Hackers Nord-Coréens Utilisent Deepfakes sur Zoom

Imaginez la scène : votre téléphone vibre, un message Telegram d’un collègue de longue date apparaît. Il vous propose un appel Zoom rapide pour discuter d’un projet crypto urgent. Vous acceptez sans réfléchir. La vidéo s’active, vous reconnaissez son visage, sa voix semble familière… pourtant quelque chose cloche. Il reste muet, prétextant un problème de micro. Puis arrive la proposition fatale : « Installe ce petit plugin pour réparer le son, c’est rapide ». Quelques clics plus tard, votre portefeuille crypto est vidé. Cette histoire n’est plus de la science-fiction : elle se produit en ce moment même, orchestrée par des hackers nord-coréens extrêmement organisés.

En janvier 2026, la menace des cyberattaques ciblant l’écosystème crypto atteint un nouveau palier de sophistication. Les groupes étatiques nord-coréens, notamment ceux liés au tristement célèbre Lazarus Group, déploient des techniques mêlant ingénierie sociale, intelligence artificielle et prise de contrôle de comptes pour s’infiltrer directement chez les développeurs, traders et dirigeants du secteur. Le résultat ? Des centaines de millions de dollars envolés en silence.

Une campagne d’ampleur mondiale en cours

Le 27 janvier 2026, Martin Kuchař, cofondateur de la conférence BTC Prague, a tiré la sonnette d’alarme sur X. Lui-même victime d’une compromission via un compte Telegram détourné, il a révélé les détails glaçants d’une campagne active et particulièrement vicieuse. Selon son témoignage, les attaquants prennent le contrôle d’un compte Telegram d’une personne de confiance, puis contactent ses contacts pour organiser un appel vidéo.

Une fois l’appel lancé sur Zoom (ou parfois Teams), l’attaquant utilise une deepfake en temps réel pour imiter parfaitement le visage et les mouvements de la bouche de la victime originelle. Le son reste coupé. L’excuse est toujours la même : « Problème technique, je t’envoie un fix audio ». Le fichier envoyé est en réalité un malware redoutable, souvent un RAT (Remote Access Trojan), qui donne un accès total à la machine de la cible.

« Informez immédiatement vos collègues et votre réseau. Ne rejoignez aucun appel Zoom ou Teams non vérifié. »

Martin Kuchař, cofondateur BTC Prague

Cette citation résume parfaitement l’urgence. Une fois le malware installé, les hackers explorent les contacts Telegram de la victime et recommencent le cycle. C’est une chaîne de contamination extrêmement efficace et difficile à interrompre.

Comment les hackers nord-coréens ont perfectionné cette technique

Les groupes nord-coréens ne sont pas novices dans le domaine du vol crypto. Depuis plusieurs années, ils ont accumulé une expertise impressionnante dans le ciblage des portefeuilles numériques. Leur modus operandi évolue constamment pour contourner les protections les plus récentes.

La nouveauté en 2026 réside dans l’intégration massive des deepfakes en direct lors des appels vidéo. Auparavant, les attaques reposaient surtout sur des messages texte très bien écrits, imitant le style de la personne compromise. Désormais, la dimension visuelle rend la supercherie presque indétectable pour un œil non averti.

Ce schéma se répète avec une précision chirurgicale. Les attaquants choisissent leurs cibles parmi les profils les plus exposés : développeurs de protocoles DeFi, employés d’exchanges, fondateurs de projets, investisseurs influents.

Plus de 300 millions déjà dérobés avec des méthodes similaires

Taylor Monahan, chercheuse en sécurité chez MetaMask, avait déjà alerté la communauté fin 2025 sur l’ampleur des pertes causées par des attaques du même type. Selon ses estimations, plus de 300 millions de dollars ont été volés rien qu’avec des variantes de cette technique d’ingénierie sociale avancée.

Un cas particulièrement médiatisé concerne un cadre dirigeant de THORChain. En septembre 2025, après avoir été piégé par une fausse discussion Telegram puis un appel vidéo truqué, il a vu son portefeuille MetaMask entièrement vidé sans aucune demande d’approbation administrative. Le montant perdu s’élevait à environ 1,3 million de dollars.

Ces chiffres ne représentent que la partie visible de l’iceberg. Beaucoup de victimes préfèrent ne pas rendre publique leur mésaventure, par honte ou pour éviter d’attirer davantage l’attention des hackers.

Le rôle central du groupe Lazarus et de TA444

Derrière ces opérations se cache très souvent le groupe Lazarus, l’une des unités cyber les plus actives et les plus dangereuses au monde. Soutenu par l’État nord-coréen, Lazarus est connu pour ses attaques contre des banques, des exchanges crypto (notamment Ronin Network en 2022) et des infrastructures critiques.

La branche TA444, spécialisée dans les attaques contre le secteur crypto, semble être aux commandes de la vague actuelle. Leur signature est reconnaissable : patience extrême, personnalisation poussée, absence de revendication publique (contrairement aux ransomwares classiques), et surtout un ciblage ultra-précis des acteurs crypto.

« Les hackers nord-coréens ne veulent pas de rançon. Ils veulent vos cryptos, directement et sans laisser de trace. »

Analyste en cybersécurité anonyme

Cette approche « silencieuse mais massive » explique pourquoi les pertes s’accumulent sans faire les gros titres chaque semaine.

Pourquoi les professionnels crypto sont-ils particulièrement vulnérables ?

Plusieurs facteurs rendent l’écosystème crypto particulièrement attractif et fragile face à ce type d’attaque :

• Les portefeuilles sont souvent hot (connectés en permanence)
• Les seed phrases et clés privées sont stockées sur les machines personnelles
• La communauté est très interconnectée sur Telegram et Discord
• La confiance accordée aux contacts connus est élevée
• Les montants en jeu sont souvent très importants
• Beaucoup travaillent seuls ou en petite équipe, sans département sécurité dédié

Cette combinaison crée un terrain de chasse idéal pour les attaquants patients et bien organisés.

Les signaux d’alerte à ne jamais ignorer

Même avec un deepfake de bonne qualité, certains indices doivent immédiatement vous mettre en garde :

• Votre contact reste muet pendant plusieurs dizaines de secondes
• Il refuse de passer en mode audio classique ou de montrer son environnement
• Il insiste lourdement pour que vous installiez un logiciel ou un plugin « urgent »
• Il vous demande d’ouvrir des fichiers .exe, .zip douteux ou des liens raccourcis
• Le comportement semble légèrement mécanique ou décalé
• Il refuse catégoriquement un appel téléphonique vocal normal

Si un seul de ces points est présent, arrêtez immédiatement l’appel et vérifiez par un autre canal (SMS, appel vocal classique, compte secondaire) que votre contact est bien celui qu’il prétend être.

Comment se protéger efficacement en 2026 ?

La protection repose sur plusieurs couches de sécurité complémentaires. Voici les mesures les plus efficaces actuellement :

• Utilisez un portefeuille hardware (Ledger, Trezor) et ne signez jamais de transaction sans vérifier physiquement l’appareil
• Activez la double authentification hardware (Yubikey) sur tous vos comptes critiques
• Créez un environnement de travail isolé (machine dédiée sans navigateur personnel)
• N’installez jamais de logiciel ou plugin envoyé par un contact, même connu
• Vérifiez systématiquement l’identité par un canal secondaire avant tout appel vidéo
• Utilisez des solutions anti-malware avancées avec analyse comportementale (CrowdStrike, SentinelOne, etc.)
• Mettez à jour régulièrement vos outils de visioconférence et refusez les mises à jour automatiques non vérifiées
• Formez régulièrement votre équipe aux dernières techniques d’ingénierie sociale

Ces gestes, bien qu’un peu contraignants, peuvent réduire drastiquement votre exposition.

L’avenir des attaques deepfake dans la crypto

Les experts s’accordent à dire que nous ne sommes qu’au début de l’ère des deepfakes appliqués à la cybercriminalité financière. Avec les progrès fulgurants de l’IA générative, la qualité des imitations vidéo et vocale va encore s’améliorer en 2026-2027.

Parallèlement, les défenses évoluent aussi : reconnaissance vocale biométrique, analyse de latence des deepfakes, outils de détection en temps réel intégrés à Zoom et Teams… Mais la course entre attaquants et défenseurs reste ouverte.

En attendant, la vigilance individuelle reste la barrière la plus efficace.

Conclusion : la confiance n’est plus un luxe

L’attaque décrite ici marque un tournant inquiétant. Elle montre que même les relations de confiance les plus solides peuvent être weaponisées par des acteurs étatiques déterminés. Dans un écosystème où des millions peuvent disparaître en quelques minutes, la paranoïa raisonnée n’est plus une option : c’est une nécessité.

Ne faites plus confiance aveuglément à un appel vidéo. Vérifiez toujours. Protégez vos clés comme votre vie. Parce qu’aujourd’hui, dans le monde crypto, votre vie numérique est votre vie financière.

Restez vigilants. La prochaine victime pourrait être vous.