Les nouvelles méthodes des hackers nord-coréens : payer 500 dollars pour un entretien, puis se faire remplacer physiquement au travail

Original｜Odaily Planet Daily（ @OdailyChina ）

Auteur｜Wenser（ @wenser 2010 ）

Vous vous souvenez de ce hacker nord-coréen qui a accédé au portefeuille MetaMask par le biais de l'externalisation ?
Et de ce hacker nord-coréen qui a été exposé par une fausse entreprise DeFi ?

Tout comme les entreprises de sécurité qui pratiquent la pêche active, les hackers nord-coréens améliorent également leurs "méthodes d'attaque", passant des vulnérabilités techniques aux attaques d'ingénierie sociale, puis à l'intégration dans des projets externalisés et à l'embauche à distance dans des projets cryptographiques. Récemment, leurs méthodes d'infiltration ont pris une nouvelle tournure : ils engagent d'abord des personnes pour passer des entretiens dans des entreprises de cryptographie, puis se substituent à elles pour entrer, se cachent et attendent le bon moment pour agir, afin de voler des actifs cryptographiques et des informations sensibles par le biais d'attaques techniques internes.

Un mois plus tard, la guerre entre les entreprises de sécurité et les hackers nord-coréens a connu de nouveaux développements, et un nouveau type d'escroquerie a émergé.

"Sauver le pays par des moyens détournés" : les hackers engagent des personnes pour passer des entretiens, puis prennent le poste, uniquement pour "servir leur patrie"

Commençons par examiner les "réalisations" des hackers nord-coréens : les données de la société de sécurité CrowdStrike montrent qu'en 2025, les hackers et acteurs de menaces liés à l'État nord-coréen ont causé des pertes en cryptomonnaies de plus de 2 milliards de dollars, soit une augmentation de 51 % par rapport à l'année précédente ; la Banque centrale de Corée a estimé qu'en dépit des sanctions internationales, le taux de croissance du PIB de la Corée du Nord en 2025 atteindrait encore 3,5 %.

Il est désormais certain que les hackers nord-coréens, en tant que "équipe nationale", contribuent également de manière significative à la croissance de leur économie.

Le 31 juillet de cette année, le Département d'État américain et le FBI, en collaboration avec 11 pays, dont le Japon, la Corée du Sud, l'Australie, le Canada, la France, l'Allemagne, l'Italie, les Pays-Bas, la Nouvelle-Zélande et le Royaume-Uni, ont publié un rapport de sécurité intitulé "Alerte concernant les travailleurs informatiques nord-coréens".

Le rapport contient une quantité d'informations considérable, avec des points clés tels que :
Tout d'abord, la Corée du Nord s'appuie sur un réseau de développeurs techniques déployés à l'étranger pour mener des actions, en envoyant ces techniciens obtenir de fausses identités, travailler à distance et gagner de l'argent, puis transférer les revenus vers les comptes des agences gouvernementales nord-coréennes. Les fonds sont finalement utilisés pour le développement et la promotion des programmes d'armement nucléaire et de missiles balistiques de la Corée du Nord.

Deuxièmement, en ce qui concerne le contenu du travail des hackers nord-coréens, ces développeurs techniques obtiennent généralement des emplois et des revenus en utilisant l'identité de citoyens d'autres pays sur des plateformes d'emploi, d'approvisionnement et de sous-traitance opérant dans des entreprises privées à l'étranger.

Troisièmement, en plus de gagner des salaires normaux, les techniciens nord-coréens représentent une menace interne élevée pour les informations commerciales et les actifs commerciaux des entreprises qui les emploient. Une partie importante d'entre eux profite de cette opportunité pour participer au vol de données, au vol de cryptomonnaies et au vol d'informations sensibles.

Enfin, en ce qui concerne les méthodes d'exécution, les préparatifs et les techniques des hackers nord-coréens deviennent de plus en plus complexes, y compris l'utilisation d'outils tels que des modèles et des applications d'IA pour créer de fausses identités et mener des activités illégales à l'échelle mondiale.

Il convient de noter que le point d'information le plus important mentionné dans ce rapport est qu'après les "entretiens en personne" précédents, les hackers nord-coréens ont récemment mis à jour leur "flux de travail" :

• Ils recrutent souvent à l'avance des travailleurs techniques de pays tiers (comme l'Iran, le Liban, etc.) via des sites de recrutement tels que LinkedIn ;
• Ensuite, les hackers nord-coréens demandent à certains développeurs techniques de travailler à temps partiel en tant qu'"assistants d'entretien", en les rémunérant avec 500 dollars par mois en cryptomonnaie pour les aider à entrer dans l'entreprise cible.
• Enfin, les hackers nord-coréens se substituent à eux, rejoignant l'entreprise cible en tant que membre de l'équipe, réalisant ainsi une infiltration technique, tout en gagnant le salaire correspondant au poste, tout en attendant de voler des informations sensibles, des données, des actifs cryptographiques et des codes techniques.

Sans aucun doute, dans cette guerre de sécurité en constante évolution, les hackers nord-coréens améliorent également progressivement leur "SOP (flux de travail)", et leur objectif final est, bien sûr, de renvoyer les fonds dans leur pays.

Liste de vérification de l'infiltration des hackers nord-coréens : des informations personnelles des employés aux habitudes d'expression quotidiennes

Actuellement, les méthodes d'opération des hackers nord-coréens sont difficiles à détecter, mais elles restent traçables. Voici quelques signaux d'alerte que certaines entreprises doivent surveiller et vérifier :
Pour les entreprises opérant des plateformes en ligne, il est particulièrement important de prêter attention aux aspects suivants :

• Les employés modifient fréquemment leurs informations d'inscription (nom de compte, coordonnées, compte bancaire de réception, etc.).
• Le nom du titulaire du document d'identité de l'employé ne correspond pas au nom du compte de paiement enregistré.
• Plusieurs comptes de réception créés avec le même document d'identité.
• Les documents d'identité semblent falsifiés ou générés, modifiés par des logiciels d'édition d'images ou des outils d'IA.
• Plusieurs comptes techniques émettent des demandes d'accès depuis la même adresse IP.
• Un seul compte reçoit des demandes d'accès depuis plusieurs adresses IP en peu de temps.
• Un compte reste anormalement connecté pendant une longue période.
• Le nombre total d'heures de travail ou d'autres indicateurs de travail sont anormaux (comme un temps en ligne excessif, une efficacité de travail trop élevée, une charge de travail trop importante).
• Les utilisateurs de sites de recrutement rédigent de faux avis pour améliorer les évaluations du site de travail, etc.

Pour les entreprises recrutant des employés ou menant des entretiens, prêter attention aux détails suivants peut aider à éviter l'infiltration interne des hackers nord-coréens :

• Les profils des candidats contiennent des erreurs ou des expressions peu naturelles (suspectées d'être traduites par machine), affirmant qu'ils ne maîtrisent pas bien la langue de leur pays d'identité (compte tenu de la popularité des services de traduction par IA, il faut porter une attention particulière à leur expression linguistique).
• Détails falsifiés exposés lors de vidéoconférences, comme des photos ne correspondant pas aux informations d'identité ; la vidéo de la réunion est générée par IA ou en coopération avec un tiers, l'expression linguistique et les gestes sont peu naturels.
• Les candidats refusent de participer à des vidéoconférences, refusent de montrer leur visage.
• Les offres de rémunération sont inférieures aux prix du marché normaux.
• Montrant que leur compte technique personnel est opéré par plusieurs personnes (ce qui indique généralement que ces activités de hacking se déroulent souvent en équipe, et que les véritables interlocuteurs peuvent changer avec le temps).
• Exigent d'être payés en cryptomonnaie, refusent de fournir des informations complètes sur les comptes bancaires et de paiement.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.