Hackers nord-coréens infiltrent plus de 1600 entreprises

Des hackers nord-coréens ont compromis 1 640 entreprises réparties dans 57 pays, selon les conclusions d’un chercheur en cybersécurité grec qui a passé 22 mois infiltré dans leurs serveurs de commande et de contrôle. Entre 700 et 800 de ces organisations auraient subi des intrusions graves, avec un accès aux serveurs, aux environnements AWS et aux clés de portefeuilles crypto.

Au programme

• 1 640 organisations infiltrées dans 57 pays grâce à une simple offre d’emploi falsifiée
• 2,02 milliards de dollars de crypto-actifs volés par les groupes nord-coréens en 2025, un record en hausse de 51 %
• Moins de 3 % des incidents de cybersécurité ont concentré 76 % des pertes financières en 2026

Le chercheur Vangelis Stykas, directeur technique de la société de cybersécurité Kumio, a inversé le rapport de force habituel en gagnant les serveurs qui pilotent les malwares des groupes nord-coréens. Il en a extrait environ cinq téraoctets de données comprenant du code source privé, des clés de développeurs ainsi que les échanges internes des hackers sur Slack et Discord. Cette infiltration a permis un décompte précis depuis l’intérieur, quand la plupart des rapports estiment les victimes de manière externe.

Quel est le mode opératoire utilisé par ces hackers ?

L’accès initial ne repose pas sur une faille logicielle mais sur une offre d’emploi. Les groupes ciblent des développeurs en leur proposant des postes seniors bien rémunérés. Une fois l’intérêt éveillé, ils demandent un test de codage à réaliser à domicile. Ce test installe un malware.

Les chercheurs de Palo Alto Networks ont baptisé cette tactique « Contagious Interview » dès novembre 2023. Depuis, cinq sociétés de cybersécurité suivent le même groupe sous six appellations distinctes. En mars 2026, Microsoft a publié sa propre analyse, retraçant la chaîne jusqu’à de faux packages de code hébergés sur GitHub, GitLab et Bitbucket. L’ouverture d’un de ces fichiers dans Visual Studio Code déclenche une demande de confiance. Une fois approuvée, l’éditeur exécute le code malveillant.

« En intégrant la diffusion de malware ciblé directement dans les outils d’entretien, les exercices de codage et les procédures d’évaluation auxquels les développeurs accordent une confiance intrinsèque, les acteurs de la menace exploitent la confiance que les candidats placent dans le processus de recrutement. » : Microsoft, mars 2026

Une fois installées, les portes dérobées recherchent des jetons API, identifiants cloud, clés de signature, wallets crypto et fichiers de gestionnaires de mots de passe. Ce mode opératoire, centré sur la cible humaine plutôt que logicielle, reste redoutablement efficace. En février 2024, Consensys avait déjà découvert un développeur nord-coréen infiltré dans son équipe MetaMask.

Pourquoi l’ampleur des dégâts est-elle si sous-estimée ?

Un sous-traitant peut détenir des identifiants encore actifs pour 30 entreprises différentes. Un seul poste de travail infecté ouvre jusqu’à trente accès, une cascade que Stykas a pu documenter de l’intérieur. L’exemple de l’hôpital pour enfants de Boston illustre ce phénomène : l’exposition provenait de l’appareil personnel d’un ancien sous-traitant.

Les groupes restent extrêmement disciplinés. Ils pouvaient consulter des dossiers médicaux ou des bases de données criminelles, mais ont systématiquement ignoré ces actifs pour se concentrer exclusivement sur les wallets crypto et les accès blockchain. Cette obsession a produit des résultats massifs : en 2025, les groupes liés à la Corée du Nord ont détourné 2,02 milliards de dollars d’actifs numériques, soit une hausse de 51 % en un an selon CrowdStrike.

L’indifférence des entreprises alertées aggrave le phénomène. La majorité n’a jamais répondu aux avertissements de Stykas. De nouvelles victimes continuent d’apparaître dans les données exfiltrées, poussant des initiatives comme Crypto ISAC à mutualiser les informations sur les menaces issues de la Corée du Nord.

Comment une seule technique a-t-elle produit 76 % des pertes crypto en 2026 ?

Le recrutement frauduleux reste le vecteur dominant. Deux attaques ont ainsi représenté 76 % des pertes crypto en 2026, alors qu’elles ne constituaient que 3 % des incidents. Le cumul des vols attribués à Pyongyang dépasse désormais les 6 milliards de dollars depuis 2017.

En avril, TRM Labs a relié le piratage de 285 millions de dollars sur Drift Protocol à des rencontres physiques entre intermédiaires nord-coréens et employés. L’approche humaine continue de surclasser les exploits purement techniques. Les groupes exploités, comme GOLDEN CHOLLIMA identifié par CrowdStrike, ciblent également les environnements cloud des fintechs par ce canal.

Pour réduire leur exposition, les entreprises cotées renforcent désormais leurs contrôles sur les sous-traitants et les identités numériques, tandis que les 10 plus grands détenteurs institutionnels de Bitcoin accentuent leur vigilance face à ces menaces. Le blanchiment via mixeurs et bridges prolonge ensuite la durée de vie des fonds volés, rendant la traque plus complexe.

Lecture CryptoActu L’infiltration de Stykas confirme un changement de paradigme : la menace nord-coréenne ne repose plus sur des exploits zero-day coûteux mais sur l’exploitation méthodique de la confiance humaine. Avec 5 téraoctets de données internes aux attaquants, la cybersécurité dispose désormais d’une cartographie précise pour contrer une machine de vol qui a franchi les 6 milliards de dollars de préjudice cumulé.

À retenir

L’opération d’infiltration de 22 mois menée par Vangelis Stykas révèle une menace nord-coréenne bien plus étendue que les estimations antérieures. La technique « Contagious Interview » reste le principal vecteur d’intrusion, exploitant la confiance des développeurs dans les processus de recrutement. Le silence persistant des organisations alertées aggrave un préjudice déjà supérieur à 6 milliards de dollars cumulés depuis 2017.

Questions fréquentes

Comment les hackers nord-coréens infiltrent-ils les entreprises ?

Les groupes utilisent principalement la technique « Contagious Interview », qui consiste à publier de fausses offres d’emploi pour développeurs. Les candidats doivent réaliser un test de codage à domicile qui installe un malware. Cette méthode a permis de compromettre 1 640 organisations réparties dans 57 pays.

Quel est le montant total volé par les hackers nord-coréens dans la crypto ?

Depuis 2017, les groupes liés à la Corée du Nord ont volé plus de 6 milliards de dollars d’actifs numériques, selon les estimations de CrowdStrike et TRM Labs. La seule année 2025 a concentré 2,02 milliards de dollars de pertes, soit une augmentation de 51 % par rapport à l’exercice précédent.

Pourquoi les entreprises tardent-elles à réagir face à ces intrusions ?

Le chercheur Vangelis Stykas rapporte que la majorité des organisations alertées n’ont jamais répondu à ses avertissements. Un sous-traitant infecté peut exposer jusqu’à 30 entreprises simultanément, amplifiant le préjudice. Les groupes nord-coréens restent disciplinés et ciblent exclusivement les wallets crypto et les accès blockchain.