi des compromissions incluant un accès root aux serveurs, l’accès à des environnements AWS et, pour les sociétés de cryptomonnaies, la possession directe de clés et de portefeuilles blockchain. Au total, il a extrait environ cinq téraoctets de leurs données.
La méthode d’attaque est presque identique dans tous les cas. Les pirates se font passer pour des recruteurs, font miroiter des postes de développement logiciel bien rémunérés à des ingénieurs expérimentés et envoient des tests de codage qui installent discrètement un logiciel malveillant sur la machine du candidat. Le schéma Contagious Interview est documenté depuis environ 2022 et fait l’objet d’un suivi par Microsoft dans le cadre de l’opération cybernétique nord-coréenne au sens large. Heise rapporte que les groupes s’appuyaient auparavant sur des identifiants compromis, mais que, depuis la fin 2024, ils se sont principalement tournés vers cette forme d’ingénierie sociale.
La portée de la campagne passe par les prestataires. Stykas a déclaré avoir vu des prestataires individuels détenir des identifiants ou des accès aux systèmes pour jusqu’à 30 entreprises à la fois, si bien qu’un seul développeur compromis pouvait ouvrir la porte à des dizaines d’organisations. Parmi les victimes qu’il a publiquement identifiées figurent Oppo, l’hôpital pour enfants de Boston, AEON Smart Technology (Japon), le Conseil supérieur de la magistrature d’Italie, Digitaal Vlaanderen (Belgique), Coinbase et Uniswap Labs.
Les réactions ont varié. L’hôpital pour enfants de Boston a attribué l’incident à un ordinateur portable personnel ayant appartenu à un ancien prestataire plutôt qu’à son propre réseau, et a indiqué n’avoir trouvé aucun signe d’accès non autorisé. Coinbase a déclaré qu’un prestataire avait été licencié quelques semaines seulement après son arrivée, les outils de sécurité ayant donné l’alerte, tout en précisant n’avoir trouvé aucune preuve que la personne se trouvait en Corée du Nord ou appartenait au régime. Le gouvernement flamand a confirmé avoir été informé en mars 2025, avoir isolé les systèmes concernés et avoir procédé à la rotation des identifiants. De nombreuses autres organisations, selon Stykas, ont complètement ignoré ses alertes, et des centaines n’ont jamais répondu du tout. De nouvelles victimes s’ajoutaient chaque jour.
La piste de l’argent explique cette focalisation. Heise, citant les données de Chainalysis, rapporte que la Corée du Nord a volé 2,02 milliards de dollars en cryptomonnaies en 2025, en hausse de 51 % sur un an, et environ 6,75 milliards de dollars depuis 2017. Au cours des quatre premiers mois de 2026, les opérations nord-coréennes ont représenté 76 % des pertes mondiales liées aux piratages de cryptomonnaies. Les fonds volés alimentent de manière démontrable les programmes nucléaire et balistique du pays, ce qui explique précisément pourquoi le piratage se poursuit malgré les sanctions internationales.
L’accès persistant est ce qui inquiète les chercheurs en sécurité. Marcus Hutchins, le chercheur qui a stoppé la propagation de WannaCry, a averti que les points d’appui établis pour le vol de cryptomonnaies pourraient être réutilisés à tout moment à des fins d’espionnage. La campagne se déroule également en parallèle du déploiement par la Corée du Nord de milliers de travailleurs informatiques à distance qui occupent des postes salariés sous des identités volées et rapatrient leurs revenus au pays ; cinq complices aux États-Unis ont récemment plaidé coupable pour avoir soutenu ce réseau dans des affaires qui ont touché plus de 136 entreprises.
Traduit par Lydie
Sources: A Security Pro Hacked North Korean Hackers. He Found They’d Breached Hundreds of Networks Worldwide (Wired, Aug 5, 2026); North Korean hackers: Security researcher uncovers worldwide attacks (heise online, Aug 6, 2026); Researcher Finds 1,640 Companies Breached by North Korean Hackers (Omega Technology Solutions Group, Aug 5, 2026)