Un chercheur grec en cybersécurité aurait passé 22 mois à lintérieur des serveurs de hacking nord-coréens. Il en est ressorti avec une liste de victimes comprenant 1 640 organisations réparties dans 57 pays.
Vangelis Stykas est directeur technique chez la société de cybersécurité Kumio. Il a présenté ses conclusions cette semaine lors de la conférence Black Hat à Las Vegas.
Comment les chasseurs sont devenus les proies
Stykas a inversé lordre habituel. Il a réussi à pénétrer les serveurs de commande et de contrôle que les groupes utilisent pour piloter leurs malwares.
Sponsorisé
Sponsorisé
Dans certains cas, il est même tombé sur leurs ordinateurs personnels. Les hackers avaient eux-mêmes infecté ces machines.
Ensuite, il est simplement resté. Pendant près de deux ans, il les a observés travailler et a enregistré chaque nouvelle victime à mesure quelle apparaissait.
Il a récupéré environ cinq téraoctets de données, contenant des clés de développeurs, du code source privé, ainsi que les messages Slack et Discord échangés au sein des groupes.
Cet accès explique pourquoi le décompte est précis. La plupart des rapports sur les menaces estiment le nombre de victimes de manière externe.
Celui-ci les a comptabilisées à partir des propres fichiers des attaquants. Sur les 1 640 organisations, Stykas en estime entre 700 et 800 gravement compromises.
At Black Hat, security researcher @evstykas reveals what he found by lurking inside North Korean hackers infrastructure for nearly two years: They got footholds inside 1,640 networks, by his count. About half of those intrusions were serious breaches. https://t.co/lJt3ksAthx
— Andy Greenberg (@agreenberg at the other places) (@a_greenberg) August 6, 2026
Suivez-nous sur X pour recevoir toute lactualité en temps réel
Dans ces cas-là, les groupes disposaient dun accès root aux serveurs, de permissions root sur Amazon Web Services (AWS), ou de clés de wallets crypto.
Sponsorisé
Sponsorisé
Une offre demploi, le seul hack dont ils avaient besoin
Aucune faille logicielle n‘a ouvert ces portes. C’est une offre demploi qui la fait.
Des développeurs étaient approchés avec des postes seniors et une rémunération attractive. On leur demandait alors de réaliser un test de codage à domicile. Ce test installait un malware.
En novembre 2023, les chercheurs de Palo Alto Networks ont dénommé ce mode opératoire « Contagious Interview ». Depuis, cinq sociétés de sécurité suivent le même groupe sous six appellations différentes.
Microsoft a publié sa propre analyse en mars 2026. Elle retraçait la chaîne jusquà de faux packages de code hébergés sur GitHub, GitLab et Bitbucket.
Ouvrir un de ces fichiers dans Visual Studio Code déclenche une demande de confiance. Si l‘on approuve, l’éditeur exécute alors le code de lattaquant à leur place.
« En intégrant la diffusion de malware ciblé directement dans les outils d‘entretien, les exercices de codage et les procédures d’évaluation auxquels les développeurs accordent une confiance intrinsèque, les acteurs de la menace exploitent la confiance que les candidats placent dans le processus de recrutement », peut-on lire dans un extrait du blog sécurité de Microsoft publié en mars.
Les portes dérobées recherchent ensuite une courte liste précise : Microsoft cite des jetons API, identifiants cloud, clés de signature, wallets crypto et fichiers de gestionnaires de mots de passe.
Le recrutement demeure un point faible récurrent. Consensys a découvert un développeur nord-coréen dissimulé dans sa propre équipe, un mois après le début de son travail sur le code de MetaMask.
Un sous-traitant, trente portes dentrée
Lappât est peu coûteux. Mais la portée est considérable.
Stykas a découvert des sous-traitants détenant encore des identifiants actifs pour jusquà 30 entreprises. Un seul ordinateur portable infecté pouvait ouvrir trente accès différents.
Le Boston Children‘s Hospital illustre ce schéma. Stykas a retracé leur exposition à l’appareil personnel dun ancien sous-traitant.
L‘hôpital conteste cette interprétation. Il affirme avoir coupé les accès en quelques heures et n’avoir trouvé aucune preuve dintrusion dans ses propres systèmes.
Les groupes étaient également sélectifs. Ils pouvaient accéder à des dossiers médicaux ou à des bases de données criminelles, mais ny ont pas touché.
Ils ont visé à la place les wallets et laccès à la blockchain. Coinbase et Uniswap Labs font partie des organisations ayant pris en compte ses avertissements.
Cette discipline apparaît dans les chiffres. Des groupes liés à la République populaire démocratique de Corée (RPDC) ont détourné 2,02 milliards de dollars dactifs numériques en 2025.
CrowdStrike note qu‘il s’agit là d‘une hausse de 51 % en un an. La société attire aussi l’attention sur un groupe nommé GOLDEN CHOLLIMA pour l‘utilisation d’appâts de recrutement afin de cibler des environnements cloud fintech.
C‘est cette chaîne que Stykas a observée de l’intérieur. Lapproche humaine continue de prévaloir.
TRM Labs a rattaché le vol de 285 millions de dollars sur Drift Protocol, en avril, à des rencontres physiques entre des intermédiaires nord-coréens et du personnel.
Deux attaques ont représenté 76 % des pertes crypto en 2026, alors quelles ne constituaient que 3 % des incidents. Depuis 2017, le cumul dépasse désormais les 6 milliards de dollars pour Pyongyang.
Stykas affirme que de nouvelles victimes continuent d‘apparaître dans les données. La plupart des organisations qu’il a alertées n‘ont jamais répondu, ce qui explique pourquoi des groupes comme Crypto ISAC préfèrent aujourd’hui mutualiser les informations sur les menaces de la RPDC.