Des informaticiens nord-coréens ciblent le Royaume-Uni : que faire ?

By Phil Muncaster • 9 juin 2026 • 8 min de lecture

Jusqu'à récemment, on considérait généralement que le risque interne se limitait à des incidents isolés. Dangereux, certes, mais généralement imputable à la négligence d'employés ou à quelques individus isolés, motivés par l'appât du gain ou la vengeance. La découverte d'une campagne menée pendant des années par la Corée du Nord pour infiltrer des entreprises occidentales a bouleversé ces idées reçues. Mauvaise nouvelle pour les RSSI britanniques : d'après Google, ce problème ne concerne plus uniquement les entreprises américaines.

Face à la montée en puissance des menaces internes à Pyongyang, comment les responsables de la sécurité et leurs homologues des RH peuvent-ils débusquer les intrus et empêcher la prochaine vague d'espions de s'infiltrer dans les services informatiques internes ?

Les dernières TTP

Selon MicrosoftLe système nord-coréen de « travailleurs à distance frauduleux » est en vigueur depuis au moins 2020, ayant permis à des milliers d'informaticiens d'occuper des postes au sein d'organisations occidentales. actes d'accusation des espions nord-coréens et des locaux animateurs Ces révélations ont permis de dévoiler l'ampleur de l'opération. D'après Jamie Collier, conseiller principal du Google Threat Intelligence Group (GTIG), celle-ci semble désormais s'étendre à l'Europe.

« L’ampleur de la menace que représentent les informaticiens nord-coréens ne cesse de croître, et les organisations britanniques sont pleinement visées. Ce qui a commencé comme une opération principalement axée sur les États-Unis s’est transformé en une campagne mondiale, l’Europe étant désormais une cible clé », explique-t-il à IO (anciennement ISMS.online).

« Dans un cas précis, un informaticien nord-coréen a eu recours à des intermédiaires aux États-Unis et au Royaume-Uni. Un ordinateur portable professionnel, destiné à être utilisé à New York, s'est avéré fonctionnel à Londres. Cela révèle une chaîne logistique complexe, où les appareils et les accès sont acheminés par des intermédiaires de confiance, permettant ainsi aux agents de dissimuler leur véritable identité et leur localisation. »

Ces travailleurs créent, louent ou achètent des identités correspondant à la géolocalisation de l'organisation ciblée, et ouvrent de nouveaux comptes de messagerie, de réseaux sociaux et de compte GitHub pour se forger une image professionnelle convaincante. Leurs complices valident ces identités frauduleuses et leur fournissent des appareils de l'entreprise ainsi que des parcs informatiques d'ordinateurs portables. Les travailleurs utilisent des outils de gestion à distance pour se connecter à ces parcs informatiques, situés à proximité de leur lieu de travail, tandis que des VPN, des serveurs privés virtuels (VPS) et des services proxy masquent leur véritable identité. Des images et vidéos truquées (deepfakes) et des logiciels de modification vocale, basés sur l'intelligence artificielle, sont également utilisés pour tromper les employeurs.

Un rapport récent Une enquête conjointe de Flare et d'IBM X-Force révèle de nouveaux détails sur la sophistication de ces stratagèmes. Elle met en lumière l'utilisation de plateformes de gestion informatique nord-coréennes telles que « RB Site » et « NetkeyRegister » pour assurer un fonctionnement administratif structuré permettant le suivi des tâches, la gestion des appareils et la distribution des mises à jour logicielles. Elle révèle également l'utilisation d'IP Messenger pour les communications clandestines.

La tâche des équipes de sécurité et des ressources humaines est compliquée par le fait que, dans la plupart des cas, l'objectif de la campagne n'est pas nécessairement le vol de données ou l'extorsion, mais simplement de générer des fonds pour le régime de Kim Jong-un. Flare estime générer jusqu'à 500 millions de dollars par an, certains employés cumulant plusieurs emplois.

« Dans certains cas, ils ne se contentent pas d'obtenir des postes, ils y excellent », explique Collier de Google. « Lorsque nous avons informé un client qu'un employé était un agent nord-coréen, la réponse a été : "Êtes-vous absolument sûrs ? Car c'est l'un de nos meilleurs employés." »

Dompter la menace interne

Même si les informaticiens nord-coréens ne volent pas activement de données ni n'extorquent leurs employeurs, leur simple présence représente un risque majeur en matière de conformité.

« L’avis de septembre 2024 du Bureau de mise en œuvre des sanctions financières ne laisse que peu de place à l’ambiguïté. Rémunérer un informaticien nord-coréen, même sans le savoir, peut constituer une violation des sanctions financières britanniques et onusiennes. Les sanctions sont civiles (responsabilité objective, l’ignorance n’étant donc pas une excuse) ou pénales (jusqu’à sept ans d’emprisonnement) », explique Adrian Cheek, chercheur principal en cybercriminalité chez Flare.

L’OFSI a déclaré avoir infligé environ 500 000 £ d’amendes pour non-respect de la réglementation en 2024-2025 et a signé la même année un nouveau protocole d’accord avec le Trésor américain, ce qui renforce la coopération transatlantique dans ces affaires. Si votre entreprise opère également aux États-Unis, vous êtes exposé à des risques des deux côtés et le risque d’atteinte à votre réputation est évident.

Cheek décrit plusieurs mesures que les organisations devraient envisager pour atténuer la menace. Celles-ci devraient commencer par la refonte du processus de recrutement, car c'est ainsi que la plupart des dommages peuvent être évités.

« Commencez par les bases : vérifiez l’identité à l’aide d’une pièce d’identité officielle, confirmez le droit au travail et vérifiez de manière indépendante l’historique professionnel et les références. Ne vous contentez pas d’appeler le numéro figurant sur le CV », explique-t-il à IO (anciennement ISMS.online). « Pour tout ce qui touche aux systèmes ou aux données sensibles, approfondissez vos recherches. La vérification de niveau BS 7858 comprend un historique professionnel vérifié sur cinq ans sans interruption inexpliquée, la vérification des sanctions et des listes de surveillance, ainsi que des contrôles d’intégrité financière lorsque la loi le permet. »

L'étape suivante devrait consister à améliorer la sélection des candidats lors des entretiens.

« C’est un point souvent négligé dans les guides. Les entretiens techniques classiques sont extrêmement faciles à réussir grâce à l’IA qui tourne sur un second écran, ce que font précisément ces agents. Il faut concevoir des entretiens qui perturbent ce processus », explique Cheek. « Introduisez une fausse piste et observez la réaction. Posez des questions qui appellent un véritable avis, et non une réponse apprise par cœur. Évitez toute question à laquelle un candidat pourrait répondre en la recopiant d’un manuel. »

Les recruteurs devraient également exiger le partage d'écran en direct et varier les formats d'entretien entre les tours afin de déjouer les candidats potentiels. « Si leur aisance chute brutalement lorsqu'ils ne peuvent pas se préparer et qu'ils ne bénéficient pas de l'aide d'une IA, c'est un indicateur important », explique Cheek.

Pour les postes donnant accès à des données sensibles, au moins une réunion en personne est indispensable.

Enfin, les organisations peuvent atténuer le risque d'avoir un potentiel travailleur nord-coréen parmi elles en appliquant le principe du moindre privilège, en désactivant les comptes d'administrateur locaux et en limitant la possibilité d'installer des outils de bureau à distance, conclut Cheek.

« Ne donnez pas à un nouveau prestataire l’accès à tous les dépôts et outils internes dès le premier jour. Accordez-lui les accès progressivement et vérifiez-les régulièrement », explique-t-il. « Et si vous ne pouvez pas lui fournir un appareil géré, assurez-vous qu’un système de journalisation et de visibilité des terminaux équivalent soit en place. »

Collaboration avec les RH

Selon Adenike Cosgrove, stratège en cybersécurité chez Mimecast, bon nombre de ces initiatives nécessiteront que les équipes de sécurité établissent des liens avec leurs homologues des ressources humaines.

« La collaboration doit être intégrée au processus de recrutement de manière systématique, et non considérée comme une solution de dernier recours », explique-t-elle à IO. « Les RH sont souvent en première ligne. Elles repèrent les premiers signaux d'alerte : des candidats qui éludent les questions d'identité, rechignent à la vérification ou ont un comportement incohérent. Sans un canal clair pour signaler ces problèmes à la sécurité, ces signaux disparaissent. »

Il devrait en être de même pour la procédure de départ, afin de garantir que l'accès au réseau soit immédiatement supprimé après la cessation d'emploi d'un employé malveillant présumé, explique-t-elle.

« Rien de tout cela ne fonctionne sans accord préalable : sur ce que les RH signalent à la sécurité, sur ce que la sécurité communique en retour et sur la manière dont les décisions sont prises lorsque la situation est ambiguë », ajoute Cosgrove.

« Le risque interne est avant tout un problème humain. Les équipes les plus proches des employés et celles qui gèrent les données doivent appliquer les mêmes principes. Si les RH et la sécurité ne fonctionnent pas comme un seul système, cette menace s'infiltre sans difficulté. »

Le rôle des cadres de bonnes pratiques

La bonne nouvelle, c'est que, même si des normes comme l'ISO 27001 peuvent sembler « déconnectées » de menaces comme celle-ci, « en pratique, elles sont plus pertinentes que jamais », affirme Cosgrove.

« La norme ISO 27001 apporte une structure », ajoute-t-elle. « Elle impose une cohérence entre le contrôle des ressources humaines, les contrôles d’accès et la supervision de la sécurité, là où se situe précisément cette menace. »

Flare's Cheek va plus loin. Il cite la norme NIST CSF 2.0 comme pertinente pour les multinationales ou les entreprises travaillant avec des clients américains. Il mentionne également Cyber Essentials comme une norme de base, mais avec des exigences utiles en matière de contrôle d'accès. Cependant, selon lui, la norme ISO 27001 est la plus complète pour faire face à la menace nord-coréenne.

Cheek cite les éléments suivants comme étant utiles et pertinents ici :

L’annexe A 6.1 (Vérification des antécédents) exige des vérifications d’antécédents proportionnées au niveau de risque du poste, ainsi qu’une vérification continue.
L’annexe A 5.16 (Gestion de l’identité) exige une identification unique de l’utilisateur et interdit les comptes partagés.
Les annexes A 6.5 et 6.6, qui exigent que les obligations de confidentialité survivent à la résiliation du contrat et que l'accès soit immédiatement révoqué, atténuent les risques d'extorsion.
L’annexe A 6.7 (Télétravail) traite des risques liés aux appareils non gérés vérifiant physiquement la présence des télétravailleurs.

« La véritable valeur de la norme ISO 27001 réside toutefois dans son impact culturel », conclut-il. « Depuis plus d’un an, les chercheurs affirment que la gestion des risques internes doit être une responsabilité partagée entre les services de sécurité, les RH, le service juridique, l’audit et la finance. La norme ISO 27001 fournit le cadre nécessaire pour y parvenir. »