Le FBI indique que le groupe APT nord-coréen Kimsuky utilise des codes QR malveillants pour harponner des entités américaines
-
Le FBI indique que le groupe APT Kimsuky utilise des codes QR malveillants pour cibler par hameçonnage des think tanks américains, des universitaires, des ONG et des groupes liés au gouvernement.
-
Les attaques poussent les victimes à utiliser des appareils mobiles, permettant aux pirates de contourner la sécurité par e-mail et les défenses de point de terminaison.
-
La numérisation des codes QR conduit à des pages de connexion falsifiées, au vol de jetons de session et au contournement de l'authentification multifactorielle sans alerte.
Le FBI indique que le groupe APT Kimsuky, un groupe de piratage soutenu par l'État nord-coréen, utilise des codes QR malveillants pour s'introduire dans des organisations américaines liées à la politique envers la Corée du Nord.
L'avertissement est paru dans un bulletin FLASH du FBI de 2025 partagé avec des ONG, des think tanks, des universités et des groupes liés au gouvernement. L'agence indique que toutes les cibles partagent un point commun : elles étudient, conseillent ou travaillent sur des questions liées à la Corée du Nord.
Selon le FBI, le groupe APT Kimsuky mène des campagnes de hameçonnage ciblé (spearphishing) qui reposent sur des codes QR au lieu de liens, une méthode connue sous le nom de quishing.
Les codes QR masquent des URL nuisibles, et les victimes les scannent presque toujours avec des téléphones, et non avec des ordinateurs de travail. Ce changement permet aux attaquants de contourner les filtres de messagerie, les analyseurs de liens et les outils de bac à sable qui capturent habituellement le hameçonnage.
Le groupe APT Kimsuky envoie des e-mails basés sur des QR codes aux cibles politiques et de recherche
Le FBI indique que le groupe APT Kimsuky a utilisé plusieurs e-mails à thème en 2025. Chacun correspondait au poste et aux intérêts de la cible. En mai, les attaquants se sont fait passer pour un conseiller étranger. Ils ont envoyé un e-mail au dirigeant d'un think tank pour demander son avis sur les événements récents sur la péninsule coréenne. L'e-mail comprenait un code QR qui prétendait ouvrir un questionnaire.
Plus tard en mai, le groupe s'est fait passer pour un employé d'ambassade. Cet e-mail a été envoyé à un chercheur senior d'un think tank. Il demandait des commentaires sur les droits humains en Corée du Nord. Le code QR prétendait débloquer un lecteur sécurisé. Le même mois, un autre e-mail prétendait provenir d'un employé d'un think tank. Le scan de son code QR a envoyé la victime vers une infrastructure Kimsuky APT conçue pour des activités malveillantes.
En juin 2025, le FBI indique que le groupe a ciblé un cabinet de conseil stratégique. L'e-mail invitait le personnel à une conférence qui n'existait pas. Un code QR envoyait les utilisateurs vers une page d'inscription. Un bouton d'inscription poussait ensuite les visiteurs vers une fausse page de connexion Google. Cette page collectait les noms d'utilisateur et les mots de passe. Le FBI a lié cette étape à une activité de collecte d'identifiants suivie sous le code T1056.003.
Les scans QR conduisent au vol de jetons et à la prise de contrôle de compte
« Les opérations de quishing se soldent fréquemment par le vol et la relecture de jetons de session [T1550.004], permettant aux attaquants de contourner l'authentification multifacteur [T1550.004] et de pirater les identités cloud sans déclencher d'alertes typiques d'« échec MFA », » a déclaré le FBI.
Le FBI indique que beaucoup de ces attaques se soldent par le vol et la relecture de jetons de session. Cela permet aux attaquants de contourner l'authentification multifacteur sans déclencher d'alertes. Les comptes sont pris de contrôle discrètement. Après cela, les attaquants modifient les paramètres, ajoutent des accès et conservent le contrôle. Le FBI indique que les boîtes aux lettres compromises sont ensuite utilisées pour envoyer davantage d'e-mails de hameçonnage ciblé au sein de la même organisation.
Le FBI note que ces attaques commencent sur des téléphones personnels. Cela les place en dehors des outils normaux de détection des terminaux et de la surveillance réseau. Pour cette raison, le FBI a déclaré :-
« Le quishing est désormais considéré comme un vecteur d'intrusion d'identité à haute confiance et résilient à la MFA dans les environnements d'entreprise. »
Le FBI exhorte les organisations à réduire les risques. L'agence indique que le personnel doit être mis en garde contre le scan de codes QR aléatoires provenant d'e-mails, de lettres ou de flyers. La formation doit couvrir l'urgence factice et l'usurpation d'identité. Les travailleurs doivent vérifier les demandes de codes QR par un contact direct avant de se connecter ou de télécharger des fichiers. Des règles de signalement claires doivent être en place.
Le FBI recommande également d'utiliser :- « une MFA résistante au hameçonnage pour tous les accès à distance et les systèmes sensibles », et « de réviser les privilèges d'accès conformément au principe du moindre privilège et d'auditer régulièrement les permissions de compte inutilisées ou excessives. »
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Jai Hamid
Jai Hamid couvre les cryptomonnaies, les marchés boursiers, la technologie, l'économie mondiale et les événements géopolitiques qui affectent les marchés depuis 6 ans. Elle a travaillé avec des publications axées sur la blockchain, notamment AMB Crypto, Coin Edition et CryptoTale, sur des analyses de marché, des entreprises majeures, la réglementation et les tendances macroéconomiques. Elle est diplômée de la London School of Journalism et a partagé à trois reprises des analyses du marché des cryptomonnaies sur l'une des principales chaînes de télévision d'Afrique.
