En septembre 2025, Okta Threat Intelligence a publié une étude issue d’une analyse à grande échelle sur les stratagèmes frauduleux de recrutement menés par des travailleurs informatiques (ITW) de la République populaire démocratique de Corée (RPDC).
Cette étude a rassemblé des données provenant de plus de 130 acteurs, en menant plus de 6500 entretiens auprès de 500 entreprises.
Dans cet article, nous examinons plus particulièrement les activités de deux profils types. Nous avons sélectionné ces deux exemples parmi une longue liste d’acteurs que nous continuons de suivre, car ils illustrent les outils, techniques et procédures (TTP) typiques utilisés par les acteurs ITW de la RPDC. De plus, chacun exemple présentait de nouveaux éléments observables susceptibles d’apporter des informations supplémentaires aux personnes chargées de la défense face à ces tentatives.
Ces deux acteurs révèlent deux TTP intéressantes utilisées par les acteurs de la RPDC pour obtenir un emploi : l’exploitation de profils LinkedIn légitimes afin de réussir les vérifications de références, et l’utilisation d’identités volées.
#1 - Découvrez « JJ »
Le premier des deux acteurs que nous allons présenter sera désigné sous le nom de « JJ ». Cette personne a passé de nombreux entretiens pour des postes dans différents secteurs au cours des deux dernières années, avec une surreprésentation des postes liés à l’IA et à la santé.
Le compte e-mail utilisé par cet acteur présente une structure similaire à celle d’autres acteurs liés à la RPDC, dans la mesure où il utilise un service de messagerie web gratuit et où le nom du compte inclut des références au développement logiciel ainsi que d’autres caractères alphanumériques aléatoires. Des recherches en OSINT (Open Source Intelligence) menées sur l’adresse e-mail utilisée par cet acteur ont permis d’identifier plusieurs comptes de service en ligne, très caractéristiques des acteurs ITW de la RPDC. Tous ces comptes sont utilisés exclusivement pour postuler à des emplois et des tâches associées :
Sites d’emploi et plateformes de recrutement
Plateformes de planification populaires auprès des recruteurs et recruteuses
Espaces de travail d’organisation de documents avec l’aide de l’IA
Services DNS dynamiques
Plateformes de programmation en ligne
Bien que cela n’ait pas été observé avec cet acteur en particulier, Okta Threat Intelligence a également utilisé des techniques OSINT pour observer des adresses e-mail utilisées par des acteurs de la RPDC lors de l’inscription aux services suivants :
Plateformes d’emploi pour freelances
Plateformes de rédaction et de publication d’articles
Création et gestion de documents
Plateformes d’apprentissage des langues
Communications en ligne
Plateformes sociales de développement logiciel
Plateformes PDF en ligne
Plateformes d’évaluation des compétences en programmation
Les acteurs de la RPDC utilisent ces comptes en ligne et des CV falsifiés pour créer efficacement un « persona » artificiel. Ces profils semblent surgir « de nulle part », héritant de la présence en ligne nécessaire à une personne candidate à un poste, mais sans aucune trace d’utilisation personnelle de services en ligne. L’utilisation exclusive de ces services spécifiques, associée à l’absence totale d’empreinte personnelle en ligne, crée un modèle particulièrement révélateur d’une identité artificielle.
D’autres « indices » très courants chez ces acteurs peuvent parfois être observés dans les propriétés de document des CV PDF qu’ils fournissent. Okta Threat Intelligence peut fournir aux clients des informations complémentaires sur ces méthodes de détection : veuillez contacter votre responsable de compte pour en savoir plus.
Devenir JJ
Au cours des deux années d’activité observée, notre cybercriminel JJ a créé puis abandonné plusieurs identités.
Jusqu’à récemment, JJ indiquait aux recruteurs qu’il n’avait pas de profil LinkedIn. Okta Threat Intelligence observe parfois des profils LinkedIn associés aux adresses e-mail de persona créées par des acteurs ITW de la RPDC. La rareté des connexions, des publications, des recommandations, des autres contenus et de l’activité sur ces profils peut permettre d’identifier un manque d’authenticité. Il arrive souvent que nous constations qu’un profil LinkedIn répertorié par un acteur ITW de la RPDC a été désactivé grâce aux efforts de détection et d’application des règles de l’équipe sécurité de LinkedIn.
En septembre 2025, JJ a été observé en train de fournir pour la première fois aux recruteurs un profil LinkedIn actif. Le profil LinkedIn correspondait au nom fictif utilisé pour postuler à ce moment-là et ne comporte pas de photo de profil. À première vue, le profil LinkedIn semblait solide et crédible, contrairement à la plupart des profils LinkedIn créés pour les fraudes impliquant des travailleurs ITW de la RPDC. Par exemple, le profil comportait :
Près de 200 connexions
Des liens vers un compte GitHub avec un contenu réaliste (voir plus loin dans le rapport un exemple de compte GitHub non réaliste)
Plusieurs « compétences » sont mentionnées, dont beaucoup ont été validées par plusieurs tiers. Les comptes LinkedIn qui apportaient leur soutien semblaient authentiques.
Figure 1. Profil LinkedIn revendiqué de JJ
Un faux positif bénin
Notre enquête a établi que la personne figurant sur le profil LinkedIn était, jusqu’à récemment, une véritable employée de l’organisation mentionnée.
Notre analyse indique que l’acteur a simplement présenté un véritable profil Linkedin comme étant le sien, en modifiant le nom de sa fausse identité pour qu’il corresponde à celui d’une personne réelle, afin de satisfaire aux critères d’emploi. Notre confiance dans cette évaluation reposait également sur le fait que l’adresse e-mail de l’acteur de la RPDC n’était pas celle utilisée pour le profil LinkedIn légitime. Il s’agissait d’une forme de « vol de valeur » destiné à augmenter leurs chances d’obtenir un emploi.
La difficulté de vérification
Cette technique, qui consiste à créer un personnage à partir d’une identité réelle, renforce la nécessité de procéder à une vérification rigoureuse de l’identité avant toute forme d’emploi. Les employeurs ne doivent pas se fier à un profil LinkedIn pour établir l’historique professionnel d’une personne. Les demandes de vérification adressées aux employeurs actuels ou récents, qui se limitent à confirmer si une personne portant ce nom a occupé le poste aux périodes indiquées sur LinkedIn, ne permettront pas de détecter la fraude. Il est très facile pour un cybercriminel d’utiliser cette technique, ou de générer des CV directement à partir d’un profil Linkedin détourné en utilisant un générateur de CV en ligne ou un système enrichi par l’IA qui exploite un profil public comme source d’informations. La personne malveillante crée simplement une adresse e-mail et un numéro de téléphone modifiés, rendant ainsi la tâche d’une personne chargée du recrutement bien plus complexe.
Les employeurs potentiels devraient intégrer des techniques de vérification d’identité telles que la vérification du permis de conduire mobile. S’ils s’appuient sur des facteurs de connaissance, les vérificateurs doivent uniquement fonder leurs évaluations sur des informations formellement non publiques, telles qu’un numéro d’identification national partiellement masqué ou le nom du dernier responsable à ce poste. Les employeurs ne peuvent pas s’appuyer sur la date de naissance pour une vérification fiable, car cette information est facilement accessible dans les données publiques et les services de recherche de personnes.
n° 2 : « EM » est recruté
Nous appellerons notre deuxième acteur « EM ». Les activités frauduleuses d’EM en matière d’emploi remontent à plus d’un an, avec des centaines d’entretiens menés à nouveau dans tous les secteurs, mais en privilégiant nettement les postes et les entreprises liés à l’IA. Okta Threat Intelligence a également observé EM en entretien avec des organisations d’infrastructures nationales critiques (CNI) sensibles, telles que des entreprises d’aviation commerciale, des fournisseurs de services de communication, des fournisseurs d’accès à Internet, une entreprise de technologies de vote ainsi que des prestataires du secteur du renseignement et de la défense.
EM présente une probabilité statistiquement élevée de réussir ses premiers entretiens et de se voir proposer plusieurs séries d’entretiens par différentes organisations, et il est probable qu’elle ait été recrutée par plusieurs organisations pour des postes en développement logiciel.
Nous avons cherché à découvrir certains des secrets du succès d’EM.
La fausse identité utilisée par EM semble avoir été élaborée à partir d’une photographie en ligne d’une personne réelle, qui avait malheureusement publié suffisamment d’informations en ligne pour permettre à la RPDC (et potentiellement à d’autres) de s’approprier son identité.
Le véritable EM et une problématique d’identité
EM déclare être citoyen des États-Unis lorsqu’on l’interroge sur son éligibilité à l’emploi et présente des documents d’identité très réalistes. Des recherches sur le nom utilisé par cet acteur révèlent qu’il n’existe qu’une seule personne réelle portant ce nom spécifique. Nous avons trouvé des photos d’une personne tenant un document d’identité presque identique à celui que notre acteur présente comme le sien, mais avec une photographie et une signature différentes.
Figure 2. Une identité divulguée sur Facebook, caviardée
Le DPRK EM
L’historique résidentiel et professionnel déclaré par EM diffère sensiblement de celui de la véritable personne dont l’identité a été usurpée. Okta Threat Intelligence a observé qu’EM proposait deux numéros de téléphone de contact différents. Les deux sont des téléphones VoIP, très répandus parmi les acteurs de la RPDC, et l’un d’eux affiche une localisation de l’appelant qui contredit la biographie déclarée. Le profil LinkedIn mentionné dans leur CV a depuis été supprimé par l’équipe de LinkedIn.
lookup cname = SEATTLE WA lookup cname = WESTPORT WA
Les acteurs ITW de la RPDC créent souvent des comptes GitHub à l’apparence impressionnante pour étayer leurs compétences techniques lors des entretiens d’embauche. La gestion des identités et des accès ne fait pas exception à cette règle.
Figure 3. Un compte GitHub remarquable
Un compte GitHub utilisé par EM affiche des milliers de contributions, apparemment depuis 2011.
Figure 4. Carte thermique GitHub, présentant de manière erronée des commits anciens
Figure 5. Le premier commit présenté sur GitHub
Cependant, il semble que EM ait falsifié la plupart des dates de commit.
La date effective de la première contribution d’EM sur ce compte peut être déterminée à l’aide de l’API GitHub (voir la réponse à la requête ci-dessous), qui indique une date de décembre 2024, et non 2011.
➜ ~ curl -s https://api.github.com/repos/em███████/D██████-W██████ | jq -r '.created_at'
2024-12-14T██:██:00Z
Cet acteur a simplement modifié l’année de la date de son commit non signé, la faisant passer de 2024 à 2011.
Les multiples visages (IA) de l’EM
L’image d’EM, telle qu’elle apparaît dans différents profils en ligne, manque de cohérence. Aucun d’entre eux ne ressemble à l’image utilisée dans les faux documents d’identité d’EM.
Figures 6, 7. Photos de profil générées par l’IA
Elles semblent, à l’œil humain, probablement créées par une IA, et plusieurs outils de détection d’IA en ligne fournissent des évaluations de confiance variables à élevées lorsqu’on leur demande si les photos de profil ont été générées par une IA.
Figure 8. Vérificateur d’IA en ligne (source : writehuman.ai)
Une troisième photo de profil, probablement issue d’un compte LinkedIn désormais supprimé, ne présente pas une résolution suffisante pour déterminer avec précision si elle a été générée par une IA. Là encore, il ne s’agit clairement pas de la même chose que l’identité falsifiée ou d’autres images générées par l’IA utilisées par l’acteur.
Figure 9. Encore une apparition pour EM
L’autre EM de la RPDC ?
Au cours de nos recherches, Okta Threat Intelligence a évalué deux autres profils professionnels présentant une biographie et une photo de profil nettement différentes, que les outils ont identifiés comme n’étant probablement pas générés par l’IA.
Figure 10. Un autre profil de la RPDC pour EM
Figure 11. Un troisième profil de la RPDC pour EM
Comme le montre le tableau ci-dessous, les deux profils présentent une situation très différente. Il peut s’agir d’un autre acteur ITW de la RPDC utilisant la même identité, ou d’une version antérieure de la biographie fictive d’EM.
|
Biographie d’EM d’origine |
Deuxième biographie d'EM |
|
|---|---|---|
Emplacement actuel |
Seattle |
Miami |
Éducation |
Diplôme délivré par une université au Japon |
Diplôme de l’Université de Floride |
Fonctions précédentes |
|
|
Emplacement actuel
Seattle
Éducation
Diplôme délivré par une université au Japon
Fonctions précédentes
- Plusieurs postes dans la tech à Seattle, actuellement en activité indépendante
- Un poste au sein d’une entreprise de paris basée à Boston
- Un poste au sein d’une institution financière basée à New York
- Fonctions précédentes en Espagne et au Japon
Emplacement actuel
Miami
Éducation
Diplôme de l’Université de Floride
Fonctions précédentes
- Ingénieur ou ingénieure logiciel au sein d’une entreprise de développement logiciel
- Développeur pour un grand cabinet de conseil
- Ingénieur logiciel pour un autre cabinet de conseil
Votre nouvelle recrue (RPDC)
Au cours de nos recherches, nous évaluons souvent si un acteur ITW de la RPDC a effectivement été recruté pour un poste. Dans ce cas, nous pouvons affirmer avec une grande certitude que EM a été recruté·e, grâce à une publication LinkedIn de son nouvel employeur qui souhaite la bienvenue à la personne nouvellement embauchée.
Figure 12. Accueil d’une nouvelle recrue (RPDC)
La photo utilisée dans cette publication est encore plus manifestement générée par l’IA que toutes les autres images que nous avons analysées.
Des mesures ont été prises pour contacter cette organisation afin de l’informer de nos observations.
Conclusion
Tout comme pour les véritables personnes en recherche d’emploi, la grande majorité des entretiens avec les facilitateurs et agents de la RPDC n’aboutissent pas à un second entretien ni à une proposition d’embauche.
Certains acteurs semblent toutefois plus compétents pour créer des personas et réussir les entretiens de présélection. Leur compétence ne se limite pas à leur capacité à convaincre un employeur potentiel, mais s’étend également aux outils et techniques que les acteurs ITW de la RPDC utilisent pour tenter de dissimuler leur véritable origine.
Compte tenu du nombre considérable de candidatures et d’entretiens réalisés, les différents acteurs du système ITW « tirent manifestement des enseignements de leurs erreurs », en reproduisant dans de nombreux cas des approches (structure et éléments du CV, conception du profil LinkedIn et technologies d’accompagnement pour les entretiens) qui ont permis à une candidature de progresser par rapport à une autre. Une forme de sélection naturelle des ITW est à l’œuvre. Les acteurs les plus performants sont particulièrement prolifiques et ont chacun programmé plusieurs centaines d’entretiens. Nous estimons qu’il est probable qu’ils jouent fréquemment le rôle d’« intermédiaires d’entretien » afin d’obtenir des postes qui sont ensuite confiés à d’autres acteurs ITW de la RPDC.
Le risque lié aux prestataires externes
Notre recherche a révélé qu’un grand nombre de travailleurs et travailleuses IT de la RPDC cherchent des missions temporaires en tant que développeurs et développeuses de logiciels, recrutés par des organisations tierces. Nous estimons que ces entreprises sont potentiellement moins enclines à appliquer des vérifications approfondies des antécédents pour ces personnes employées sur des missions ponctuelles à durée déterminée que ne le feraient les entreprises clientes pour leurs propres recrutements directs.
Cela met en évidence l’importance d’effectuer ces vérifications non seulement pour les personnes embauchées directement, mais aussi pour toutes les personnes ayant accès aux ressources de l’entreprise via des prestataires externes.
Les vérifications des antécédents ne peuvent jamais être facultatives
Dans ce rapport, nous mettons en avant un exemple de détournement délibéré de l’identité d’une personne réelle, ainsi que de son parcours professionnel. Des vérifications rigoureuses des antécédents et de l’emploi seront nécessaires pour déceler cette usurpation d’identité. Pourtant, nous avons également constaté le recrutement d’une personne dont l’identité artificielle ne résisterait même pas à une recherche rapide sur un moteur de recherche.
Les entreprises qui recrutent sans le savoir un acteur de la RPDC s’exposent à un risque de violation de facto de leurs obligations en matière de respect des sanctions internationales, ainsi qu’aux conséquences juridiques associées. Chaque recrutement compromis peut fournir à la RPDC les avantages suivants :
Gain financier direct (salaires détournés au profit du régime)
Accès interne à privilèges aux systèmes, données et réseaux sensibles
Levier opérationnel pour le ransomware, l’extorsion ou des cyberactivités ultérieures
Perte de secrets d’entreprise sensibles sur le plan commercial
Collecte de renseignements stratégiques et accès pour soutenir de futures opérations offensives
Les entreprises doivent donc adopter une défense multiniveau, incluant une vérification rigoureuse de l’identité lors du recrutement, une surveillance continue des accès et des modèles de comportement des personnes travaillant à distance, ainsi qu’un plan de résolution des incidents clair pour gérer les menaces internes ou liées à la chaîne logistique. Lors du recrutement pour des postes impliquant un niveau de confiance et d’accès élevé, la vérification en personne de l’identité et des documents, ainsi que la remise ou la collecte du matériel et des tokens d’accès, représentent un coût relativement faible au regard du risque couru par l'entreprise. L’accès des employés en télétravail, et en particulier des prestataires externes, doit être strictement limité au minimum nécessaire pour exercer leur mission.
Mesures à prendre pour contrer cette menace
Okta Threat Intelligence estime que les entreprises de tous les secteurs, en particulier celles qui proposent des postes à distance ou sous contrat, devraient adopter une approche multiniveau et proactive du recrutement, de l’onboarding et de la surveillance des menaces internes. Okta recommande aux entreprises :
1. Renforcer la vérification de l’identité des personnes candidates
Exiger des vérifications de pièces d’identité officielles et vérifiables à plusieurs étapes du recrutement et de l’emploi
Vérifier la concordance entre les lieux déclarés et les adresses IP (y compris la détection de l’utilisation d’un VPN), le comportement lié au fuseau horaire, les informations bancaires pour la paie et les adresses de livraison communiquées pour l’envoi de matériel.
Utiliser des services tiers accrédités pour authentifier les documents d’identité, les emplois précédents et les diplômes académiques
2. Renforcer les processus de recrutement et de sélection
Formez les équipes RH et les recruteurs à repérer les signaux d’alerte. Encouragez des processus permettant de déterminer si une personne candidate est remplacée entre les différents entretiens. Apprenez-leur à repérer des indices comportementaux tels qu’une connaissance insuffisante de la région où la personne affirme résider, un refus de se rencontrer en personne, un refus d’activer la caméra ou de désactiver les filtres d’arrière-plan lors des entretiens, ou encore la participation à un entretien avec une connexion Internet de très mauvaise qualité. Identifiez les CV en double, les incohérences dans les parcours, les fuseaux horaires non concordants et les références impossibles à vérifier. Évaluez l’empreinte numérique et la présence sur les réseaux sociaux de la personne candidate par rapport aux informations fournies. Lorsque des preuves de travaux antérieurs sont fournies, vérifiez si ces projets ont simplement été clonés à partir de référentiels de profils utilisateur légitimes.
Vérifiez l’historique des modifications des CV et des PDF dans les métadonnées des documents ainsi que d’autres indices techniques liés à la duplication et à la réutilisation.
Ajouter une vérification technique et comportementale structurée (exercices de programmation en direct ou rédaction effectuée sous l’observation d’un recruteur).
Exiger des références professionnelles utilisant une adresse e-mail d’entreprise (et non une messagerie gratuite) et confirmer ces références en appelant le standard principal de l’organisation de référence. Veillez à ce que ces références intègrent des éléments autres que ceux figurant, par exemple, sur les profils LinkedIn publics, comme le nom du ou de la dernier·ère responsable hiérarchique.
3. Appliquer des contrôles des accès fondés sur les rôles et segmentés
Attribuez par défaut aux nouvelles personnes salariées ou aux travailleurs temporaires des profils à privilèges minimaux, puis déverrouillez des accès supplémentaires une fois les vérifications de la période d’essai terminées.
Segmentez les environnements de développement, de test et de production ; exigez des workflows de relecture par les pairs et d’approbation pour les fusions de code et les déploiements.
Surveiller les modèles d’accès inhabituels (extractions massives de données, connexions en dehors des horaires habituels depuis des zones géographiques ou des VPN inattendus, partage d’identifiants).
Utilisez des campagnes de certification des accès pour encadrer les accès en continu.
4. Surveiller les prestataires et les fournisseurs de services tiers
Dans la mesure du possible, imposer contractuellement des standards de vérification continue de l’identité, des vérifications d’antécédents, des politiques d’authentification forte, des référentiels de sécurité des appareils et des droits d’audit.
Exigez des comptes nominatifs (évitez autant que possible les connexions partagées ou les comptes de service internes) et séparez l’accès au tenant ou au projet pour chaque environnement client.
5. Mettre en place des programmes de prévention des menaces internes et de sensibilisation à la sécurité
Mettre en place une fonction dédiée à la gestion des risques internes ou, à défaut, constituer au minimum un groupe de travail réunissant les équipes RH, juridiques, sécurité et IT.
Proposez une formation ciblée aux recruteurs, aux responsables du recrutement et aux responsables techniques sur les techniques ITW et les contrôles de sélection.
Sensibiliser et responsabiliser les responsables du recrutement et les membres du personnel afin qu’ils puissent observer et signaler tout comportement potentiellement inhabituel de la part de leurs pairs, susceptible de soulever des questions sur leur identité, leurs objectifs ou leur localisation.
Créez des canaux de signalement plus sûrs pour les comportements suspects ou les préoccupations concernant les candidats.
6. Se coordonner avec les forces de l’ordre et les pairs de votre secteur
Partager les indicateurs de compromission et les modèles suspects de candidats avec les unités nationales de lutte contre la cybercriminalité et les groupes ISAC/ISAO.
Développer des méthodes permettant au groupe « insider-risk » de recevoir et de traiter des indicateurs (adresses e-mail, adresses IP, fournisseurs de VPN, création de documents et indicateurs comportementaux), et se préparer à partager en retour les informations pertinentes recueillies.
Participer activement à des forums de partage d’informations pour suivre l’évolution des tactiques et des outils.
7. Réaliser régulièrement des évaluations des risques et des exercices de red teaming
Modéliser les parcours d’attaque des personnes internes et des prestataires malveillants ; quantifier l’impact potentiel pour l’entreprise.
Réalisez des exercices de red team pour tester le pipeline de recrutement (simulation de candidature et d’entretiens avec un candidat RPDC) afin d’évaluer les processus de vérification de l’identité.
Mettez à jour les plans de réponse aux incidents afin d’y inclure des scénarios impliquant des initiés malveillants, des sous-traitants compromis et une révocation accélérée de l’accès.
Okta Threat Intelligence remercie Epieos pour son aide dans le cadre des recherches menées pour cet article.
