Corée du Nord : Kimsuky intègre l'IA dans ses cyberattaques visant la crypto et la finance

Kimsuky passe à une utilisation plus profonde de l'IA

Le groupe de cyberespionnage Kimsuky, associé à la Corée du Nord, semble franchir une nouvelle étape dans l'utilisation de l'intelligence artificielle. Selon un rapport publié par la société sud-coréenne de cybersécurité Genians, l'organisation ne se limiterait plus à utiliser l'IA générative pour améliorer des courriels de phishing.

Les chercheurs ont découvert des éléments montrant que Kimsuky avait mis en place plusieurs environnements permettant d'exécuter des modèles de langage directement sur ses propres systèmes.

Trois plateformes sont notamment citées : Ollama, GPT4All et Msty. Ces outils permettent de faire fonctionner des modèles localement, sans nécessairement envoyer les données traitées vers des services cloud externes.

Cette évolution suggère que Kimsuky cherche désormais à intégrer l'IA directement dans sa chaîne opérationnelle, plutôt qu'à l'utiliser uniquement comme outil ponctuel de génération de contenu.

Pourquoi exécuter les modèles en local ?

Le fonctionnement local présente plusieurs avantages pour un groupe de cyberespionnage. Les opérateurs peuvent analyser des documents ou du code sans transférer ces informations vers un fournisseur d'IA externe.

Cette approche réduit les traces laissées auprès de services tiers et limite le risque qu'un fournisseur bloque les requêtes ou détecte certaines activités suspectes.

Elle permet également de travailler avec des documents sensibles ou volés dans un environnement contrôlé par les attaquants.

Le RAG permet d'interroger de grandes quantités de documents

Genians indique également avoir identifié des technologies de retrieval-augmented generation, ou RAG.

Le RAG permet à un modèle de langage de rechercher des informations dans une base documentaire avant de produire une réponse. Pour un attaquant, cette capacité peut faciliter l'analyse rapide de grandes quantités de fichiers récupérés lors d'une intrusion.

Un groupe pourrait par exemple indexer des documents internes, des courriels ou des fichiers techniques, puis utiliser un modèle pour retrouver rapidement des informations sensibles ou identifier des cibles prioritaires.

Cursor et l'IA pourraient accélérer le développement de malware

Les chercheurs ont aussi repéré Cursor, un assistant de programmation utilisant l'intelligence artificielle.

Ce type d'outil peut accélérer l'écriture, la modification ou l'analyse de code. Dans un contexte malveillant, il pourrait servir à assister des opérateurs dans le développement ou l'adaptation de logiciels malveillants.

Genians reste toutefois prudent : les éléments observés suggèrent que Kimsuky cherche principalement à intégrer des technologies existantes dans ses propres outils, plutôt qu'à développer des modèles d'IA totalement nouveaux.

La crypto et la finance utilisées comme thèmes de phishing

L'un des aspects les plus importants pour l'écosystème crypto concerne les leurres utilisés dans les campagnes de spear phishing.

Genians affirme avoir découvert des documents générés ou améliorés par IA autour des actifs numériques, des stratégies d'investissement et des services fintech.

Certains documents reproduisaient de manière convaincante l'apparence de contenus produits par une plateforme coréenne d'investissement utilisant elle-même l'intelligence artificielle.

Le langage naturel, la mise en page cohérente et le rendu professionnel rendent ces documents plus difficiles à distinguer de communications légitimes.

L'IA améliore surtout la crédibilité des leurres

Le principal avantage de l'IA générative pour les campagnes de phishing n'est pas nécessairement la création de nouvelles techniques d'attaque.

Elle permet surtout de produire rapidement des textes mieux rédigés, plus cohérents et adaptés au profil de la victime.

Les erreurs de langue ou les formulations maladroites, qui permettaient auparavant de repérer certains courriels frauduleux, deviennent moins fréquentes.

L'automatisation peut également permettre de créer plusieurs variantes d'un même document pour cibler différentes entreprises ou différents collaborateurs.

La menace dépasse le simple phishing

Le rapport de Genians suggère que Kimsuky prépare une utilisation plus large de l'IA dans ses opérations.

Les outils découverts pourraient servir à analyser des données volées, automatiser certaines étapes d'une attaque, développer du code ou rechercher plus rapidement des informations dans des documents internes.

Cette évolution ne signifie pas que les cyberattaques deviennent entièrement autonomes. Elle montre plutôt que les opérateurs humains disposent de nouveaux outils permettant d'accélérer certaines tâches.

Un groupe déjà connu des autorités américaines

Kimsuky est connu depuis plusieurs années des agences de cybersécurité internationales.

Le Trésor américain a sanctionné le groupe en 2023 et le décrit comme une organisation de cyberespionnage contrôlée par le gouvernement nord-coréen.

Ses activités sont principalement associées à la collecte de renseignements au profit des objectifs stratégiques de Pyongyang.

Le groupe est également connu pour ses campagnes de spear phishing contre des institutions gouvernementales, des chercheurs, des universités et des organisations travaillant sur les questions de sécurité et de politique étrangère.

Les QR codes malveillants font également partie de son arsenal

En janvier 2026, les autorités américaines ont alerté sur l'utilisation de QR codes malveillants par des acteurs Kimsuky.

Cette technique, souvent appelée quishing, consiste à placer un QR code contenant une URL frauduleuse dans un courriel ou un document.

La victime scanne ensuite le code avec un téléphone mobile et peut être dirigée vers une fausse page de connexion destinée à récupérer ses identifiants ou ses jetons de session.

Cette méthode permet parfois de contourner certains contrôles de sécurité installés sur les postes professionnels.

La Corée du Nord reste une menace majeure pour la crypto

Les groupes liés à la Corée du Nord représentent depuis plusieurs années une menace importante pour les entreprises de l'écosystème crypto.

The Block cite les données de Chainalysis selon lesquelles des hackers nord-coréens auraient dérobé environ 2,02 milliards de dollars de cryptomonnaies en 2025.

Ce montant inclut notamment le piratage de Bybit, au cours duquel environ 1,5 milliard de dollars d'actifs numériques avaient été dérobés.

Ces chiffres concernent l'ensemble des groupes liés à la Corée du Nord et ne doivent pas être attribués spécifiquement à Kimsuky.

Les attaques humaines restent essentielles

Malgré les progrès de l'intelligence artificielle, de nombreuses attaques crypto continuent de reposer sur l'ingénierie sociale.

Les hackers cherchent à convaincre une victime de télécharger un fichier, de saisir ses identifiants, d'autoriser une transaction ou de donner accès à un environnement interne.

L'IA peut renforcer ces techniques en améliorant la qualité des messages, mais elle ne supprime pas la nécessité d'obtenir une action humaine ou d'exploiter une vulnérabilité technique.

Les entreprises crypto doivent renforcer la vérification des communications

Face à des documents de plus en plus crédibles, les entreprises ne peuvent plus se contenter de repérer les fautes d'orthographe ou les formulations inhabituelles.

La vérification de l'identité de l'expéditeur, l'utilisation d'une authentification résistante au phishing, la segmentation des accès et la limitation des privilèges deviennent essentielles.

Les employés manipulant des wallets, des clés privées ou des systèmes de signature doivent également disposer de procédures strictes pour vérifier les demandes inhabituelles.

L'IA réduit le coût de certaines attaques

L'un des principaux risques est la réduction du temps nécessaire pour préparer une campagne.

Un modèle peut résumer des documents, générer des scénarios de phishing, traduire des messages, produire des variantes adaptées à plusieurs victimes ou aider à analyser du code.

Cette productivité accrue permet potentiellement à un même groupe de lancer davantage d'opérations sans augmenter proportionnellement ses effectifs.

Des conclusions qui restent à interpréter avec prudence

Le rapport de Genians fournit des éléments techniques montrant une utilisation croissante de l'IA par Kimsuky, mais plusieurs limites doivent être rappelées.

Reuters précise que les conclusions de la société sud-coréenne n'ont pas pu être vérifiées indépendamment.

Il n'est pas non plus possible de déterminer avec certitude, à partir des éléments publics, jusqu'à quel niveau ces outils sont déjà intégrés dans des cyberattaques opérationnelles.

Les données montrent néanmoins une préparation active et une diversification des usages envisagés.

Une évolution à surveiller pour tout l'écosystème crypto

L'intégration de l'IA dans les opérations de Kimsuky illustre une tendance plus large : les mêmes outils qui augmentent la productivité des entreprises peuvent également améliorer celle des attaquants.

Pour l'écosystème crypto, où une erreur humaine ou la compromission d'une clé peut entraîner des pertes irréversibles, l'amélioration du phishing constitue un risque particulièrement important.

La menace ne vient donc pas uniquement de modèles capables de découvrir de nouvelles vulnérabilités. Elle vient aussi de leur capacité à rendre les méthodes existantes plus rapides, mieux ciblées et plus convaincantes.