Une enquête conjointe d'IBM X-Force et de Flare Research a mis au jour une opération nord-coréenne sophistiquée qui utilise de fausses entreprises, des identités fabriquées et des canaux de recrutement à distance pour infiltrer des travailleurs informatiques au sein d'entreprises occidentales. Ces résultats s'ajoutent à des années d'avertissements émanant des agences américaines — notamment le FBI, le Département d'État et le Département du Trésor, qui ont publié plusieurs avis conjoints depuis 2022 alertant les entreprises sur la présence de travailleurs informatiques nord-coréens se faisant passer pour des développeurs indépendants afin de générer des revenus pour le régime sous sanctions.

Selon les chercheurs, le réseau au sens large pourrait impliquer jusqu'à 100 000 travailleurs informatiques nord-coréens déployés dans environ 40 pays, générant une somme estimée à 500 millions de dollars par an pour le régime nord-coréen. L'opération structurée s'appuie sur des recruteurs, des facilitateurs et des collaborateurs occidentaux travaillant de concert pour placer des travailleurs dans des entreprises légitimes.

Le fonctionnement de la fausse startup

Au cœur du dispositif de recrutement se trouvait une entreprise présentée comme étant en mode furtif, dénommée C Digital LLC. Les recruteurs informaient les candidats que la startup en était à ses débuts, avec une présence publique minimale. Cependant, les candidats n'étaient pas engagés pour développer un véritable produit technologique. Au lieu de cela, les recruteurs les guidaient pour postuler à des postes dans des entreprises occidentales établies, en utilisant fréquemment des identités basées aux États-Unis.

Les enregistrements d'entretiens examinés par les chercheurs auraient capté des moments de confusion parmi les candidats lorsque les recruteurs leur demandaient d'adopter des noms à consonance plus américaine. Certains candidats semblaient genuinely ignorer tout lien avec la Corée du Nord, ce qui suggère que certains travailleurs auraient pu croire qu'ils participaient à un arrangement de recrutement peu conventionnel plutôt qu'à un réseau de fraude dirigé par un État.

Implications pour le secteur des cryptomonnaies

Ce dispositif revêt une importance particulière pour les entreprises de cryptomonnaies et de blockchain, qui dépendent régulièrement de développeurs à distance, de prestataires indépendants et de plateformes mondiales de freelance. Des agents nord-coréens ont précédemment infiltré des projets blockchain et crypto en utilisant des identités volées ou fabriquées. Le motif de revenu est particulièrement aigu pour Pyongyang, qui fait face à de strictes sanctions internationales limitant son accès au système financier mondial — ce qui rend les cryptomonnaies et les salaires illicitement perçus des canaux particulièrement précieux pour le régime.

Une fois infiltrés, les travailleurs peuvent percevoir des salaires légitimes tout en obtenant simultanément l'accès à du code source propriétaire, à des systèmes internes et à des données d'entreprise sensibles. Les autorités américaines ont, par ailleurs, relié des adresses de cryptomonnaies à des individus facilitant la fraude par des travailleurs informatiques nord-coréens, et des procureurs fédéraux ont engagé des poursuites pénales contre des facilitateurs accusés d'avoir aidé des travailleurs de la RPDC à obtenir des emplois à distance dans des entreprises américaines.

Pour les startups crypto, l'enquête met en lumière un paysage de menaces en pleine évolution. Une intrusion sophistiquée peut ne plus avoir pour point de départ un logiciel malveillant ou un portefeuille compromis — elle peut commencer par une candidature à un emploi ordinaire. Les avis du gouvernement américain ont recommandé un renforcement de la diligence raisonnable lors du recrutement à distance, incluant la vérification par vidéo en direct, l'examen minutieux des historiques d'emploi et la vigilance face aux signaux d'alerte tels que les travailleurs demandant à acheminer leur activité via des appareils tiers ou des services proxy.