Afficher le sommaire Masquer le sommaire
Le recruteur pose sa question, le candidat marque un temps, puis déroule sa réponse sans hésiter. Entre les deux, la question a transité par ChatGPT. Insikt Group, le groupe d’analyse des menaces de la société américaine de cybersécurité Recorded Future, décrit cette mécanique dans un rapport consacré à PurpleDelta, un réseau de travailleurs informatiques nord-coréens opérant sous de fausses identités. Le même groupe apparaît dans d’autres travaux sous les noms de Jasper Sleet, UNC5267, Wagemole ou Famous Chollima. Au moins dix organisations ont recruté certains de ses membres, confirme Insikt Group.
A LIRE AUSSI
La Corée du Nord finance son programme nucléaire et militaire en volant des cryptomonnaies
L’outillage tient en quelques logiciels grand public. Pendant l’appel vidéo, l’opérateur enregistre son écran avec iTop Screen Recorder et fait transcrire en direct le son de la conversation par Krisp et Caption.Ed, deux applications de sous-titrage automatique. Il copie ensuite chaque question du recruteur dans ChatGPT, l’assistant conversationnel d’OpenAI, et répète mot à mot la réponse qui s’affiche. Face à son interlocuteur, le candidat se contente de lire.
Cette lecture est préparée en amont. Pour chacune de ses fausses identités, PurpleDelta configure un Custom GPT, une version de ChatGPT paramétrée par l’utilisateur, qui adopte la personnalité, le parcours et l’historique professionnel du personnage. Interrogé sur un ancien employeur ou sur un projet cité dans le CV, l’agent répond en cohérence avec le dossier. L’opérateur n’a donc pas à mémoriser la biographie de chacun des personnages qu’il incarne : la machine en garde la trace et la restitue à la demande.
Le dispositif comble deux lacunes que les recruteurs savaient repérer. Certains opérateurs parlent un anglais limité, d’autres ne maîtrisent pas les compétences techniques exigées par le poste, relève Insikt Group. La transcription automatique pallie la première : l’opérateur lit la question au lieu de devoir la comprendre à l’oral. ChatGPT pallie la seconde, puisqu’une question pointue sur un langage de programmation reçoit en quelques secondes une réponse plausible, que le candidat n’a plus qu’à énoncer avec aplomb.
Reste l’image. Les régulateurs avaient appris aux employeurs à se méfier d’un signal précis : le candidat qui refuse d’allumer sa caméra pendant l’entretien. La consigne visait des imposteurs incapables de montrer un visage conforme à leurs papiers. Or les opérateurs de PurpleDelta acceptent désormais les appels vidéo, rapporte Insikt Group, en combinant l’assistance de l’IA et des outils de falsification de visage. Le rapport ne précise pas si ces trucages s’appliquent à l’image en direct ou seulement aux photos de profil. Dans les deux cas, le réflexe enseigné aux recruteurs joue contre eux : un candidat qui se montre à l’écran franchit le contrôle conçu pour arrêter les faux profils.
Une cadence de soixante candidatures par jour
Chaque entretien truqué est le produit d’un tri massif. Entre la fin de 2024 et le début de 2025, un seul groupe d’opérateurs de PurpleDelta a déposé des candidatures auprès de plus de 1 100 entreprises dans le monde, selon Insikt Group. Le rythme dépasse soixante candidatures par jour, envoyées par l’intermédiaire de sites d’emploi et de plateformes de travail indépendant comme Indeed, Upwork, ZipRecruiter, Remote OK ou SEEK. Environ 80 % des entreprises ciblées sont implantées en Amérique du Nord.
Tenir un tel rythme avec des dossiers personnalisés suppose d’automatiser l’écriture. PurpleDelta a confié cette tâche à un autre agent ChatGPT, paramétré pour rédiger des CV ajustés aux exigences de chaque offre de développeur senior. Chaque annonce reçoit ainsi une candidature qui reprend ses mots-clés et les compétences qu’elle réclame. Le volume ne trahit rien de la fabrication en série.
Les secteurs visés montrent où le réseau cherche à entrer. Les services informatiques et les éditeurs de logiciels vendus en ligne sur abonnement (SaaS) représentent 41 % des cibles, le recrutement et le conseil 26 %, la santé et les biotechnologies 10 %, la fintech (les services financiers numériques) et l’assurance 7 %, l’IA, les données et la sécurité 6 %. Ces emplois techniques ouvrent un accès direct au code, aux serveurs et aux données des clients. À soixante candidatures quotidiennes, un taux de réussite de quelques pour mille suffit à placer des agents dans ces entreprises.
Faux papiers et identités volées
Derrière chaque CV, il faut un visage et un nom. Les photos de profil des faux candidats sortent d’insertFace.com, un service d’échange de visages (face swapping) qui greffe un visage sur une autre photographie. Pour franchir les contrôles d’identité, les opérateurs s’approvisionnent auprès d’un service illégal baptisé TrustID Card, accessible à l’adresse trustidcard[.]com, qui fabrique de fausses cartes d’identité de plusieurs pays.
À ces documents forgés s’ajoutent des identités réelles. Le groupe achète celles de citoyens américains ou ukrainiens, ainsi que des identifiants volés issus de journaux d’infostealers, ces logiciels espions qui aspirent mots de passe et données personnelles sur les machines infectées, revendus sur la messagerie Telegram. Une identité réelle résiste mieux qu’un faux aux vérifications d’antécédents : elle possède un historique, une adresse, parfois un parcours scolaire.
Insikt Group a recensé au moins vingt-deux identités gérées en parallèle par le groupe. Pour éviter que deux profils ne se croisent, les opérateurs utilisent Wavebox, un navigateur conçu pour gérer plusieurs comptes, des profils Google Chrome distincts et des agendas Google Calendar séparés. Le suivi des candidatures tient dans des tableaux Google Sheets. Des outils de bureautique ordinaires servent ainsi à administrer, dossier par dossier, une fraude conduite pour le compte d’un État.
Deux emplois pour un seul opérateur
Une fois le poste obtenu, la fraude change de nature. Les dix employeurs piégés travaillent dans l’IA, la fintech, les services informatiques, les médias et le secteur non lucratif ; Insikt Group n’en nomme aucun. Dans ces entreprises, l’opérateur doit désormais tenir un emploi, tout en continuant d’en chercher d’autres.
Le cumul est la règle. Sous le profil de « Patrick », un opérateur occupe un poste à temps plein dans une société spécialisée dans l’IA, et passe dans le même temps des entretiens pour une autre entreprise sous le nom de « Michael Brown ». Les réunions se chevauchent. Les managers de ces salariés relèvent des absences imprévues et une communication qui se raréfie, seuls indices visibles, côté employeur, d’une double vie professionnelle.
Le matériel pose un autre problème. Les entreprises expédient à leurs recrues un ordinateur portable de fonction, configuré et surveillé par leurs équipes informatiques. Pour continuer à travailler sur leurs propres machines, les opérateurs préparent des excuses, traduites avec Google Translate. L’une d’elles invoque le cancer du sein de la mère du salarié, qui exigerait des soins urgents à domicile et l’empêcherait d’aller retirer le colis. Le prétexte joue sur la gêne du manager, peu enclin à insister face à une maladie grave.
Quand une tâche technique dépasse ses compétences, l’opérateur ne reste pas seul. Les membres du réseau se coordonnent sur Slack, une messagerie professionnelle, et sur Telegram pour se répartir le travail qui leur est confié. L’employeur, lui, verse un seul salaire et ignore combien de personnes travaillent derrière le compte.
Les facilitateurs, relais dans les pays cibles
Ces personnes travaillent souvent sur les ordinateurs que les entreprises ont bel et bien expédiés. PurpleDelta s’appuie sur des facilitateurs installés dans les pays ciblés, chargés de réceptionner le matériel envoyé par les employeurs. Ces complices y installent des logiciels de prise en main à distance, comme AnyDesk, Chrome Remote Desktop, Jump Desktop ou RealVNC, qui donnent aux opérateurs basés en Asie le contrôle de la machine.
Le réseau recrute aussi ses relais sur les plateformes où il cherche ses victimes. Sur Upwork ou Telegram, il démarche des développeurs indépendants pour louer leur compte et leur ordinateur, contre une commission de 10 % à 15 % des revenus générés, notamment par l’intermédiaire d’entités vitrines comme minicursor[.]com. Le freelance encaisse sa part sans écrire une ligne de code.
L’ordinateur de fonction, que les services informatiques considèrent comme leur principal point de contrôle sur un salarié à distance, devient alors un simple terminal, allumé dans le bon pays et piloté depuis l’autre bout du monde. Ces complices, qui manipulent le matériel et touchent l’argent sous leur propre nom, sont aussi le maillon le plus exposé du dispositif.
De Shenyang à l’Amérique du Nord
Les connexions, elles, partent de loin. Plusieurs artefacts informatiques (traces laissées sur les machines et les comptes) et profils orientent vers Shenyang, dans le nord-est de la Chine, comme lieu de travail réel des opérateurs, indique Insikt Group, sans que cette localisation soit établie avec certitude. Pour franchir le Grand Pare-feu, le système de filtrage d’Internet imposé par Pékin, et masquer leur provenance, ils utilisent systématiquement le VPN Astrill, un réseau privé virtuel qui chiffre et redirige le trafic.
S’y ajoutent des numéros de téléphone et des eSIM (cartes SIM dématérialisées) achetés auprès d’eSIM Plus, de Blacktel ou de Google Voice, pour recevoir les codes de vérification des plateformes. L’émulateur Android MEmu reproduit un smartphone sur un ordinateur. Des proxys résidentiels, fournis par IPRoyal ou Proxy-Seller, font transiter les connexions par des adresses de particuliers. Vu de l’entreprise, le salarié se connecte depuis un domicile nord-américain, là même où un facilitateur garde son ordinateur de fonction allumé.
Salaires pour Pyongyang, réunions enregistrées
L’opération poursuit deux objectifs, selon Insikt Group. Le premier est financier : les revenus illicites tirés de ces emplois sont canalisés vers le financement des programmes militaires et nucléaires de la Corée du Nord, frappés de sanctions internationales. Chaque salaire versé à « Patrick » ou à « Michael Brown » contourne ainsi les restrictions imposées à Pyongyang.
Le second objectif touche à la sécurité des employeurs. Les opérateurs enregistrent les sessions de travail et les réunions internes des entreprises qui les emploient, a constaté Insikt Group. Le rapport les présente en outre comme capables d’exfiltrer du code source (les instructions qui composent un logiciel) et d’exposer des données propriétaires, sans citer de cas où un tel vol aurait été observé. Les entreprises qui paient ces salaires ouvrent donc aussi, à leur insu, leurs réunions au régime qui les encaisse.
Livraison, localisation, virement : trois failles
L’IA a rendu l’entretien moins fiable. Le dispositif reste pourtant vulnérable là où il touche le monde physique et l’argent. Insikt Group recommande d’abord d’exiger que l’ordinateur de fonction soit remis en main propre, contre la signature de la personne embauchée, et d’interdire toute livraison vers une boîte postale anonyme. Un facilitateur qui signe à la place du salarié laisse une trace.
La localisation fournit un deuxième point d’appui. Les entreprises peuvent géolocaliser régulièrement leurs ordinateurs portables et comparer leur position avec le lieu de travail déclaré, exiger que les VPN commerciaux soient désactivés lors des connexions au réseau interne, et dresser une liste noire des logiciels de prise en main à distance non autorisés. AnyDesk ou RealVNC, installés sans accord, trahissent alors la présence d’un intermédiaire.
Le paiement ferme la boucle. Insikt Group conseille de refuser tout versement de salaire en cryptomonnaies et de vérifier que les coordonnées bancaires correspondent exactement aux pièces d’identité fournies. En amont, le rapport préconise des entretiens vidéo avec présentation de pièces officielles notariées, des vérifications biométriques et des appels directs aux anciens employeurs et aux établissements d’enseignement cités dans le CV.
La dernière recommandation part du principe qu’un salarié peut être un agent. Insikt Group plaide pour une architecture dite « zero trust », qui n’accorde à chaque employé que les droits strictement nécessaires à sa tâche, restreint l’accès au code source et cloisonne le réseau pour qu’un poste compromis n’ouvre pas la voie au reste des systèmes de l’entreprise.
