Le groupe de menaces Kimsuky, lié à la Corée du Nord, intègre l'intelligence artificielle et les grands modèles de langage dans ses flux de cyberattaques, améliorant considérablement la vitesse, l'échelle et la crédibilité des opérations de phishing et d'ingénierie sociale dirigées contre les organisations de cryptomonnaie et financières.

Cette évolution marque un tournant notable pour cet acteur d'espionnage lié à un État, qui s'oriente vers des outils assistés par l'IA conçus pour compromettre des cibles financières de grande valeur.

L'intégration de l'IA en pratique

Kimsuky, également suivi par les chercheurs sous des noms tels que Thallium et Velvet Chollima, est un groupe de cyberespionnage lié à la Corée du Nord, actif depuis au moins 2012, avec un historique bien documenté de phishing ciblé et de vol d'identifiants contre des think tanks, des institutions académiques, des organismes gouvernementaux et des organisations du secteur financier. Des chercheurs en sécurité de Genians ont analysé la manière dont le groupe intègre des outils d'IA générative dans ses opérations.

En termes opérationnels, l'intégration de l'IA signifie utiliser des modèles de langage pour rédiger des textes de phishing, traduire des leurres dans la langue cible de manière fluide et générer des contenus d'usurpation d'identité convaincants. Ces tâches nécessitaient auparavant un effort manuel substantiel et produisaient fréquemment des erreurs grammaticales sur lesquelles les défenseurs s'appuyaient pour identifier les communications frauduleuses.

Les autorités américaines ont, par ailleurs, signalé une activité cybernétique liée à la Corée du Nord visant des cibles financières et d'actifs virtuels, via un avis conjoint de cybersécurité publié par l'Internet Crime Complaint Center (IC3).

Pourquoi la cryptomonnaie et la finance sont des cibles de choix

Les organisations de cryptomonnaie et de finance combinent des actifs de grande valeur, rapidement déplaçables, avec des flux de travail riches en données d'identité. Cette combinaison en fait une cible naturelle pour un acteur axé sur le vol d'identifiants et l'accès aux systèmes — un schéma cohérent avec des incidents antérieurs attribués à des attaquants nord-coréens contre des plateformes de cryptomonnaies. Un groupe d'experts des Nations Unies a précédemment rapporté que des acteurs nord-coréens ont volé des centaines de millions de dollars en actifs numériques, des fonds utilisés, selon les rapports, pour compenser les sanctions pesant sur l'économie du pays.

L'IA réduit la friction pour les attaquants en permettant à un seul opérateur de produire davantage de messages, dans davantage de langues, avec une qualité apparente supérieure. Cette scalabilité peut augmenter les taux de succès des campagnes d'ingénierie sociale sans nécessiter de personnel supplémentaire. Microsoft et OpenAI ont documenté séparément des cas d'acteurs liés à des États expérimentant les grands modèles de langage pour la recherche, la traduction et la génération de contenu, situant l'adoption par Kimsuky dans une tendance plus large d'utilisation de l'IA par des adversaires.

Les rôles les plus exposés

Les postes les plus exposés à ces campagnes améliorées par l'IA sont ceux comportant un accès privilégié ou des responsabilités de communication externe. Il s'agit notamment des dirigeants, du personnel de trésorerie et des paiements, des équipes de conformité et du personnel des relations investisseurs. La compromission de l'un de ces rôles peut entraîner un vol d'identifiants, un accès aux portefeuilles ou une fraude de paiement.

La tactique fait écho à d'autres campagnes récentes d'ingénierie sociale contre les utilisateurs de cryptomonnaies, notamment des rapports selon lesquels un autre groupe lié à la Corée du Nord a utilisé de fausses réunions Zoom et Teams pour cibler des utilisateurs de cryptomonnaies. L'IA rend ces approches moins coûteuses et plus faciles à généraliser.

Recommandations défensives

Les défenseurs doivent considérer les messages entrants comme suspects, quelle que soit la qualité de la langue, car des leurres fluides et bien formatés ne constituent plus un gage de légitimité. Les mesures d'atténuation recommandées comprennent l'authentification multifacteur résistante au phishing, la vérification hors bande des mouvements de fonds et un contrôle plus strict des comptes privilégiés.

L'utilisation par la Corée du Nord du système financier pour générer des revenus illicites a suscité des mesures américaines à plusieurs reprises, notamment des sanctions du Trésor liées à l'activité cybernétique et aux actifs virtuels du pays.