Crypto : La Corée du Nord recrute à l’étranger pour infiltrer les USA

500 dollars par mois en crypto pour passer des entretiens d’embauche sous une fausse identité. La Corée du Nord élargit son système d’infiltration des entreprises américaines en recrutant désormais de véritables développeurs étrangers, notamment en Iran, en Syrie et au Liban. Leur rôle : convaincre les recruteurs, réussir les tests techniques et obtenir le contrat. Derrière, des opérateurs nord-coréens peuvent prendre le relais. Les entreprises technologiques ne sont pas les seules visées : exchanges crypto, institutions financières et même sous-traitants de la défense apparaissent dans les recherches des enquêteurs.

Des étrangers passent les entretiens à leur place

Pendant plusieurs années, le modèle nord-coréen reposait principalement sur des informaticiens du régime se faisant passer pour des développeurs américains ou européens. Faux CV, identités volées, VPN et ordinateurs installés à distance permettaient ensuite de maintenir l’illusion.

Le système évolue.

Les éléments réunis par Flare montrent que Pyongyang recrute désormais des travailleurs situés dans des pays tiers pour franchir l’étape la plus difficile : l’entretien humain.

Ce changement intervient alors que les entreprises commencent justement à mieux détecter les travailleurs IT nord-coréens. Bref Crypto documentait récemment comment les hackers liés à Lazarus ont déjà volé au moins 6,75 milliards de dollars en crypto et déplacé plus de 30 millions de dollars de Bitcoin via Hyperliquid.

Une connexion provenant d’un VPN suspect ou un décalage horaire étrange peut être détecté. Une personne qui parle réellement anglais, maîtrise C# ou React et répond correctement aux questions techniques est beaucoup plus difficile à filtrer.

C’est précisément là qu’interviennent les recrues étrangères.

Une fois le contrat obtenu, le travail peut être repris par un autre opérateur situé ailleurs.

L’entretien ne sert donc plus seulement à déterminer si le candidat est compétent. Il devient lui-même une surface d’attaque.

500 $ en crypto pour jouer le faux candidat

Le rapport publié par la société de cybersécurité Flare donne une vue beaucoup plus précise de cette organisation.

Des documents récupérés sur des systèmes attribués à des travailleurs IT nord-coréens montrent des campagnes de recrutement visant notamment l’Iran, la Syrie, le Liban et l’Arabie saoudite.

Les recrues ne sont pas choisies au hasard.

Les opérateurs cherchent de véritables développeurs, capables de répondre à des questions techniques et suffisamment à l’aise en anglais pour convaincre un recruteur occidental.

Dans un cas détaillé par Flare Research dans son enquête sur le recrutement international nord-coréen, un opérateur maintenait le profil LinkedIn d’un faux développeur américain appelé « Jack Long ». Un ingénieur iranien devait ensuite prendre sa place lorsque les entreprises appelaient.

L’opérateur nord-coréen envoyait plus de 100 candidatures quotidiennes sous cette identité.

L’Iranien passait les entretiens.

Un autre document ressemble même à une véritable offre d’emploi : 500 dollars par mois pour travailler à temps partiel comme « Interview Associate », avec une période d’essai et des congés.

La rémunération pouvait ensuite grimper à 2 700 dollars après placement. D’autres documents évoquent plus de 5 000 dollars mensuels pour certaines missions américaines.

Le paiement pouvait être effectué en crypto.

La mécanique devient presque celle d’une agence de recrutement clandestine.

Les exchanges crypto sont directement ciblés

Pourquoi la crypto revient-elle aussi souvent dans ces opérations ?

D’abord parce qu’elle facilite certains paiements transfrontaliers. Une rémunération peut être envoyée rapidement vers un wallet sans nécessiter un compte bancaire américain classique au nom de l’opérateur réel.

Ensuite parce que les entreprises crypto elles-mêmes constituent des cibles particulièrement intéressantes.

Flare affirme avoir trouvé des indications montrant un ciblage délibéré de cryptocurrency exchanges, institutions financières et sous-traitants de la défense américaine.

L’intérêt n’est pas difficile à comprendre.

Un développeur employé dans un exchange peut parfois accéder à du code sensible, aux infrastructures internes, aux procédures de déploiement ou aux systèmes qui interagissent avec des wallets.

Cela ne signifie pas qu’un salarié puisse simplement transférer les cryptos des clients.

Mais il peut devenir une première porte vers une attaque beaucoup plus complexe.

Le danger nord-coréen n’est d’ailleurs plus traité uniquement comme une question de cybercriminalité. Bref Crypto rapportait en juin que le G7 relie désormais explicitement les vols de cryptomonnaies nord-coréens au financement des programmes nucléaire et balistique.

En 2025, Chainalysis estime que les groupes liés à Pyongyang ont dérobé 2,02 milliards de dollars de crypto, soit une hausse de 51 % sur un an.

Un seul piratage, celui de Bybit, représentait environ 1,5 milliard de dollars.

Le recrutement IT constitue un autre bras de cette même économie numérique clandestine.

Les laptop farms ont déjà généré des millions

Le dispositif ne fonctionne pas uniquement depuis Pyongyang.

Pour convaincre une société américaine qu’un employé se trouve bien aux États-Unis, les opérateurs utilisent depuis plusieurs années des laptop farms.

Le principe est assez simple.

Une entreprise embauche supposément un développeur installé à New York, Boston ou ailleurs. Elle lui envoie un ordinateur professionnel.

Sauf que l’ordinateur est réceptionné par un complice.

Celui-ci l’installe dans son domicile, active les outils nécessaires et permet ensuite au véritable travailleur situé à l’étranger d’y accéder à distance.

Pour les systèmes de l’entreprise, la connexion semble provenir d’un ordinateur physiquement installé aux États-Unis.

La fraude peut durer des mois.

En avril 2026, le département américain de la Justice a condamné deux ressortissants américains pour avoir participé à un dispositif ayant placé des travailleurs nord-coréens dans plus de 100 entreprises américaines. Au moins 80 identités avaient été utilisées.

Les revenus générés dépassaient 5 millions de dollars.

Le FBI a également averti que ces intermédiaires peuvent ouvrir des comptes financiers, créer des profils sur les plateformes de recrutement, installer des logiciels de contrôle à distance ou réexpédier les machines vers l’étranger.

Bref Crypto rappelait déjà que la Corée du Sud s’est associée à Chainalysis pour renforcer ses enquêtes contre les réseaux crypto nord-coréens.

Le problème dépasse désormais largement la surveillance des wallets.

Près de 800 M$ issus des travailleurs IT en 2024

Combien rapporte réellement cette activité à la Corée du Nord ?

Les estimations sont considérables.

En mars 2026, le Trésor américain a sanctionné six individus et deux entités accusés de faciliter les opérations de travailleurs IT nord-coréens.

Washington estime que ces activités ont généré près de 800 millions de dollars en 2024.

Le Trésor américain relie directement ces revenus au financement des programmes d’armes de destruction massive nord-coréens.

Tous ces revenus ne proviennent pas de vols de crypto.

C’est justement ce qui rend le modèle intéressant.

Un hack spectaculaire peut rapporter plusieurs centaines de millions de dollars, mais il exige un accès exceptionnel, des mois de préparation et expose immédiatement les wallets utilisés.

Un faux développeur suit une logique beaucoup plus discrète.

Il peut recevoir tous les mois un salaire parfaitement normal versé par une entreprise parfaitement légitime.

5 000 dollars ici.

8 000 dollars ailleurs.

Plusieurs emplois simultanément.

Puis une partie de l’argent est redirigée à travers des comptes tiers, des plateformes de paiement ou des cryptomonnaies.

À grande échelle, la somme devient considérable.

La Corée du Nord transforme ainsi le marché mondial du travail à distance en source de devises.

Pas besoin de casser une blockchain.

Il suffit parfois de réussir un entretien Zoom.

Un salarié peut aussi devenir une menace interne

Le salaire n’est cependant qu’une partie du risque.

Une fois embauché, le faux salarié possède quelque chose qu’un hacker extérieur cherche généralement à obtenir : un accès légitime.

Compte professionnel.

Messagerie.

Slack.

GitHub.

Documentation interne.

VPN d’entreprise.

Dépôts de code.

Parfois des environnements de production.

Les alertes américaines et internationales insistent justement sur cette évolution. Les travailleurs IT nord-coréens peuvent exfiltrer des données, voler des informations sensibles ou se livrer à l’extorsion après leur licenciement.

Le FBI avertissait déjà en 2025 que certains travailleurs avaient copié des données propriétaires ou menacé de les publier lorsqu’une entreprise découvrait la fraude.

La frontière entre faux salarié et cyberattaquant devient alors très mince.

Ce point est particulièrement sensible dans la crypto.

Une entreprise peut disposer des meilleurs hardware wallets du marché tout en donnant à un développeur mal identifié accès à du code critique.

Même logique pour une société financière ou un groupe de défense.

La sécurité ne commence donc plus uniquement avec le firewall ou la clé privée.

Elle commence au recrutement.

Bref Crypto avait déjà observé un phénomène similaire avec la montée des fraudes utilisant IA, deepfakes et identités synthétiques dans l’écosystème crypto.

Le CV devient désormais lui aussi un vecteur potentiel d’attaque.

LinkedIn devient une partie de l’infrastructure

L’utilisation de LinkedIn rend l’affaire encore plus troublante.

Le réseau professionnel est précisément conçu pour rapprocher entreprises et talents internationaux.

Les opérateurs nord-coréens exploitent la même infrastructure.

Flare a retrouvé dans l’historique de certains systèmes des recherches visant des développeurs iraniens, syriens ou libanais. Les opérateurs semblent sélectionner les profils selon leurs compétences techniques, leur maîtrise de l’anglais et leur capacité à se rendre crédibles lors d’un entretien.

Dans plusieurs cas, les recrues auraient su qu’elles travaillaient sous une identité qui n’était pas la leur.

Cela ne signifie pas nécessairement qu’elles connaissaient l’ensemble du dispositif ou qu’elles savaient qu’elles travaillaient indirectement pour Pyongyang.

La distinction est importante.

Il existe plusieurs niveaux possibles de complicité : certains intermédiaires peuvent être pleinement conscients de la fraude, d’autres simplement accepter un travail douteux pour un commanditaire dont ils ignorent l’identité réelle.

Les opérateurs peuvent justement profiter de marchés où des développeurs qualifiés rencontrent des difficultés à accéder directement aux entreprises occidentales.

Sanctions, restrictions bancaires et difficultés de visa deviennent alors des outils de recrutement.

Une compétence technique réelle est associée à une identité fictive.

Le candidat existe.

Le CV existe.

Le développeur sait coder.

Seule la personne officiellement embauchée n’existe pas vraiment.

Une fraude devenue multinationale

Pendant longtemps, l’image du travailleur IT nord-coréen était relativement simple : un développeur installé en Chine ou en Russie, caché derrière un VPN et une fausse identité américaine.

Cette représentation devient dépassée.

Le système décrit en 2026 ressemble désormais davantage à une chaîne d’approvisionnement mondiale de la fraude.

Un opérateur nord-coréen peut gérer l’identité.

Un développeur iranien peut passer l’entretien.

Un complice américain peut héberger le laptop.

Un compte tiers peut recevoir le salaire.

Une cryptomonnaie peut servir à rémunérer un intermédiaire.

Puis l’opérateur réel se connecte à l’entreprise.

Chaque maillon ne connaît d’ailleurs pas nécessairement tous les autres.

C’est ce qui rend le démantèlement difficile.

Les autorités américaines commencent à obtenir des condamnations, à saisir des fonds et à sanctionner les facilitateurs. La réponse oblige cependant les opérateurs à modifier encore leurs méthodes.

Le recours à des développeurs étrangers semble précisément être une adaptation aux contrôles déployés contre les faux profils nord-coréens.

Et c’est probablement la partie la plus importante de cette histoire.

La Corée du Nord ne cherche plus seulement à mieux cacher ses propres travailleurs.

Elle externalise une partie de la tromperie.

Pour les entreprises américaines — et particulièrement les sociétés crypto — la réponse ne peut donc plus se limiter à vérifier une adresse IP ou à demander une pièce d’identité.

Il faut désormais vérifier que la personne qui passe l’entretien, celle dont les documents sont présentés et celle qui se connecte au réseau plusieurs semaines plus tard sont réellement la même.

La crypto permet de suivre des milliards de dollars après un hack.

Elle ne permet pas de savoir automatiquement qui se trouve derrière une webcam pendant un entretien d’embauche.

Pyongyang semble avoir parfaitement compris cette différence.