Le 10 août 2026, la société sud-coréenne Genians a confirmé que Kimsuky, groupe de hackers étatique nord-coréen, a mis en place trois environnements locaux d’IA pour automatiser ses cyberattaques contre le secteur crypto et financier. Cette industrialisation marque un tournant : les leurres de phishing, le développement de malwares et l’analyse de données volées sont désormais confiés à des modèles de langage opérant hors ligne, à l’abri des grands clouds.
🔑 En bref
- Trois LLM locaux (Ollama, GPT4All, Msty) identifiés sur l’infrastructure de Kimsuky
- Des leurres de phishing imitant une plateforme d’investissement sud-coréenne alimentée par l’IA
- 2,02 Mrd$ de crypto volés par les pirates nord-coréens en 2025, dont 1,5 Mrd$ lors du hack de Bybit
- Une faille dans les portefeuilles Coldcard exploitée à hauteur de 100 M$ via une vulnérabilité découverte par l’IA
- Sanctions du Trésor US en 2023, lien confirmé avec Emerald Sleet et Velvet Chollima
Une pile d’IA locale et hors ligne
Selon le rapport de Genians publié le 10 août 2026, Kimsuky a assemblé une véritable pile d’intelligence artificielle sur ses propres machines, sans dépendre d’API (interface de programmation) cloud. Les trois outils identifiés — Ollama, GPT4All et Msty — permettent de faire tourner des modèles de langage directement sur les postes des opérateurs, avec un mécanisme de génération augmentée de récupération (RAG) qui indexe des documents internes pour répondre à des requêtes spécialisées.
Cette architecture présente deux avantages stratégiques. D’une part, elle supprime tout transfert de données sensibles vers OpenAI, Anthropic ou Google, contournant ainsi les interdictions d’accès déjà imposées par Microsoft au sous-groupe « Emerald Sleet ». D’autre part, la RAG permet d’injecter dans les contextes des modèles des corpus spécifiques : listes de cibles, vocabulaire fintech, gabarits de documents d’investissement sud-coréens. Le groupe a également collecté des bibliothèques d’intégration LLM, l’assistant de programmation Cursor et des outils de reconnaissance vocale, formant une chaîne complète allant du développement à l’exécution.
Du phishing artisanal à l’arme de masse
Les chercheurs de Genians ont identifié plusieurs documents de phishing générés par IA, rédigés en coréen et en anglais, qui reproduisent avec un réalisme troublant les rapports d’une plateforme d’investissement sud-coréenne assistée par IA. Mise en page, ton, typographie et vocabulaire financier sont alignés au pixel près avec les contenus officiels, ce qui réduit considérablement le taux de détection par les victimes et les filtres anti-spam.
Ces leurres ciblent trois segments : les détenteurs de crypto-actifs, les conseillers en stratégies d’investissement et les équipes produit de fintechs. Une fois la pièce jointe ouverte, les charges utiles BabyShark (script Windows de profilage système et de vol d’identifiants, observé depuis 2018) et AppleSeed (porte dérobée active depuis 2019 et suivie par l’ASEC) prennent le relais. La plateforme AIDE de la Global Cyber Alliance a capté plusieurs vagues de connexions répétées liées à ces deux familles, confirmant qu’elles restent des piliers opérationnels de Kimsuky malgré leur ancienneté.
« This provides concrete evidence that the Kimsuky-affiliated threat actor is moving beyond one-off experimentation with AI and is continuously preparing to integrate the technology into actual attack capabilities. »
Genians, rapport du 10 août 2026
2,02 milliards de dollars volés en 2025
Les pirates affiliés à Pyongyang restent la principale menace contre les plateformes crypto. Selon Chainalysis, ils ont dérobé 2,02 Mrd$ de cryptomonnaies en 2025, dont 1,5 Mrd$ lors du piratage de l’échange Bybit — l’un des plus grands braquages numériques de l’histoire. Le rapport du Conseil de sécurité des Nations Unies de mars 2024 chiffre pour sa part à 3 Mrd$ le montant cumulé détourné entre 2017 et 2023 pour financer les programmes d’armement nord-coréens.
Quelques attaques emblématiques
| Année | Cible | Montant | Méthode |
|---|---|---|---|
| 2025 | Bybit | 1,5 Mrd$ | Compromission d’infrastructure |
| 2025 | Portefeuilles Coldcard | 100 M$ | Faille logicielle identifiée par IA |
| 2024 | Forum crypto sud-coréen | Plusieurs M$ | Phishing email |
| 2017-2023 | Multiples exchanges | 3 Mrd$ (cumul) | Phishing, intrusion interne |
L’épisode Coldcard illustre la nouvelle doctrine : selon plusieurs experts, l’exploit de 100 M$ sur ces portefeuilles matériels bitcoin repose sur une vulnérabilité obscure découverte par un modèle d’IA, ce qui aurait réduit à quelques jours un travail de rétro-ingénierie habituellement long de plusieurs mois.
« AI is supercharging hackers’ ability to find software vulnerabilities faster than traditional security can patch them. »
Illia Polosukhin, cofondateur de NEAR Protocol
Une infrastructure mondiale sous surveillance
Les données publiées par la Global Cyber Alliance à partir de sa plateforme AIDE dressent la carte d’une infrastructure d’attaque particulièrement dispersée. Les capteurs ont détecté une signature user-agent Internet Explorer 11 — « Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko » — dans le trafic de commande et de contrôle, signature reconnue comme indicateur de compromission (IoC) par la CISA et le FBI.
En termes de volume, les serveurs hébergés au Panama arrivent en tête, suivis par les États-Unis, le Royaume-Uni et l’Allemagne. Cette dispersion géographique, combinée à l’usage de fournisseurs de cloud, d’opérateurs télécoms et de FAI locaux, complique considérablement l’attribution et la neutralisation des actifs de Kimsuky.
Répartition des hôtes identifiés
| Pays | Part relative du trafic C2 | Type d’infrastructure |
|---|---|---|
| Panama | Plus forte concentration | Hébergement commercial |
| États-Unis | Élevée | Cloud, FAI |
| Royaume-Uni | Moyenne | Hébergement, FAI |
| Allemagne | Moyenne | Hébergement, FAI |
Sanctions, coopération et défense proactive
Le département du Trésor américain a placé Kimsuky sur sa liste de sanctions en 2023, le décrivant comme un groupe de cyberespionnage sous contrôle du régime de Pyongyang. La CISA, de son côté, le suit depuis 2012 comme acteur de la collecte de renseignements mondiaux, principalement contre des agences sud-coréennes et les spécialistes du triangle Corée du Sud–États-Unis–Japon.
En février 2024, la Corée du Sud a publié sa Stratégie nationale de cybersécurité révisée, articulée autour de la défense proactive, du renforcement des infrastructures critiques et de la coopération internationale. Le document prévoit explicitement l’intégration de systèmes d’IA pour la détection et la réponse aux menaces en temps réel, ainsi que la création d’un Institut de sécurité de l’IA d’ici fin 2024. En avril 2023, Washington et Séoul ont lancé un Cadre de coopération stratégique en cybersécurité, suivi en décembre 2023 de discussions trilatérales avec Tokyo.
« Les Nord-Coréens sont certains des acteurs les plus créatifs et innovants dans l’exploitation des technologies émergentes. »
Anne Neuberger, conseillère adjointe à la sécurité nationale américaine pour le cyber et les technologies émergentes
Vers une industrialisation de la cybercriminalité étatique
Le passage de Kimsuky à des environnements d’IA locaux et persistants n’est pas anecdotique : il signe la fin des expérimentations ponctuelles et le début d’une chaîne d’attaque reproductible, mises à jour au rythme des modèles open source. En retirant la dépendance aux API cloud, le groupe échappe aux interdictions imposées par Microsoft à Emerald Sleet et gagne en autonomie opérationnelle — un avantage tactique majeur dans un contexte de sanctions renforcées.
Pour les acteurs de la crypto et de la finance, les implications sont doubles. À court terme, les leurres de phishing gagneront encore en réalisme, ce qui impose un durcissement des procédures d’authentification (MFA matériel, signatures multi-parties sur les treasuries d’exchanges). À moyen terme, la découverte de vulnérabilités assistée par IA raccourcira le cycle entre la divulgation d’un bug et son exploitation, obligeant les éditeurs de portefeuilles et de smart contracts à accélérer leurs audits et leurs programmes de bug bounty. La course entre défenseurs et attaquants vient de changer d’échelle.
Sources
- The Block — North Korea’s Kimsuky integrates AI into cyberattacks targeting crypto
- Global Cyber Alliance — AIDE data on Kimsuky
- Reuters — North Korean hacking group builds AI tools for cyberattacks
- Techzine — North Korean hackers build an AI environment for cyberattacks
- UNN — North Korean hackers are creating AI tools for cyberattacks
- Georgetown Journal of International Affairs — AI and cybersecurity on the Korean peninsula
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
