« Timeo Danaos et dona ferentes » : je crains les Grecs, même quand ils apportent des présents. Le cheval de Troie version 2026 ne ressemble plus à un cadeau en bois. Il prend la forme d’un CV impeccable et d’un entretien d’embauche à distance. Une recherche présentée à la conférence Black Hat début août détaille comment des hackers nord-coréens ont infiltré des systèmes liés à 1640 entreprises réparties dans 57 pays, avec un objectif limpide. Mettre la main sur des clés de portefeuilles crypto et de l’infrastructure blockchain.
- Des hackers nord-coréens ont infiltré des systèmes de 1640 entreprises dans 57 pays pour voler des clés de portefeuilles crypto et l’infrastructure blockchain.
- Des fausses entreprises, comme Softglide LLC et Blocknovas LLC, ont été créées aux États-Unis pour faciliter ces infiltrations, en exploitant des faux CV et des entretiens truqués.
Un mode opératoire rodé, des dégâts bien réels
Sur les 1640 entreprises touchées, entre 700 et 800 ont subi des intrusions sérieuses. Les attaquants ont obtenu un accès étendu aux serveurs d’entreprise, à l’infrastructure cloud, aux identifiants de développeurs et, in fine, aux actifs numériques eux-mêmes. Le chercheur Vangelis Stykas, directeur technique chez Kumio, a passé 22 mois à infiltrer les systèmes de commande et de contrôle utilisés par ces hackers pour documenter la méthode.
Elle repose sur la tromperie pure. Des profils de faux employés générés par intelligence artificielle, des photos d’inconnus volées pour crédibiliser l’histoire, puis des logiciels malveillants comme OtterCookie et InvisibleFerret glissés dans le processus d’embauche pour siphonner mots de passe et données du presse-papiers. Le Journal du Coin avait déjà documenté cette mécanique quand le groupe Lazarus, lié à Pyongyang, créait de fausses entreprises pour piéger des développeurs.
Des sociétés-écrans jusque sur le sol américain
L’aplomb de l’opération frappe autant que son ampleur. Deux fausses entreprises, Softglide LLC et Blocknovas LLC, ont été enregistrées directement aux États-Unis, l’une dans l’État de New York, l’autre au Nouveau-Mexique, avec de fausses adresses et de faux noms de dirigeants. Pas besoin de forcer une porte quand on peut simplement en ouvrir une nouvelle, sous une identité fabriquée de toutes pièces.
L’épisode confirme une tendance documentée depuis des années. Consensys avait déjà découvert qu’il avait, sans le savoir, embauché un développeur nord-coréen sur MetaMask. Le G7 avait même inscrit la menace des hackers nord-coréens à l’ordre du jour d’un sommet, tant les sommes détournées pèsent désormais dans le financement du régime de Pyongyang. Face à un secteur qui recrute massivement en télétravail et vérifie rarement les identités en personne, chaque poste de développeur crypto ouvert reste une porte potentiellement grande ouverte.
L’article La Corée du Nord a piraté 1640 entreprises via de fausses offres d’emploi est apparu en premier sur Journal du Coin.
