Comment Kraken a identifié un hacker nord-coréen qui tentait de se faire embaucher
(blog.kraken.com)- La plateforme d’échange de cryptomonnaies Kraken a récemment détecté et analysé en amont une tentative d’infiltration menée par un hacker nord-coréen via une candidature d’emploi
- Le candidat a tenté l’intrusion en utilisant plusieurs identités, une combinaison de VPN et de bureau à distance, ainsi qu’une pièce d’identité usurpée
- L’équipe sécurité l’a volontairement laissé poursuivre le processus de recrutement afin de mener des opérations de détection et de collecte de renseignements
- Des e-mails, comptes GitHub et analyses OSINT ont permis d’établir des liens avec un groupe de hackers nord-coréen
- Cette affaire souligne l’importance de la biométrie et de la vérification en temps réel, ainsi que la nécessité d’une culture de sécurité à l’échelle de toute l’organisation
Aperçu de l’incident
- Les équipes sécurité et IT de Kraken bloquent au quotidien diverses tentatives d’attaque
- Elles ont récemment détecté et contré une tentative d’intrusion d’un hacker nord-coréen exploitant le processus de recrutement
- Le candidat a postulé à un poste d’ingénieur, et ce qui n’était au départ qu’un simple recrutement s’est transformé en opération de collecte d’informations
- Les hackers nord-coréens sont soupçonnés d’avoir volé plus de 650 millions de dollars à des entreprises de cryptomonnaies en 2024
Éléments suspects
- Le nom affiché lors de l’entretien en ligne ne correspondait pas à celui du CV, puis a été modifié en cours d’entretien
- Un changement de voix pendant l’entretien a laissé penser à un possible coaching en temps réel
- Kraken avait reçu des informations selon lesquelles des hackers nord-coréens candidataient activement auprès d’entreprises crypto, et la candidature utilisait une adresse figurant dans une liste d’e-mails de hackers nord-coréens obtenue à l’avance
Enquête interne et découvertes
- La Red Team a mené une analyse OSINT pour examiner l’e-mail de l’attaquant et son historique d’activité
- L’analyse de données issues de fuites a permis d’identifier plusieurs e-mails liés à de fausses identités
- Plusieurs de ces fausses identités avaient également été embauchées par d’autres entreprises, certaines étant des agents étrangers sous sanctions
Anomalies techniques
- Le candidat combinait un VPN et un bureau Mac distant pour masquer sa localisation
- L’e-mail associé au compte GitHub correspondait à des données déjà divulguées par le passé
- La pièce d’identité fournie est soupçonnée d’avoir été falsifiée à partir d’informations volées il y a deux ans
Réponse de l’organisation
- Au lieu d’écarter le candidat, Kraken l’a volontairement laissé continuer le processus de recrutement
- L’entreprise s’est concentrée sur l’identification de ses tactiques via des tests de sécurité, exercices techniques et demandes de vérification
- Le dernier entretien a été mené avec le directeur de la sécurité (CSO) de Kraken, avec insertion de questions de vérification en temps réel
Exemples de questions de vérification en temps réel
- Demande de preuve de la localisation actuelle
- Demande de présentation physique d’une pièce d’identité officielle
- Insertion en direct de questions improvisées, comme recommander un restaurant dans sa ville de résidence
- Au final, le candidat n’a pas réussi à passer la vérification
Déclaration du CSO Nick Percoco
- Le principe « Ne faites pas confiance, vérifiez » est aujourd’hui plus important que jamais
- Toute personne ou entreprise qui manipule quelque chose de valeur peut devenir une cible
- La vigilance de sécurité à l’échelle de l’organisation et une stratégie de réponse anticipée sont essentielles
Enseignements clés
- Les attaquants essaient d’entrer par la porte d’entrée : au-delà des intrusions techniques, il existe aussi des approches sociales
- La vérification en temps réel est une arme puissante : même si l’on peut tromper avec l’IA générative, une vraie vérification reste difficile à contourner
- La sécurité n’est pas seulement un sujet IT : toute l’organisation, y compris l’équipe recrutement, doit développer les bons réflexes
À retenir face à une candidature suspecte : la plus grande menace se présente souvent comme une opportunité
3 commentaires
Pouvez-vous dire à voix haute « Kim Jong-un, espèce d'enfoiré » ? Je vous laisse 5 secondes.
Fléau social
Commentaire Hacker News
Ils affirment avoir utilisé des techniques d’"OSINT" via des questions de base et une enquête préliminaire
L’idée que le recrutement à distance constitue une grande faiblesse
Article intéressant, mais dire qu’ils ont enquêté avec des méthodes OSINT revient simplement à dire qu’ils ont fait une recherche Google
L’article ne dit nulle part que cette personne était nord-coréenne
Avant l’entretien, ils avaient reçu l’information que des hackers nord-coréens postulaient activement auprès d’entreprises crypto
Déclaration du CSO Nick Percoco
En 2024, ils ont mené beaucoup d’entretiens pour recruter à distance des ingénieurs frontend et backend
Dans un ancien fil Reddit, quelqu’un avait recommandé la question : "À quel point Kim Jong-un est-il gros ?"
Cette histoire est ennuyeuse
Ils savaient déjà que le nom, l’e-mail et le GitHub du candidat figuraient dans une fuite passée