Imaginez un instant : des entreprises américaines embauchent des développeurs ou des techniciens support, leur envoient un ordinateur professionnel, et croient travailler avec un employé installé quelque part dans l’Ohio ou au Texas. Sauf que derrière l’écran, c’est un informaticien basé en Corée du Nord qui code, répond aux tickets et envoie chaque mois une partie de son salaire à Pyongyang. Ce n’est plus de la fiction. C’est exactement ce que le département de la Justice des États-Unis vient de démanteler en octobre 2026.
Un montage sophistiqué au service d’un régime sous sanctions
Le 13 octobre dernier, les autorités fédérales ont annoncé une série d’actions coordonnées contre des réseaux d’informaticiens nord-coréens qui travaillaient à distance pour des sociétés américaines. Le bilan est déjà impressionnant : quatorze personnes inculpées, deux arrestations sur le sol américain et environ cent quatre-vingt-sept appareils saisis. Derrière ces chiffres se cache un système bien huilé qui a permis de générer plusieurs millions de dollars destinés à financer le régime de Kim Jong-un.
Ce qui frappe le plus, c’est la simplicité apparente du dispositif combinée à son efficacité. Des identités volées ou fabriquées, des VPN, des proxy, et surtout des facilitateurs américains qui accueillaient les ordinateurs fournis par les employeurs chez eux. Ces installations, rapidement surnommées laptop farms, servaient de points d’accès locaux. L’ordinateur était physiquement aux États-Unis, mais celui qui l’utilisait se trouvait à des milliers de kilomètres.
Comment fonctionnait vraiment le système
Selon l’acte d’accusation déposé dans l’Ohio, le dispositif a tourné de 2019 jusqu’à l’été 2025 environ. Des informaticiens nord-coréens se procuraient des documents d’identité américains volés ou contrefaits. Avec ces papiers, ils postulaient à des postes en télétravail dans des secteurs aussi variés que la santé, les télécommunications, le support informatique, la distribution ou l’industrie.
Une fois embauchés, les entreprises leur envoyaient un ordinateur portable professionnel. C’est là qu’intervenaient les relais locaux. Deux ressortissants américains, Michael James Bostelle et Juan Cecilio Pena Carrillo, ont été arrêtés. Ils auraient réceptionné les machines, les auraient configurées, et auraient installé des boîtiers de contrôle à distance. Ensuite, les informaticiens basés en Corée du Nord ou en Chine prenaient le relais via des connexions sécurisées.
Les salaires étaient versés normalement sur des comptes bancaires américains. Puis les facilitateurs s’occupaient de transférer l’argent vers des structures contrôlées par le régime nord-coréen. Les procureurs estiment que ce seul volet de l’Ohio a généré environ trois millions de dollars. Plus de soixante-dix employeurs ont été touchés, répartis entre l’Ohio, seize autres États et le district de Columbia.
Ce que les autorités ont formellement établi
- Des informaticiens nord-coréens utilisaient des identités volées ou fabriquées.
- Des « laptop farms » installées chez des particuliers américains servaient de relais.
- Les salaires étaient blanchis puis transférés vers des entités sanctionnées.
- Plus de soixante-dix entreprises ont été victimes de ces recrutements frauduleux.
- Les chefs d’accusation incluent fraude électronique, blanchiment et usurpation d’identité.
L’opération Lonestar Roundup au Texas
Parallèlement au dossier de l’Ohio, le FBI a mené une opération distincte baptisée Lonestar Roundup. Entre le 21 et le 25 septembre 2026, des agents ont perquisitionné plus de quarante résidences au Texas. Ces logements étaient soupçonnés d’héberger des infrastructures utilisées par des travailleurs nord-coréens.
Le butin est éloquent : environ cent quatre-vingt-sept ordinateurs portables et appareils KVM (des boîtiers permettant de contrôler une machine à distance). Attention, ce chiffre ne correspond pas uniquement à des ordinateurs. Il inclut aussi les équipements de contrôle. CrowdStrike, l’entreprise de cybersécurité qui a collaboré avec les enquêteurs, a identifié le groupe sous le nom de Famous Chollima.
Cette opération montre une évolution claire dans la stratégie des autorités. Il ne s’agit plus seulement de poursuivre les auteurs à l’étranger, mais de détruire les infrastructures américaines qui rendent la fraude possible. Un ordinateur branché dans un salon texan peut très bien être piloté depuis Pyongyang ou une ville chinoise voisine.
Le rôle crucial des intermédiaires américains
L’un des points les plus préoccupants soulignés par les autorités concerne le rôle croissant des facilitateurs locaux. Face au renforcement des contrôles d’identité et des vérifications de résidence, les réseaux nord-coréens ont adapté leurs méthodes. Ils recrutent désormais des Américains pour des tâches de plus en plus variées.
Ces intermédiaires ne se contentent plus de stocker des ordinateurs. Certains sous-traitent même des postes entiers à d’autres ressortissants étrangers. D’autres gèrent les comptes bancaires, les transferts d’argent ou les réponses aux éventuels contrôles RH. Le système devient ainsi plus résilient et plus difficile à détecter.
Les autorités ont publié onze adresses électroniques associées aux dispositifs identifiés et ont lancé une nouvelle alerte du FBI. Elles insistent sur un risque qui dépasse largement le simple vol de salaires. Une fois à l’intérieur des systèmes d’une entreprise, ces travailleurs peuvent accéder à des données sensibles, les exfiltrer, ou même préparer des opérations d’extorsion.
La présence physique d’un ordinateur aux États-Unis ne garantit en rien que la personne qui l’utilise y réside, ni qu’elle correspond à l’identité présentée au moment du recrutement.
Département de la Justice des États-Unis
Une source de financement différente des hacks crypto
Ce dossier présente une particularité intéressante pour le monde des cryptomonnaies. Contrairement à d’autres opérations nord-coréennes très médiatisées, aucun circuit en cryptomonnaies n’a été détaillé ici. Les revenus passent d’abord par le recrutement classique, l’accès aux systèmes des employeurs et les intermédiaires bancaires.
Pendant des années, on a surtout parlé des pirates nord-coréens qui s’attaquaient aux plateformes d’échange, aux wallets ou aux protocoles DeFi. Ces attaques généraient des centaines de millions de dollars en Bitcoin ou en stablecoins. Ici, le mécanisme est plus discret, plus long, mais potentiellement plus durable. Il s’agit d’un véritable travail salarié détourné au profit d’un État sous sanctions internationales.
Cette dualité montre que le régime de Pyongyang multiplie les canaux de financement. Les hacks crypto restent spectaculaires et très rentables. Les faux emplois en télétravail apportent quant à eux un flux plus régulier et moins visible. Les deux coexistent et se complètent.
Les secteurs les plus exposés
Les entreprises touchées appartiennent à des domaines très divers. On trouve aussi bien des acteurs de la santé que des sociétés de communications, de support informatique, de distribution ou d’industrie. Ce qui les réunit, c’est le recours massif au télétravail et la difficulté à vérifier réellement l’identité et la localisation des candidats.
Depuis la pandémie, le recrutement à distance s’est généralisé. Les processus de vérification se sont parfois assouplis pour accélérer les embauches. Les réseaux nord-coréens ont su profiter de cette fenêtre d’opportunité. Aujourd’hui, les entreprises se retrouvent confrontées à un risque qu’elles n’avaient pas anticipé : l’employé qui travaille depuis un pays sous sanctions sans jamais le dire.
Le danger ne se limite pas au paiement de salaires indus. Une fois intégré dans les outils collaboratifs, les bases de données clients ou les systèmes de développement, un informaticien malveillant peut exfiltrer des informations, installer des portes dérobées ou préparer des attaques ultérieures. Le coût potentiel dépasse largement les trois millions de dollars mentionnés dans le dossier de l’Ohio.
Comment les méthodes ont évolué
Les autorités notent une adaptation constante des opérateurs. Face au renforcement des contrôles d’identité, les réseaux recrutent davantage de facilitateurs locaux. Ils sous-traitent parfois des postes complets à d’autres ressortissants étrangers. Certains intermédiaires américains ne savent même pas exactement pour qui ils travaillent. D’autres sont parfaitement conscients et sont rémunérés en conséquence.
Les VPN et les infrastructures proxy restent au cœur du dispositif. Ils permettent de faire croire que la connexion provient bien des États-Unis. Les laptop farms jouent un rôle central : elles donnent une adresse physique américaine et un point d’accès local. Sans ces installations, le système s’effondre.
Cette sophistication progressive explique pourquoi les autorités ont décidé de frapper à la fois sur le volet judiciaire et sur le volet infrastructure. Arrêter les facilitateurs et saisir les machines devient aussi important que d’identifier les informaticiens basés à l’étranger.
Les implications pour les entreprises américaines
Pour les directions des ressources humaines et les équipes de cybersécurité, ce dossier sonne comme un avertissement. Vérifier un CV, un numéro de sécurité sociale et une adresse ne suffit plus. Il faut désormais s’assurer que la personne qui se connecte est bien celle qui a été recrutée, et qu’elle se trouve bien là où elle prétend être.
Certaines entreprises commencent à renforcer les contrôles. Vidéo obligatoire lors des entretiens, géolocalisation des connexions, analyses comportementales des sessions de travail, vérifications croisées des documents d’identité. D’autres hésitent encore, craignant de freiner leur capacité de recrutement dans un marché du travail tendu.
Le risque de réputation est également réel. Découvrir qu’on a payé pendant des mois un employé nord-coréen peut entraîner des questions de conformité, notamment pour les sociétés soumises à des obligations de sanctions internationales. Les régulateurs regardent de plus en plus près ces sujets.
Un dossier encore en cours d’instruction
Il est important de rappeler que les accusations restent à prouver devant la justice. Les prévenus bénéficient de la présomption d’innocence. Deux Américains ont été arrêtés. Dix personnes établies en Chine sont également visées, ainsi que deux autres dont l’identité demeure confidentielle. Les chefs d’inculpation portent sur la fraude électronique, le blanchiment d’argent et l’usurpation d’identité.
Les investigations se poursuivent. D’autres arrestations ou saisies pourraient suivre. Le FBI a explicitement appelé les entreprises à signaler tout comportement suspect lié à des recrutements en télétravail. L’objectif est de dessécher complètement ces réseaux en privant les opérateurs de leurs relais locaux.
Pourquoi ce sujet intéresse le monde crypto
Même si aucun circuit en cryptomonnaies n’a été formellement détaillé dans ce dossier, le lien avec le secteur reste fort. La Corée du Nord a démontré à plusieurs reprises sa capacité à générer des revenus via le piratage de plateformes d’échange, le vol de clés privées ou l’exploitation de failles dans les protocoles DeFi. Ces opérations restent parmi les plus rentables au monde.
Le montage des faux salariés montre une diversification des sources de financement. Un régime sous sanctions ne peut se contenter d’une seule méthode. Les salaires détournés, les hacks crypto, le commerce de matières premières et d’autres activités illicites forment un ensemble cohérent. Comprendre l’un permet de mieux anticiper les autres.
Pour les acteurs de la cybersécurité dans le domaine blockchain, ce dossier rappelle que la menace nord-coréenne est multiforme. Elle ne se limite pas aux attaques techniques spectaculaires. Elle inclut aussi des infiltrations humaines plus discrètes et plus longues.
Les leçons à retenir pour les équipes de sécurité
Plusieurs enseignements pratiques se dégagent de cette affaire. Premièrement, la vérification d’identité à distance doit être renforcée. Deuxièmement, la présence physique d’un ordinateur ne prouve rien quant à l’identité réelle de l’utilisateur. Troisièmement, les intermédiaires locaux constituent un point de vulnérabilité majeur.
Les entreprises qui embauchent massivement en télétravail auraient intérêt à mettre en place des contrôles techniques supplémentaires. Analyse des heures de connexion, détection d’anomalies géographiques, surveillance des transferts de données inhabituels, audits réguliers des accès. Ces mesures ne sont pas infaillibles, mais elles élèvent le coût de la fraude pour les opérateurs.
Enfin, la collaboration entre le secteur privé et les autorités s’avère déterminante. CrowdStrike a joué un rôle dans l’identification du groupe Famous Chollima. D’autres entreprises de cybersécurité pourraient apporter des informations complémentaires dans les mois à venir.
Un phénomène qui pourrait s’étendre
Rien n’indique que les réseaux nord-coréens se limitent aux États-Unis. Le télétravail s’est développé dans de nombreux pays. Les mêmes techniques d’usurpation d’identité et de relais locaux pourraient être utilisées ailleurs. Les autorités européennes, asiatiques ou canadiennes pourraient un jour découvrir des montages similaires.
La mondialisation du marché du travail numérique crée des opportunités, mais aussi des risques. Un développeur talentueux basé dans un pays sous sanctions peut théoriquement travailler pour n’importe quelle entreprise du monde, à condition de dissimuler son identité réelle. Les outils techniques existent. Les facilitateurs aussi.
Cette affaire illustre parfaitement les défis de la cybersécurité moderne. Les frontières physiques perdent de leur sens lorsque le travail se fait à distance. Les contrôles d’identité traditionnels deviennent insuffisants. Et les États sous sanctions trouvent de nouvelles voies pour contourner les restrictions internationales.
Ce que les prochains mois pourraient révéler
L’instruction judiciaire est loin d’être terminée. D’autres facilitateurs pourraient être identifiés. De nouvelles entreprises pourraient découvrir qu’elles ont été touchées. Les montants globaux pourraient s’avérer plus élevés que les trois millions de dollars déjà mentionnés.
Les autorités américaines semblent déterminées à tarir cette source de financement. En s’attaquant aux infrastructures locales, elles rendent le système plus coûteux et plus risqué pour les opérateurs. Si d’autres pays suivent le même chemin, les réseaux nord-coréens pourraient devoir revoir complètement leur modèle.
En attendant, les entreprises américaines sont prévenues. Un ordinateur branché dans un salon américain n’est plus une garantie d’innocence. Derrière l’écran peut se cacher un informaticien qui travaille, en réalité, pour un régime sous sanctions. Et chaque mois, une partie de son salaire part directement vers Pyongyang.
Cette histoire n’est pas seulement celle d’une fraude au recrutement. C’est celle d’un État qui a su transformer le télétravail mondial en outil de financement. Et c’est aussi celle d’une menace qui, malgré les efforts du FBI, n’a probablement pas encore dit son dernier mot.
