Les unités de piratage parrainées par l’État nord-coréen les plus actives ne se contentent plus de simples e-mails de phishing et d’intrusions par force brute. Selon plusieurs entreprises de cybersécurité et agences gouvernementales, des groupes liés à Pyongyang ont commencé à développer des outils offensifs personnalisés avec l’IA générative, et la montée en puissance des cyberattaques nord-coréennes basées sur l’IA laisse déjà des traces dans des incidents réels en Corée du Sud et dans le secteur technologique mondial.
Summary
Points clés à retenir
- Kimsuky, APT45 et Famous Chollima ont tous été documentés comme utilisant des modèles d’IA générative, notamment ChatGPT et Gemini de Google, pour soutenir leurs opérations de piratage.
- Kaspersky a découvert que Kimsuky avait utilisé l’IA pour créer un malware appelé HelloDoor, identifiable par des commentaires de code remplis d’emojis et des erreurs grammaticales typiques d’un texte généré par machine.
- Famous Chollima a été lié à 47 % de tous les incidents de piratage soutenus par des États visant le secteur technologique entre avril 2025 et mai 2026, selon CrowdStrike.
- Le Centre national de cybersécurité de Corée du Sud a mis en garde en juin 2026 contre la montée de « l’IA agentique », capable de lancer des attaques autonomes.
Les hackers nord-coréens adoptent l’IA générative pour leurs cyberattaques
L’IA générative est discrètement devenue un élément standard de la boîte à outils de l’appareil de piratage nord-coréen. Les chercheurs en cybersécurité indiquent que Kimsuky et APT45, en particulier, ont été pris en flagrant délit d’utilisation de grands modèles de langage tels que ChatGPT et Gemini de Google, non pas comme de simples curiosités expérimentales, mais comme une infrastructure fonctionnelle pour créer des malwares, mener des campagnes d’ingénierie sociale et sonder les faiblesses logicielles à un rythme qu’aucune équipe humaine ne pourrait égaler.
Ce changement est important car il modifie l’économie du piratage soutenu par les États. Des tâches qui nécessitaient autrefois des équipes de développeurs qualifiés et des jours de tests manuels peuvent désormais être automatisées, compressées et mises à l’échelle avec beaucoup moins de personnes impliquées.
Développement de malwares personnalisés alimentés par l’IA
Kaspersky a rapporté en mai 2026 que Kimsuky avait utilisé un grand modèle de langage pour aider à développer une souche de malware nommée HelloDoor. Le code présentait deux indices révélateurs de l’implication de l’IA : des commentaires truffés d’emojis et des schémas grammaticaux plus cohérents avec un texte généré par machine qu’avec le style d’écriture d’un développeur natif. Ces particularités ont fourni aux chercheurs une empreinte inhabituelle mais utile pour remonter la piste de ce malware assisté par IA jusqu’à son origine probable.
Campagnes d’ingénierie sociale et de phishing pilotées par l’IA
L’utilisation de l’IA par Kimsuky va au-delà de l’écriture de code. Dès septembre 2025, le groupe aurait utilisé ChatGPT pour fabriquer de faux documents d’identification militaire sud-coréens, puis les aurait déployés dans des attaques de phishing se faisant passer pour des institutions de défense. L’objectif était simple : tromper les cibles pour qu’elles livrent leurs identifiants ou cliquent sur des liens malveillants déguisés en communications officielles.
Famous Chollima a emprunté une autre voie en matière d’ingénierie sociale. Selon un rapport de CrowdStrike, le groupe a utilisé des deepfakes générés par IA et de faux profils professionnels pour postuler à de vrais emplois dans la tech, obtenant ainsi un accès interne qui a ensuite servi des objectifs d’espionnage ou de vol une fois à l’intérieur des entreprises ciblées.
Techniques et opérations spécifiques basées sur l’IA menées par les groupes nord-coréens
Chaque groupe semble avoir développé sa propre spécialité dans le cadre de l’essor plus large du développement de malwares Kimsuky basés sur l’IA et des intrusions assistées par IA. Les différences de méthode montrent à quel point les applications de l’IA générative se sont diversifiées au sein de l’appareil cybernétique nord-coréen.
Le malware HelloDoor de Kimsuky avec des signatures d’IA
Le cas HelloDoor reste l’exemple documenté le plus clair de création de malware assistée par IA attribuée à Kimsuky. Les conclusions de Kaspersky suggèrent que le groupe s’est appuyé sur un modèle de langage pour la génération de code proprement dite, et pas seulement pour la planification ou la documentation, une distinction qui différencie cet incident des usages plus superficiels antérieurs des chatbots d’IA pour la recherche ou la traduction.
Le prompting récursif d’APT45 pour analyser les vulnérabilités logicielles
APT45 a adopté une stratégie sensiblement différente. Google Threat Intelligence a documenté que le groupe envoyait des milliers de requêtes répétitives à des grands modèles de langage dans une technique que les chercheurs appellent le prompting récursif. L’approche était méthodique : analyser des vulnérabilités logicielles connues, puis tester systématiquement si le code d’exploitation existant pouvait réellement fonctionner contre ces faiblesses. Ce type de requêtes volumineuses et répétitives est précisément le genre de tâche que l’IA excelle à automatiser.
Usage intensif de l’IA par Famous Chollima pour les deepfakes et la fabrication d’identités
Les campagnes d’infiltration basées sur des deepfakes menées par Famous Chollima ont produit la statistique la plus frappante de cette vague de rapports. Les données de CrowdStrike montrent que les opérations du groupe représentaient 47 % de tous les incidents de piratage soutenus par des États visant le secteur technologique entre avril 2025 et mai 2026, ce qui en fait, de loin, l’acteur le plus prolifique suivi durant cette période. Cette concentration souligne pourquoi les identités fabriquées et l’infiltration via les candidatures à l’emploi sont devenues une préoccupation persistante pour les responsables du recrutement et les équipes de sécurité dans l’ensemble de l’industrie technologique.
Avertissements en matière de cybersécurité et impact stratégique des attaques renforcées par l’IA
Le développement le plus lourd de conséquences n’est peut-être pas un incident isolé, mais un avertissement sur la direction que prend cette tendance. En juin 2026, le Centre national de cybersécurité de Corée du Sud a alerté le public sur l’émergence de ce qu’il a appelé « l’IA agentique », des systèmes capables d’exécuter des cyberattaques de manière autonome, sans direction humaine continue. L’agence a averti que de tels systèmes pourraient théoriquement mener des dizaines de milliers d’actions malveillantes par seconde, une échelle tout simplement inatteignable par une opération manuelle.
C’est pourquoi le concept de menaces liées à l’IA agentique a attiré une attention particulière de la part des chercheurs en cybersécurité, qui décrivent plus largement l’IA comme un « multiplicateur de force » pour les opérations nord-coréennes. Plutôt que de remplacer complètement les hackers humains, l’IA semble permettre aux équipes existantes de mener des campagnes plus vastes avec beaucoup moins d’efforts manuels, augmentant de fait à la fois la vitesse et la portée du piratage soutenu par les États sans augmentation proportionnelle des effectifs.
Ciblage récent de l’infrastructure gouvernementale sud-coréenne
La Corée du Sud reste la cible principale, pour des raisons ancrées dans les tensions géopolitiques de longue date sur la péninsule. Kimsuky a activement ciblé l’infrastructure de certification du gouvernement sud-coréen aussi récemment qu’à la mi-2026, selon des chercheurs en sécurité qui suivent l’activité du groupe, montrant que les tactiques assistées par IA sont appliquées à des systèmes étatiques sensibles quasiment en temps réel plutôt que dans des incidents isolés et ponctuels.
Motivations financières et de renseignement derrière les opérations cyber nord-coréennes
Les opérations cyber nord-coréennes n’ont jamais été uniquement axées sur l’espionnage. Elles ont historiquement été tout autant motivées par le profit que par le renseignement, le groupe Lazarus étant lié à certains des plus grands braquages de cryptomonnaies jamais enregistrés. Ajouter des capacités d’IA à des groupes déjà spécialisés dans la cybercriminalité financière soulève une question inconfortable pour le secteur : si l’IA peut aider ces acteurs à écrire de meilleurs malwares, à fabriquer des documents plus convaincants et à créer des identités plus crédibles, elle augmente probablement aussi le plafond de ce qu’ils peuvent voler et la vitesse à laquelle ils peuvent se déplacer une fois à l’intérieur d’un réseau.
Cette combinaison de collecte de renseignements et de vol financier, désormais amplifiée par des outils d’IA, devrait continuer à attirer l’attention à la fois des régulateurs sud-coréens et des entreprises internationales de cybersécurité qui suivent la prochaine génération de techniques d’intrusion parrainées par des États.
FAQ
Comment les groupes de hackers nord-coréens utilisent-ils l’IA dans leurs cyberattaques ?
Des groupes comme Kimsuky, APT45 et Famous Chollima utilisent l’IA générative pour développer des malwares, analyser des vulnérabilités logicielles, falsifier des pièces d’identité, créer des deepfakes et automatiser certaines parties de leurs campagnes d’attaque.
Qu’est-ce que « l’IA agentique » et pourquoi est-ce préoccupant ?
L’IA agentique désigne des systèmes capables d’exécuter de manière autonome des cyberattaques à grande vitesse sans contrôle humain continu, une capacité dont le Centre national de cybersécurité de Corée du Sud a averti qu’elle pourrait théoriquement permettre des dizaines de milliers d’actions malveillantes par seconde.
Quel groupe de hackers nord-coréen a été le plus actif contre le secteur technologique ?
Famous Chollima a représenté 47 % des incidents de piratage soutenus par des États visant le secteur technologique entre avril 2025 et mai 2026, selon les données de CrowdStrike.
Quelles activités récentes Kimsuky a-t-il menées en utilisant des outils d’IA ?
Kimsuky a développé le malware HelloDoor documenté en mai 2026, a fabriqué de fausses pièces d’identité militaires sud-coréennes en utilisant ChatGPT pour des campagnes de phishing dès septembre 2025, et a ciblé l’infrastructure de certification du gouvernement sud-coréen aussi récemment qu’à la mi-2026.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Comment les groupes de hackers nord-coréens utilisent-ils l’IA dans leurs cyberattaques ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Des groupes comme Kimsuky, APT45 et Famous Chollima utilisent l’IA générative pour développer des malwares, analyser des vulnérabilités logicielles, falsifier des pièces d’identité, créer des deepfakes et automatiser certaines parties de leurs campagnes d’attaque. »}},{« @type »: »Question », »name »: »Qu’est-ce que « l’IA agentique » et pourquoi est-ce préoccupant ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’IA agentique désigne des systèmes capables d’exécuter de manière autonome des cyberattaques à grande vitesse sans contrôle humain continu, une capacité dont le Centre national de cybersécurité de Corée du Sud a averti qu’elle pourrait théoriquement permettre des dizaines de milliers d’actions malveillantes par seconde. »}},{« @type »: »Question », »name »: »Quel groupe de hackers nord-coréen a été le plus actif contre le secteur technologique ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Famous Chollima a représenté 47 % des incidents de piratage soutenus par des États visant le secteur technologique entre avril 2025 et mai 2026, selon les données de CrowdStrike. »}},{« @type »: »Question », »name »: »Quelles activités récentes Kimsuky a-t-il menées en utilisant des outils d’IA ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Kimsuky a développé le malware HelloDoor documenté en mai 2026, a fabriqué de fausses pièces d’identité militaires sud-coréennes en utilisant ChatGPT pour des campagnes de phishing dès septembre 2025, et a ciblé l’infrastructure de certification du gouvernement sud-coréen aussi récemment qu’à la mi-2026. »}}]}
Article produit avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.
