L'ampleur de l'opération

Le bond de 130 % des incidents liés à la Corée du Nord documenté par CrowdStrike n'est pas dû à des logiciels malveillants traditionnels. Les chasseurs de menaces sont confrontés à une avalanche de cas de menace interne où des ressortissants nord-coréens ont obtenu un accès légitime aux réseaux d'entreprises en se faisant embaucher .

Les données les plus récentes, couvrant la période d'avril 2025 à mai 2026, montrent que les acteurs de la menace nord-coréens ont exécuté 47 % de toutes les intrusions « mains sur le clavier » (c'est-à-dire avec un pirate opérant en direct) parrainées par des États dans les entreprises technologiques américaines. Le groupe "Famous Chollima", affilié au Bureau général de reconnaissance nord-coréen, est à lui seul l'auteur de la totalité de cette part . C'est une escalade significative par rapport à 2024, où CrowdStrike avait déjà suivi 304 incidents liés à Famous Chollima .

La combine d'embauche dopée à l'IA

Le mode opératoire de Famous Chollima est aussi sophistiqué que dérangeant de simplicité : décrocher un emploi. Actif depuis au moins 2018, le groupe s'est spécialisé dans l'obtention frauduleuse de contrats de freelance ou de postes à temps plein, le plus souvent en tant que développeur de logiciels à distance .

Ce qui a changé récemment, c'est l'industrialisation de la fraude à l'embauche. Le Rapport sur la chasse aux menaces 2025 de CrowdStrike décrit "une image claire d'un adversaire tissant profondément des outils dopés à l'IA générative qui automatisent et optimisent les flux de travail à chaque étape du processus de recrutement et d'emploi" .

Les tactiques documentées par les rapports de CrowdStrike incluent :

• Vidéo et audio deepfake générés par IA pour les entretiens à distance. Les agents utilisent des outils d'IA générative grand public, notamment ChatGPT d'OpenAI et Gemini de Google, pour modifier leur voix et leur image en temps réel lors des entretiens vidéo et pour générer des réponses convaincantes aux questions techniques .
• Des personnalités professionnelles entièrement fabriquées. Les acteurs créent des profils LinkedIn soignés avec des photos de profil générées par IA, dotés d'historiques d'emploi crédibles et de faux CV qui passent haut la main les vérifications de références .
• De vrais documents d'identité volés. Pour approfondir l'illusion, les agents exploitent des numéros de sécurité sociale américains dérobés et d'autres pièces d'identité, trompant ainsi les systèmes de vérification des antécédents .

L'équipe de chasse aux menaces OverWatch de CrowdStrike a enquêté sur plus de 320 cas distincts d'agents de Famous Chollima obtenant un emploi frauduleux sur une période de douze mois, soit une augmentation stupéfiante de 220 % par rapport à l'année précédente . Le taux de succès de ces embauches déguisées a également bondi de 220 %. Adam Meyers, responsable des opérations de contre-adversaires chez CrowdStrike, a noté que son équipe répond désormais en moyenne à un incident de ce type par jour .

Les motivations : un double pipeline de revenus

L'opération sert deux sources de revenus pour le régime sanctionné.

Le premier flux est le vol de salaire pur et simple. Les agents de Famous Chollima perçoivent les rémunérations des entreprises qu'ils infiltrent, l'argent étant reversé au régime nord-coréen. Le second — bien plus dommageable pour les victimes — est le vol de propriété intellectuelle. Une fois à l'intérieur du réseau avec des identifiants légitimes, les agents dérobent codes sources propriétaires, secrets commerciaux et autres données sensibles .

En parallèle, le vaste écosystème cyber nord-coréen mène une gigantesque opération de vol de cryptomonnaies. Le rapport sur le paysage des menaces pour les services financiers 2026 de CrowdStrike révèle que les groupes liés à la Corée du Nord ont dérobé un total de 2,02 milliards de dollars d'actifs numériques en 2025, soit une augmentation de 51 % par rapport à l'année précédente . Le plus gros casse jamais enregistré — 1,46 milliard de dollars en cryptomonnaie — est attribué au groupe PRESSION CHOLLIMA, qui a utilisé un logiciel infecté distribué via la compromission de la chaîne d'approvisionnement d'un éditeur .

La destination finale de ces fonds est sans équivoque. Le rapport indique que les milliards volés sont « presque certainement blanchis et seront utilisés pour financer les programmes d'armement militaire et nucléaire du régime » .

Au-delà de l'embauche : l'extorsion par le vol de données

Si les activités les plus médiatisées de Famous Chollima concernent l'infiltration et le vol, l'exfiltration de données peut offrir une seconde source de revenus. Les vastes opérations cyber nord-coréennes ont adopté des tactiques d'extorsion de données, menaçant de divulguer les informations volées si aucune rançon n'est versée.

Un précédent Rapport sur les menaces mondiales de CrowdStrike notait une augmentation de 76 % du nombre de victimes nommées sur des sites de fuite dédiés, l'extorsion de données devenant une voie de monétisation privilégiée pour de nombreux adversaires . L'entreprise précise que des acteurs nord-coréens ont été observés en train de mener des campagnes de vol et d'extorsion de données sans déployer de rançongiciel, exerçant une pression par la simple menace d'exposer les données sensibles .

CrowdStrike a également confirmé que lors d'interventions impliquant Famous Chollima, le vol de données a été confirmé dans 50 % des cas . Ces informations pourraient être utilisées pour faire chanter les entreprises. Bien que les résumés publics des rapports se concentrent surtout sur le tandem infiltration/salaire, il est possible que les détails du véritable mode opératoire d'extorsion du groupe ne soient accessibles que dans les versions complètes, non expurgées, de ces rapports.

L'ampleur et la sophistication de l'opération représentent un changement de paradigme dans les intrusions des États-nations : la menace ne vient plus seulement du piratage de périmètre, mais d'initiés de confiance, embauchés, rémunérés, et qui volent de l'intérieur.

L'ampleur de l'opération

Le bond de 130 % des incidents liés à la Corée du Nord documenté par CrowdStrike n'est pas dû à des logiciels malveillants traditionnels. Les chasseurs de menaces sont confrontés à une avalanche de cas de menace interne où des ressortissants nord-coréens ont obtenu un accès légitime aux réseaux d'entreprises en se faisant embaucher .

Les données les plus récentes, couvrant la période d'avril 2025 à mai 2026, montrent que les acteurs de la menace nord-coréens ont exécuté 47 % de toutes les intrusions « mains sur le clavier » (c'est-à-dire avec un pirate opérant en direct) parrainées par des États dans les entreprises technologiques américaines. Le groupe "Famous Chollima", affilié au Bureau général de reconnaissance nord-coréen, est à lui seul l'auteur de la totalité de cette part . C'est une escalade significative par rapport à 2024, où CrowdStrike avait déjà suivi 304 incidents liés à Famous Chollima .

La combine d'embauche dopée à l'IA

Le mode opératoire de Famous Chollima est aussi sophistiqué que dérangeant de simplicité : décrocher un emploi. Actif depuis au moins 2018, le groupe s'est spécialisé dans l'obtention frauduleuse de contrats de freelance ou de postes à temps plein, le plus souvent en tant que développeur de logiciels à distance .

Ce qui a changé récemment, c'est l'industrialisation de la fraude à l'embauche. Le Rapport sur la chasse aux menaces 2025 de CrowdStrike décrit "une image claire d'un adversaire tissant profondément des outils dopés à l'IA générative qui automatisent et optimisent les flux de travail à chaque étape du processus de recrutement et d'emploi" .

Les tactiques documentées par les rapports de CrowdStrike incluent :

• Vidéo et audio deepfake générés par IA pour les entretiens à distance. Les agents utilisent des outils d'IA générative grand public, notamment ChatGPT d'OpenAI et Gemini de Google, pour modifier leur voix et leur image en temps réel lors des entretiens vidéo et pour générer des réponses convaincantes aux questions techniques .
• Des personnalités professionnelles entièrement fabriquées. Les acteurs créent des profils LinkedIn soignés avec des photos de profil générées par IA, dotés d'historiques d'emploi crédibles et de faux CV qui passent haut la main les vérifications de références .
• De vrais documents d'identité volés. Pour approfondir l'illusion, les agents exploitent des numéros de sécurité sociale américains dérobés et d'autres pièces d'identité, trompant ainsi les systèmes de vérification des antécédents .

L'équipe de chasse aux menaces OverWatch de CrowdStrike a enquêté sur plus de 320 cas distincts d'agents de Famous Chollima obtenant un emploi frauduleux sur une période de douze mois, soit une augmentation stupéfiante de 220 % par rapport à l'année précédente . Le taux de succès de ces embauches déguisées a également bondi de 220 %. Adam Meyers, responsable des opérations de contre-adversaires chez CrowdStrike, a noté que son équipe répond désormais en moyenne à un incident de ce type par jour .

Les motivations : un double pipeline de revenus

L'opération sert deux sources de revenus pour le régime sanctionné.

Le premier flux est le vol de salaire pur et simple. Les agents de Famous Chollima perçoivent les rémunérations des entreprises qu'ils infiltrent, l'argent étant reversé au régime nord-coréen. Le second — bien plus dommageable pour les victimes — est le vol de propriété intellectuelle. Une fois à l'intérieur du réseau avec des identifiants légitimes, les agents dérobent codes sources propriétaires, secrets commerciaux et autres données sensibles .

En parallèle, le vaste écosystème cyber nord-coréen mène une gigantesque opération de vol de cryptomonnaies. Le rapport sur le paysage des menaces pour les services financiers 2026 de CrowdStrike révèle que les groupes liés à la Corée du Nord ont dérobé un total de 2,02 milliards de dollars d'actifs numériques en 2025, soit une augmentation de 51 % par rapport à l'année précédente . Le plus gros casse jamais enregistré — 1,46 milliard de dollars en cryptomonnaie — est attribué au groupe PRESSION CHOLLIMA, qui a utilisé un logiciel infecté distribué via la compromission de la chaîne d'approvisionnement d'un éditeur .

La destination finale de ces fonds est sans équivoque. Le rapport indique que les milliards volés sont « presque certainement blanchis et seront utilisés pour financer les programmes d'armement militaire et nucléaire du régime » .

Au-delà de l'embauche : l'extorsion par le vol de données

Si les activités les plus médiatisées de Famous Chollima concernent l'infiltration et le vol, l'exfiltration de données peut offrir une seconde source de revenus. Les vastes opérations cyber nord-coréennes ont adopté des tactiques d'extorsion de données, menaçant de divulguer les informations volées si aucune rançon n'est versée.

Un précédent Rapport sur les menaces mondiales de CrowdStrike notait une augmentation de 76 % du nombre de victimes nommées sur des sites de fuite dédiés, l'extorsion de données devenant une voie de monétisation privilégiée pour de nombreux adversaires . L'entreprise précise que des acteurs nord-coréens ont été observés en train de mener des campagnes de vol et d'extorsion de données sans déployer de rançongiciel, exerçant une pression par la simple menace d'exposer les données sensibles .

CrowdStrike a également confirmé que lors d'interventions impliquant Famous Chollima, le vol de données a été confirmé dans 50 % des cas . Ces informations pourraient être utilisées pour faire chanter les entreprises. Bien que les résumés publics des rapports se concentrent surtout sur le tandem infiltration/salaire, il est possible que les détails du véritable mode opératoire d'extorsion du groupe ne soient accessibles que dans les versions complètes, non expurgées, de ces rapports.

L'ampleur et la sophistication de l'opération représentent un changement de paradigme dans les intrusions des États-nations : la menace ne vient plus seulement du piratage de périmètre, mais d'initiés de confiance, embauchés, rémunérés, et qui volent de l'intérieur.