Comment plus de 30 fausses identités créées par des agents nord-coréens ont été dévoilées grâce à une violation de dispositif

Le chercheur en sécurité ZachXBT a révélé une découverte majeure : des données confidentielles d’appareils provenant de personnel informatique nord-coréen ont dévoilé une opération organisée utilisant plus de 30 identités falsifiées sur plusieurs plateformes. Les informations accessibles — y compris les profils de navigateur Chrome, les sauvegardes Google Drive et les captures d’écran du système — dressent le portrait d’une équipe coordonnée sécurisant des rôles de développeur par la fraude.

L’ampleur de l’opération

La portée allait au-delà de la simple création de comptes. Ces opérateurs ont systématiquement acquis des identifiants Upwork et LinkedIn en utilisant des documents d’identité émis par le gouvernement, puis ont géré leurs activités via le logiciel de bureau à distance AnyDesk. Une adresse de portefeuille en particulier, 0x78e1, s’est avérée directement liée à un vol de 680 000 $ visant la plateforme Favrr en juin 2025, établissant des liens clairs entre l’infrastructure d’ingénierie sociale et le vol financier.

Infrastructure et méthodes découvertes

Les systèmes accessibles ont révélé comment l’équipe orchestrée ses activités. Ils ont exploité la suite d’outils de Google pour la planification des tâches tout en achetant simultanément des numéros de sécurité sociale, des abonnements à des services d’IA et l’accès VPN via des canaux illicites. Les historiques de navigation indiquaient une dépendance importante à Google Translate, notamment pour convertir du texte vers et depuis le coréen, tandis que les données de géolocalisation traçaient de nombreuses connexions via des adresses IP russes — une tactique d’obfuscation courante.

Vulnérabilités systémiques exposées

Au-delà des tactiques techniques, la faille a mis en lumière des faiblesses organisationnelles. Les recruteurs et modérateurs de plateforme n’ont pas détecté des signaux d’alerte évidents à travers plusieurs variations d’identité. Le manque de partage d’informations inter-plateformes et de coordination dans la vérification d’identité a créé des lacunes permettant aux mêmes individus de maintenir des personas parallèles sur différents réseaux de freelances.

Cet incident souligne que la combinaison d’ingénierie sociale et d’obfuscation de l’infrastructure reste un vecteur d’attaque efficace lorsque les défenses institutionnelles opèrent en silo.