Au terme d'une recherche approfondie, les responsables du recrutement chez KnowBe4 pensaient avoir trouvé le candidat idéal pour rejoindre l'équipe interne d'IA de l'entreprise.
Sur le papier, Kyle répondait à tous les critères requis pour le poste de développeur. C'était un ingénieur logiciel expérimenté, qui s'est très bien présenté lors de tous ses entretiens vidéo et qui disposait d'excellentes références. Ses antécédents ont été vérifiés et se sont révélés exacts.
Mais après que la société de sécurité eut envoyé à Kyle son ordinateur portable professionnel, des événements étranges ont commencé à se produire. Il a d'abord tenté d'installer le logiciel malveillant « » ( ) sur la machine, mais cette tentative a été bloquée par le logiciel de protection des terminaux « » ( ) du système. Lorsque le centre des opérations de sécurité de l'entreprise l'a contacté via Slack, Kyle a affirmé avoir accidentellement compromis son système alors qu'il tentait de résoudre un problème sur son routeur.
Cette excuse n'avait aucun sens ; l'équipe de sécurité a donc essayé de le convaincre de participer à une conversation audio. Kyle a dit qu'il ne pouvait pas parler, puis il a complètement cessé de communiquer. Cela a suffi au centre des opérations de sécurité (SOC) de l' . En moins de 30 minutes, KnowBe4 avaient bloqué le compte de Kyle. Elle a ensuite communiqué les détails de leurs échanges au cabinet de conseil en sécurité Mandiant, puis au FBI.
« Grâce à Mandiant et au FBI, nous avons appris qu’il s’agissait d’une opération sophistiquée, dotée de moyens importants et soutenue par un État », explique Stu Sjouwerman, PDG de la société, qui a publié un article sur son blog à ce sujet en juillet afin d’alerter d’autres entreprises.
Pourtant, pour des centaines d'entreprises américaines, et bien d'autres encore à travers le monde, cet avertissement arrive trop tard.
Il faut que nous parlions de Kyle… et des « deepfakes »
En tant que leader dans le domaine des formations innovantes de sensibilisation à la sécurité , KnowBe4 connaît bien les tendances en matière de renseignements sur les menaces et les pratiques de cyberhygiène intelligentes . Ce qui ne fait que souligner à quel point le problème de Kyle est insidieux. Ils ont appris que « Kyle » était très probablement un ressortissant nord-coréen se faisant passer pour un citoyen américain. Pour contourner les contrôles de recrutement de l'entreprise, il avait utilisé une identité volée et une photo retouchée par IA afin de passer avec succès les vérifications d'antécédents. Un figurant professionnel a été payé pour incarner Kyle dans les interviews vidéo, tandis que le véritable employé se trouvait probablement quelque part en Asie. Les références ont été confirmées par e-mail.
«À partir d’une seule image haute résolution du visage d’une personne et d’environ 10 secondes d’enregistrement audio, vous pouvez utiliser un outil open source pour tromper n’importe qui sur Zoom ou Teams. »Ben Colman, PDG et cofondateur de Reality Defender
M. Sjouwerman souligne qu'aucune donnée de l'entreprise n'a été perdue, qu'aucun système sensible d' n'a été compromis et que les dispositifs de sécurité de KnowBe4 ont fonctionné exactement comme prévu. Kyle a été immédiatement licencié.
Sjouwerman reconnaît néanmoins que son entreprise a échappé au pire. Si ce faux développeur n'avait pas immédiatement tenté d'installer un logiciel malveillant, il aurait peut-être pu accéder aux référentiels logiciels de l'entreprise et aux serveurs cloud d' .
Les aveux de M. Sjouwerman sont rares, mais l'attaque dont sa société a été victime ne l'est pas. Peu après la publication de son témoignage, KnowBe4 a été contacté par plus d’une douzaine d’autres entreprises qui avaient reçu des candidatures de faux candidats similaires, dont l’une avait même embauché « Kyle ».
Les pirates se cachent à la vue de tous
Selon le ministère américain de la Justice, plus de 300 entreprises ont été infiltrées par des informaticiens nord-coréens se faisant passer pour des citoyens américains. Cela concerne aussi bien les entreprises du classement Fortune 500 que les organisations comptant à peine 12 salariés, souligne Roger Grimes, évangéliste de la défense fondée sur les données chez KnowBe4 et auteur d’un livre blanc intitulé « » ( ), qui explique en détail comment identifier et prévenir ce type d’attaques.
Selon le site mai 2024, des salariés frauduleux résidant à l'étranger avaient perçu près de 7 millions de dollars de salaire versés par des entreprises américaines. Selon le FBI, la majeure partie de cet argent a été directement versée au gouvernement nord-coréen afin de contribuer au financement de ses programmes d'armement.
Ces professionnels étrangers de l'informatique ont bénéficié du soutien d'un réseau de « facilitateurs » basés aux États-Unis. Ces complices gèrent des parcs d'ordinateurs portables auxquels des employés basés à l'étranger ont discrètement accès, et fournissent également de fausses références, des services de blanchiment d'argent et d'autres prestations. En mai dernier, le service des enquêtes sur la criminalité en ligne ( ) du ministère américain de la Justice (DOJ) a arrêté deux Américains pour avoir aidé des informaticiens étrangers à tromper leurs employeurs américains.
Dans la plupart des cas – et c’est là le point essentiel qu’il convient de souligner à l’intention des dirigeants d’entreprise –, les salariés étrangers semblent avoir accompli le travail pour lequel ils avaient été embauchés. Ce ne sont pas des fainéants, et ils ne sont donc pas si faciles à repérer. Il va sans dire que le fait d'employer, à son insu, des informaticiens originaires de la République populaire démocratique de Corée (RPDC) expose toute organisation à toute une série de risques.
L'embauche de toute personne originaire de Corée du Nord pourrait constituer une violation des sanctions internationales à l'encontre de ce pays, ce qui pourrait exposer les entreprises à des risques juridiques. Le fait d’employer une personne originaire d’un État hostile signifie également que l’entreprise est davantage exposée à des attaques internes de type « », note M. Sjouwerman. Selon lui, les universités nord-coréennes forment de nombreux professionnels de l'informatique et des pirates informatiques malveillants, et ceux-ci se connaissent tous. Les entreprises qui ont été infiltrées sont plus vulnérables aux violations de données , aux fuites de données, , à la fraude financière et aux attaques visant la chaîne d'approvisionnement .
« Imaginez un peu que le pirate informatique envoie un SMS à son ami informaticien chez Morgan Stanley : “Salut, quelqu’un chez Morgan Stanley tient des propos désobligeants à l’égard de Kim Jong-Un.” » « Faites autant de dégâts que possible. »
Les « deepfakes » gagnent en réalisme et deviennent de plus en plus faciles à réaliser
Avec le recul, il y avait quelques signaux d'alerte que le KnowBe4 aurait dû repérer, admet Sjouwerman.
«Il y a des milliers de personnes comme ça partout dans le monde qui travaillent pour des entreprises qui n’en ont pas la moindre idée. »Stu Sjouwerman, PDG de KnowBe4
Par exemple, alors que « Kyle » affirmait résider à Atlanta, il a demandé à KnowBe4 d'envoyer l'ordinateur portable de son entreprise à une adresse située dans l'État de Washington – où se trouve l'un des centres de serveurs connus. M. Sjouwerman ajoute que son équipe aurait dû faire preuve de plus de rigueur pour repérer les incohérences dans le parcours professionnel du candidat et vérifier ses références. Depuis lors, l'entreprise a profondément remanié ses processus de recrutement.
Mais comme il s'agit d'opérations sophistiquées, menées par des organismes publics, il se peut qu'elles aient déjà changé de tactique, prévient Grimes.
Par ailleurs, la sophistication croissante des vidéos « deepfake » générées par l'IA rendra les entretiens d'embauche à distance encore plus risqués, souligne Ben Colman, PDG et cofondateur de Reality Defender, une entreprise qui propose des services de détection des « deepfakes » aux entreprises.
Au cours des 18 derniers mois, le coût de création des deepfakes a été divisé par 100 , note Colman. Conjugué à l’explosion des outils open source de mappage facial et vocal, il est plus facile que jamais de créer des vidéos en temps réel crédibles mettant en scène pratiquement n’importe qui, disant pratiquement n’importe quoi, ce qui ne fera qu’alimenter une vague d’ s mensongères et de déss .
« À partir d’une seule image haute résolution du visage d’une personne et d’environ 10 secondes d’enregistrement audio, vous pouvez utiliser un outil open source pour tromper n’importe qui sur Zoom ou Teams », ajoute-t-il.
Selon M. Colman, Reality Defender collabore avec les services des ressources humaines et les équipes de recrutement de grandes banques, de médias et d'organismes publics dans le cadre de leur processus de vérification des employés. Mais dans l'ensemble, le problème des faux télétravailleurs n'est généralement pas suffisamment pris en compte.
« Il y a des milliers de personnes comme celles-ci à travers le monde qui travaillent pour des entreprises qui n'en ont pas la moindre idée », déclare Sjouwerman. « Je recommande vivement aux autres PDG d'évaluer leurs pratiques de recrutement actuelles et, en particulier, d'affiner le processus de recrutement des ingénieurs travaillant à distance. »
Selon M. Grimes, les entreprises doivent modéliser les menaces leurs processus de recrutement et informer la direction des risques liés à l'embauche de ressortissants étrangers. Lors des entretiens, posez des questions dont la réponse serait susceptible d'être connue par une personne diplômée d'une université donnée, ayant vécu dans une ville précise ou ayant travaillé chez un ancien employeur, mais dont les réponses ne sont pas faciles à trouver sur Internet.
« Dans la mesure du possible, le moyen le plus sûr d'évaluer quelqu'un est de le rencontrer en personne », ajoute-t-il.
« Dans la mesure du possible, exigez toujours que les collaborateurs en télétravail rencontrent physiquement un collaborateur, un chef d'équipe ou un représentant désigné de l'organisation, muni d'une pièce d'identité officielle, afin de confirmer leur identité. »
10 signes révélateurs indiquant que votre candidat à un poste dans l'informatique n'est peut-être pas sérieux :
Bien qu'il n'existe pas de méthode infaillible à 100 % pour détecter un candidat malhonnête, les signaux d'alerte suivants devraient inciter tout responsable du recrutement à approfondir un peu davantage ses recherches.
- 1. Manque de maîtrise de l'anglais malgré des déclarations faisant état d'une formation aux États-Unis ou d'une résidence de longue durée dans ce pays
- 2. L'accent ne correspond pas à la région du monde dont ils prétendent être originaires
- 3. Les réponses aux questions relatives à votre parcours professionnel sont incohérentes ou vagues
- 4. Empreinte numérique minimale : en dehors des profils fournis
- 5. Identités sur les réseaux sociaux incohérentes ou récemment créées par « »
- 6. Descriptions de poste ou documents professionnels copiés à partir d'autres sources
- 7. N'utilise que des domaines de messagerie publics , tels que Gmail ou Outlook.com
- 8. Se connecte systématiquement à via un VPN ou des numéros VoIP
- 9. Entretiens téléphoniques menés depuis des centres d'appels bruyants
- 10. e, réticent à passer devant la caméra, trouve des excuses pour expliquer pourquoi
