Microsoft indique que trois groupes de pirates nord-coréens ont désormais intégré l'intelligence artificielle dans leurs opérations d'attaque quotidiennes, les plaçant au niveau le plus élevé de son échelle d'évaluation. Microsoft (NASDAQ : MSFT) évalue comme élevée l'utilisation globale de l'IA dans le piratage par la Corée du Nord.

Ces conclusions interviennent alors que la Corée du Nord est tenue pour responsable du plus grand vol de crypto-monnaies jamais enregistré — le piratage de Binance d'un montant de 6,36 milliards de dollars.

Comment les hackers nord-coréens utilisent l'IA

Dans un rapport publié jeudi, Microsoft Threat Intelligence a classé huit des groupes de pirates les plus actifs de Corée du Nord sur une échelle à quatre niveaux : émergent, en expansion, en accélération et opérationnalisé. « Opérationnalisé » — le niveau supérieur — signifie que l'IA est intégrée à l'ensemble des opérations d'un groupe.

Jade Sleet, Coral Sleet et Jasper Sleet se situent au niveau supérieur, tandis que Diamond Sleet, Onyx Sleet, Pearl Sleet et Sapphire Sleet sont au niveau « en accélération ». Emerald Sleet est au niveau « en expansion », et aucun groupe n'occupe actuellement le niveau « émergent ». Les noms « Sleet » sont les désignations de Microsoft pour les acteurs nord-coréens soutenus par l'État, dans le cadre d'un système de nommage propre à chaque éditeur, où d'autres sociétés de sécurité appliquent leurs propres appellations aux mêmes unités.

Microsoft a relié ces classements à des activités spécifiques. Jade Sleet a mené des campagnes via trois fausses entreprises en une seule semaine. Coral Sleet a trouvé un moyen d'implanter des logiciels malveillants dans des espaces de stockage de code privés. Onyx Sleet a généré des dizaines de messages de phishing personnalisés en quelques minutes. Diamond Sleet a utilisé l'IA pour créer de fausses personnalités et des sociétés écrans afin de tromper ses cibles. Un groupe aurait produit plus de 100 appâts PDF personnalisés visant des utilisateurs sud-coréens en août et septembre — un travail qui prenait autrefois plusieurs jours par cible.

Les groupes ont également recours à des outils de codage IA. Selon Microsoft, les opérateurs ont utilisé des outils tels que Cursor, un éditeur de code propulsé par l'IA très répandu, pour écrire du code, corriger des erreurs et concevoir des moyens d'échapper à la détection. Onyx Sleet et Pearl Sleet ont utilisé ARTEX, un outil open source qui teste les failles des systèmes, pouvant être connecté à un modèle d'IA et chargé de repérer des cibles de manière autonome. Storm-0940, un groupe lié à la Chine, aurait utilisé ARTEX contre ConnectWise.

Les analystes de Microsoft estiment que des humains restent principalement aux commandes des opérations de piratage nord-coréennes, l'IA servant à accélérer des tâches déjà réalisées par les groupes, telles que le repérage de cibles, la production de contenu de phishing et le maintien de fausses identités.

Microsoft a indiqué que les plateformes d'échange de crypto-monnaies et les entreprises financières comptent parmi les cibles les plus fréquentes des cyberopérations nord-coréennes, ces campagnes visant principalement à collecter des fonds pour le régime et à recueillir du renseignement. Cette orientation concorde avec les recherches de TRM Labs, qui ont révélé que la Corée du Nord a volé 76 % de la valeur totale des piratages de crypto en 2026 avec seulement deux attaques.

L'IA a-t-elle joué un rôle dans le piratage de Binance ?

À ce jour, aucune preuve n'établit que les attaquants derrière le piratage de Binance ont utilisé l'IA, et le rapport de Microsoft ne relie pas ce vol à une technique d'IA.

Le piratage de Binance, décrit comme le plus grand vol de crypto-monnaies jamais enregistré, s'est produit le 29 octobre. La société d'étude blockchain TRM Labs a indiqué qu'un attaquant avait déplacé environ 6,36 milliards de dollars hors des portefeuilles de Binance sur dix blockchains, l'essentiel en une vingtaine de minutes. Dans un article de blog, TRM a attribué l'attaque à TraderTraitor, qu'elle décrit comme l'unité de piratage d'élite de la Corée du Nord — un groupe que Microsoft suit sous le nom de Jade Sleet — et a déclaré avoir une grande confiance dans cette conclusion. Jonathan Levin, cofondateur de Chainalysis, est parvenu à la même conclusion sur X.

Le propre récit de Binance sur l'incident décrit comment les attaquants sont entrés, mais pas quels outils ils ont utilisés, selon le reportage de Cryptopolitan. La plateforme a d'abord indiqué que l'ordinateur portable d'un ingénieur piraté semblait être le point d'entrée, mais une enquête ultérieure a identifié d'« autres points de faille ».

Binance a gelé environ 3 milliards de dollars des fonds volés, suspendu les retraits et promis de couvrir les pertes des utilisateurs. Le récit de la plateforme restant muet sur les outils des attaquants, la question de savoir si l'IA a joué un rôle dans ce vol demeure ouverte à mesure que les enquêtes se poursuivent.