Microsoft purge 3 000 comptes e-mail liés à des travailleurs IT nord-coréens
- Microsoft a suspendu 3 000 comptes Outlook et Hotmail liés à des travailleurs IT nord-coréens.
- Ces travailleurs ont utilisé de fausses identités et loué des comptes américains pour obtenir des emplois technologiques à distance, générant jusqu'à 600 millions de dollars annuellement pour la RPDC.
- Microsoft et le gouvernement américain ciblent ce schéma en utilisant des outils de détection par IA, l'apprentissage automatique et la coopération internationale.
Microsoft a suspendu 3000 comptes Outlook et Hotmail liés à un schéma nord-coréen impliquant des ressortissants de la RPDC se faisant passer pour des travailleurs à distance sous de fausses identités.
Les responsables américains ont longtemps averti que la Corée du Nord utilise les revenus illicites issus de piratages cryptographiques, de fraudes et d'opérations informatiques pour contourner les sanctions internationales et maintenir ses programmes militaires. Les autorités s'attaquent désormais à ce qu'elles qualifient d'opération criminelle mondiale qui achemine secrètement des millions vers le régime autoritaire de Kim Jong Un.
Microsoft ferme 3,000 comptes e-mail liés à la Corée du Nord
Microsoft a suspendu plus de 3 000 comptes e-mail dans le cadre d'une opération visant un réseau international exploité par des informaticiens nord-coréens se faisant passer pour des professionnels de la technologie travaillant à distance.
Les mesures prises par Microsoft font suite à une opération coordonnée impliquant le département américain de la Justice, le FBI et d'autres agences fédérales. Ensemble, elles ont commencé à démanteler une conspiration sophistiquée codenommée « Jasper Sleet » par l'équipe de renseignement sur les menaces de Microsoft. Il s'agit d'une opération qui exploite les marchés de l'emploi en freelance et les entreprises technologiques du monde entier.
Cette opération ne se contente pas de tromper les employeurs ; elle est également soupçonnée de financer directement le programme d'armes nucléaires de la Corée du Nord.
Selon l'équipe de renseignement sur les menaces de Microsoft, ce schéma implique des professionnels de l'informatique formés de la République populaire démocratique de Corée (RPDC) qui adoptent de fausses identités pour obtenir un emploi à distance auprès d'entreprises étrangères, notamment aux États-Unis.
La plupart de ces travailleurs sont hautement qualifiés, certains employeurs les ayant même louangés sans le savoir comme des performeurs de premier plan.
« Ce ne sont pas des pirates informatiques qui s'introduisent dans les systèmes », a déclaré le Centre de renseignement sur les menaces (MSTIC) de Microsoft. « Il s'agit de développeurs qualifiés, d'ingénieurs en assurance qualité et de spécialistes du support informatique qui réussissent leurs entretiens, effectuent un travail réel et se fondent dans la masse – à une exception près : ils travaillent pour la RPDC. »
Dans de nombreux cas, des complices, parfois citoyens américains, facilitent l'accès en louant leur identité ou en exploitant ce que les autorités décrivent comme des « fermes d'ordinateurs portables ».
Les fermes d'ordinateurs portables sont des lieux physiques où les ordinateurs fournis par des employeurs inconscients sont expédiés et entretenus. Au moins 29 de ces sites ont été perquisitionnés par les forces de l'ordre ; les ordinateurs y étaient équipés de logiciels d'accès à distance ou physiquement redirigés vers la Chine ou la Russie.
Le Département de la Justice a récemment détaillé le cas d'un employé d'un salon de manucure basé au Maryland, qui sera condamné en août. Cet homme a été reconnu coupable d'avoir occupé simultanément 13 emplois au profit de travailleurs informatiques nord-coréens, percevant près de 1 million de dollars sous forme de salaires versés à distance.
Selon les estimations des Nations Unies, le programme de travailleurs informatiques nord-coréens génère jusqu'à 600 millions de dollars par an. Ces revenus servent souvent à financer des opérations de cybercriminalité et les ambitions nucléaires du pays.
Microsoft riposte avec l'IA et des outils de détection
Dans un article de blog publié cette semaine, Microsoft a détaillé la suspension de 3 000 comptes e-mail grand public, principalement Outlook et Hotmail, utilisés par les agents nord-coréens.
« Au-delà des 3 000 comptes e-mail grand public récemment supprimés, dans le cadre de nos efforts pour perturber les activités de cet acteur et protéger nos clients contre cette menace, Microsoft a continué de supprimer les comptes de personnalités dès leur identification et de suivre l'utilisation de l'IA par cet acteur », a déclaré Jeremy Dallman, directeur principal au sein du Microsoft Threat Intelligence Center.
Microsoft a constaté que les travailleurs nord-coréens deviennent de plus en plus sophistiqués. Ils exploitent désormais des outils d'IA pour corriger les erreurs grammaticales dans les CV et les lettres de motivation, améliorer leurs photos pour paraître plus professionnels ou occidentalisés, et utiliser la technologie FaceSwap pour superposer leurs images sur des documents d'identité volés.
Certains expérimentent même des logiciels de modification de la voix pour aider les intermédiaires à passer des entretiens d'embauche en leur nom. Bien que Microsoft n'ait pas encore observé l'utilisation de deepfakes combinant voix et vidéo pilotés par l'IA lors d'entretiens en temps réel, l'entreprise a mis en garde : cela ne saurait tarder.
« Si cette tactique s'avère efficace, elle permettra aux travailleurs nord-coréens du secteur informatique de passer directement les entretiens sans plus dépendre d'intermédiaires qui se substituent à eux », a déclaré Microsoft.
Ces techniques avancées permettent aux agents de mieux masquer leur origine, rendant plus difficile pour les employeurs de repérer les signaux d'alerte. Les méthodes courantes incluent le recyclage de noms, d'adresses e-mail et de modèles de profil sur diverses plateformes professionnelles telles que LinkedIn, GitHub et les marchés de freelances.
Pour détecter et contrer ces tactiques, Microsoft a déployé une solution personnalisée basée sur l'apprentissage automatique qui signale les activités suspectes grâce à une analyse dite « voyage dans le temps impossible ». Celle-ci surveille notamment les connexions provenant de lieux géographiquement incompatibles dans des fenêtres temporelles étroites, comme un accès depuis les États-Unis suivi immédiatement par un accès depuis la Chine ou la Russie.
Microsoft renforce également ses outils de protection d'identité et exhorte les entreprises à adopter des protocoles d'authentification forte et des systèmes de détection des risques en temps réel. La société technologique a collaboré avec des agences du gouvernement américain pour partager des renseignements et élaborer des solutions techniques applicables à l'ensemble du secteur de la cybersécurité.
L'entreprise s'est engagée à maintenir la pression face à la menace évolutive. « Jasper Sleet modifie et fait évoluer constamment leurs profils », a déclaré Dallman. « Nous surveillons leur adaptation, notamment grâce à l'IA, et nous œuvrons pour rester une longueur d'avance. »
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
