Des informaticiens nord-coréens opèrent clandestinement dans des entreprises majeures. Une menace discrète mais réelle au cœur du Fortune 500.
100 millions de dollars. C’est ce que rapporteraient chaque année les activités IT de travailleurs nord-coréens infiltrés dans des multinationales, selon Mandiant. La question qui dérange : combien d’entreprises ignorent encore héberger ces agents dormants dans leurs équipes techniques ?
Une présence massive et sous-estimée
La menace dépasse la fiction. Lors du RSAC 2025, Mandiant et Google ont révélé que des centaines d’entreprises du Fortune 500 avaient embauché, souvent sans le savoir, des informaticiens nord-coréens. Ces derniers postulent à des postes techniques distants, utilisent des identités falsifiées, et empochent leurs salaires pour financer le régime de Pyongyang.
Selon Charles Carmakal (Mandiant), presque tous les CISO rencontrés ont découvert après coup avoir embauché au moins un travailleur nord-coréen. Certains cas évoquent plusieurs dizaines d’agents dans la même entreprise. Chez Google, même si aucun recrutement n’a été confirmé, des candidatures suspectes ont été détectées.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Des méthodes toujours plus sophistiquées
Les agents utilisent désormais l’intelligence artificielle pour générer des profils LinkedIn convaincants et passer les tests techniques en équipe. Pendant une interview, un interlocuteur visible répond aux questions, pendant que d’autres résolvent les exercices en arrière-plan. Cette tactique a permis à plusieurs d’entre eux de briller lors du processus de sélection.
Pour contourner les vérifications, ils exploitent également des deepfakes, simulent une localisation américaine via des fermes de laptops aux États-Unis et manipulent l’envoi du matériel professionnel vers des adresses relais. L’un de ces réseaux a été démantelé à Nashville par le FBI.
Des objectifs multiples, un risque croissant
Le but premier reste économique : transférer des salaires vers la Corée du Nord. Mais ce levier financier s’accompagne d’un accès direct aux systèmes internes. Certains agents exfiltrent lentement des données sensibles pour éviter les détections. D’autres laissent des logiciels dormants pour d’éventuelles campagnes d’extorsion.
Depuis que certaines entreprises les identifient et les évincent, les représailles se multiplient : menaces de fuite de données, demandes de rançons, ou prise de contact sous de nouvelles identités pour faire chanter l’ex-employeur.
Les connexions techniques entre ces travailleurs et des adresses IP déjà utilisées par le Bureau général de reconnaissance nord-coréen, responsable d’attaques destructrices, laissent craindre un risque bien plus élevé : celui d’un sabotage volontaire, voire d’un usage stratégique de l’accès à des infrastructures critiques.
Comment se défendre ?
L’alerte lancée par les experts de Google et CrowdStrike est claire : sans détection active, l’infiltration reste invisible. Il est essentiel de renforcer les processus de recrutement technique, d’organiser les tests dans des environnements contrôlés, et de privilégier les vérifications d’identité en personne.
Des signaux faibles doivent alerter : un excellent candidat techniquement, mais dont la voix, la langue ou l’attitude ne correspondent pas au profil présenté. Une simple question décalée – comme celle évoquée à la RSA : « Quelle est la corpulence de Kim Jong-un ? » – suffit parfois à faire fuir l’interlocuteur.
Les entreprises doivent aussi surveiller les mouvements internes suspects, cartographier les accès des comptes privilégiés, et instaurer une culture de vigilance au sein des équipes RH et techniques.
La menace n’est plus théorique. Elle est ancrée, persistante et évolutive. Et elle montre à quel point la sécurité organisationnelle passe aussi par la cybersécurité humaine.
Pour en savoir plus
Des agents nord-coréens ont infiltré des centaines d’entreprises du Fortune 500
SAN FRANCISCO — Les ressortissants nord-coréens ont infiltré les rangs des employés des plus grandes entreprises mondiales plus qu’on ne le pensait auparavant, maintenant une menace omniprésente et potentiellement croissante contre les infrastructures informatiques et les données sensibles.
Il y a une question qui laisse perplexe les faux travailleurs nord-coréens
Le RSAC craint qu’une nouvelle recrue ne soit un complice nord-coréen cherchant à voler de la propriété intellectuelle et à attaquer une organisation avec un logiciel malveillant ? Il existe une réponse, du moins pour le moment. Selon Adam Meyers, vice-président principal de CrowdStrike…
(Re)découvrez également:
Les espions nord-coréens menacent maintenant les entreprises européennes
Après les Etats-Unis, des travailleurs informatiques nord-coréens infiltrent maintenant des entreprises européennes.
Attention aux faux recruteurs nord-coréens sur LinkedIn
Attention aux fausses offres d’emploi sur LinkedIn : les hackers nord-coréens ciblent les professionnels !
Serveurs, API, outils de veille.
DCOD est un projet indépendant sans revenu. L'infra a un coût. Participez aux frais.
