Un chercheur grec a piraté les hackers nord-coréens et révèle 1 640 victimes dans 57 pays

Pendant près de deux ans, un seul chercheur grec a vécu à l'intérieur de l'infrastructure de l'une des opérations de piratage les plus prolifiques au monde, soutenues par un État. Il n'a pas eu besoin d'exploiter une faille zero-day sophistiquée : les hackers nord-coréens se sont infectés eux-mêmes avec leur propre malware, offrant à Vangelis Stykas un siège au premier rang pour une campagne mondiale de piratage d'une ampleur stupéfiante.

À la conférence de sécurité Black Hat à Las Vegas en août 2026, Stykas — directeur technique de la société de cybersécurité Kumio — a présenté le compte rendu public le plus détaillé jamais produit de la campagne de piratage mondiale de la Corée du Nord. Voici ce qu'il a découvert.

L'ampleur : 1 640 entreprises dans 57 pays

Pendant 22 mois, Stykas a analysé environ 5 téraoctets de données extraites des serveurs de commandement et de contrôle nord-coréens . Les preuves pointaient vers 1 640 organisations compromises dans 57 pays .

Toutes les brèches n'étaient pas équivalentes. Stykas estime que 700 à 800 de ces victimes ont subi ce qu'il a décrit comme des intrusions « vraiment dommageables » . Dans ces cas graves, les attaquants ont obtenu :

• Un accès root aux serveurs des entreprises
• Un contrôle total des environnements Amazon Web Services (AWS)
• L'exfiltration de clés cryptographiques maîtresses, y compris les clés privées de portefeuilles de cryptomonnaies

Victimes nommées : crypto, santé et électronique grand public

Stykas a publiquement nommé environ une douzaine d'organisations qui ont bien géré le processus de divulgation ou qui avaient déjà découvert la brèche de manière indépendante . Parmi elles :

• Coinbase et Uniswap Labs (cryptomonnaie / finance)
• Oppo (fabricant chinois de smartphones)
• Boston Children's Hospital (santé)
• Le Conseil supérieur de la magistrature italien
• AEON Smart Technology (Japon)

La campagne était de grande envergure, touchant des entreprises technologiques, des institutions financières, des prestataires de soins de santé et des organismes gouvernementaux dans des dizaines de pays .

Le vecteur d'attaque : de faux entretiens d'embauche

La principale méthode d'accès initial était une campagne d'ingénierie sociale que Stykas a identifiée sous le nom de « Contagious Interview » . Les hackers nord-coréens se faisaient passer pour des recruteurs d'entreprise sur des réseaux professionnels comme LinkedIn. Ils ciblaient les développeurs de logiciels avec des offres d'emploi alléchantes et, lors de faux entretiens, les trompaient en leur faisant télécharger des tests de codage infectés par un malware, des PDF ou d'autres fichiers .

Une fois l'appareil d'un employé ou d'un sous-traitant compromis, les attaquants se déplaçaient dans le réseau de l'entreprise. Dans certains cas, des informaticiens nord-coréens s'infiltraient également directement dans les entreprises par le biais d'un emploi à distance frauduleux .

Comment Stykas est entré — et est resté

Stykas a obtenu l'accès non pas par une intrusion sophistiquée, mais parce que les hackers nord-coréens ont accidentellement infecté leurs propres postes de travail avec leur propre malware . Cette faille de sécurité opérationnelle a donné à Stykas un point d'entrée dans leurs serveurs de commandement et de contrôle. De là, il a accédé à leurs canaux internes Slack et Discord, a fouillé les données volées et a extrait des clés de développeur, du code source et des communications internes .

Il a passé 22 mois à surveiller leurs opérations sans être détecté .

Ce que Stykas a présenté à Black Hat 2026

Lors de Black Hat, Stykas a révélé :

• L'ampleur totale des 1 640 organisations victimes dans 57 pays.
• Que les hackers utilisaient de plus en plus d'outils d'IA pour étendre leurs opérations .
• Une liste partielle de victimes incluant Coinbase, Oppo et l'hôpital pour enfants de Boston .
• La preuve que des centaines de victimes ont subi des compromissions graves — accès root aux serveurs, contrôle AWS et exfiltration de clés cryptographiques .
• Les détails de la campagne Contagious Interview comme principal vecteur d'accès initial .

Implications

Les conclusions de Stykas soulignent une vulnérabilité critique dans la sécurité des entreprises modernes : la dépendance aux sous-traitants à distance et le processus de recrutement lui-même comme surface d'attaque. Elles mettent également en lumière la capacité des groupes de piratage soutenus par des États à dissimuler un nombre stupéfiant de brèches — bien plus que ce que l'on savait auparavant — pendant des années.

Le fait qu'un chercheur individuel ait pu infiltrer et surveiller l'appareil de piratage d'un État-nation pendant près de deux ans suggère également d'importantes lacunes en matière de sécurité opérationnelle au sein des unités cybernétiques nord-coréennes .