Comment les cyberopérations soutiennent le régime nord-coréen
Les unités cybernétiques nord-coréennes concentrent principalement leurs efforts sur l’espionnage politique et économique, ainsi que sur l’acquisition de devises étrangères, tandis que les attaques perturbatrices demeurent peu probables pour l’instant. Les fonds ainsi générés servent principalement à assurer la stabilité politique et économique de l’État, ainsi qu’à renforcer ses capacités militaires conventionnelles et nucléaires.
À ce jour, les cyberopérations nord-coréennes ont permis de récupérer entre trois et six milliards de dollars américains, sans compter les cas non signalés. Pour contrer ces activités, la détection et la divulgation des procédures nord-coréennes sont essentielles, tout comme la reconnaissance des institutions potentiellement ciblées.
Les unités cybernétiques nord-coréennes agissent de manière opportuniste et flexible, et il est probable que les attaques se poursuivent malgré les mesures de sécurité prises. Toutefois, pour l’instant, l’Allemagne ne fait pas face à une menace significative.
Ces dernières années, la République populaire démocratique de Corée (RPDC) a de plus en plus recours au cyberespace et à l’espace d’information pour mettre en œuvre sa politique d’État. Le régime exploite ainsi une large gamme de cibles opérationnelles, allant du sabotage et de la perturbation à l’espionnage politique, économique, et à la propagande. Selon Kim Jong-un, les cyberattaques sont aussi importantes que les armes nucléaires pour atteindre les objectifs du régime.
Objectifs et Impacts
Les unités de la RPDC ont souvent lancé des attaques perturbatrices dans le but de saboter et de déstabiliser les systèmes ennemis, espérant ainsi contraindre la Corée du Sud et les États-Unis à faire des concessions politiques, ou les utilisant comme outil de signalisation politique. Cependant, ces efforts n’ont pas encore rencontré de succès notable. Parmi les exemples marquants figurent les opérations contre les systèmes informatiques sud-coréens, telles que l’opération Dark Seoul et Ten Days of Rain, qui ont provoqué des perturbations généralisées dans le pays. Depuis 2014, aucune activité similaire n’a été observée, suggérant que les cyberattaques offensives ont eu peu d’impact en tant que moyen de diplomatie coercitive. Il semble donc que, pour l’instant, la RPDC se concentre plutôt sur des opérations cybernétiques dans un contexte militaire.
En ce qui concerne l’espionnage politique, les cibles privilégiées ont été principalement des institutions civiles et publiques sud-coréennes, ainsi que des organisations internationales et des individus étrangers. L’objectif de ces opérations est de recueillir des informations stratégiques et politiques pertinentes. Par exemple, ces dernières années, onze membres du Conseil de sécurité des Nations unies ont été ciblés afin d’obtenir des informations sur les résolutions relatives aux sanctions. Des groupes de réflexion et des journalistes internationaux ont également été compromis pour obtenir des évaluations étrangères sur la situation de la RPDC. Ces activités se poursuivent et s’adaptent de manière flexible aux intérêts politiques du régime. Il est peu probable que la Corée du Nord renonce à ces activités d’espionnage politique.
En ce qui concerne les activités d’espionnage à motivation économique, la RPDC mène des opérations visant à obtenir des informations sur des secteurs économiquement vitaux. Dans le passé, sa principale cible étaient les entreprises internationales de défense, dans le but de recueillir des informations techniques pour le développement de systèmes d’armement modernes, y compris les armes nucléaires. Cependant, pendant la pandémie de Covid-19 de 2020 à 2022, l’État a également ciblé des fabricants de vaccins à l’étranger, dans le but de permettre à la RPDC de devenir autosuffisante en matière de production de vaccins. Cette forme d’espionnage économique est similaire à l’espionnage politique dans ses motivations et est alignée sur les objectifs stratégiques des dirigeants de l’État. Il est probable que la RPDC continue à mener des attaques contre des entreprises technologiques, notamment celles spécialisées dans la technologie satellitaire, afin de soutenir ses récents efforts de production d’armes et de systèmes de reconnaissance spatiaux.
Les attaques à motivation financière visant à obtenir des devises étrangères sont observées depuis environ 2011. Initialement, les acteurs se concentraient principalement sur des cibles de faible valeur, telles que les plateformes de jeux. Cependant, à partir de 2015, la qualité et la quantité des activités ont considérablement augmenté. La RPDC a attiré l’attention internationale en lançant des campagnes d’attaques complexes contre des institutions financières, telles que le compromis du système de paiement international SWIFT et les attaques contre les distributeurs automatiques de billets, ainsi que la propagation mondiale du ransomware WannaCry. Ces attaques contre le secteur financier ont généré environ deux milliards de dollars américains, tandis que les activités de ransomware ont entraîné le chiffrement de 230 000 systèmes dans 150 pays.
En réponse à ces opérations, l’approche de la RPDC a été exposée par des institutions de cybersécurité coopérant à l’échelle internationale, ce qui a conduit à la mise en place de mécanismes de protection appropriés. Cette exposition a considérablement réduit la rentabilité des attaques, obligeant la RPDC à réorienter sa stratégie. Depuis lors, les attaquants se concentrent de plus en plus sur les plateformes de crypto-monnaies non gouvernementales, qui demeurent une cible lucrative et privilégiée. Ces plateformes sont souvent dotées de normes de sécurité moins élevées et attirent moins l’attention du public en cas de compromission, par rapport aux banques traditionnelles. Dans le cadre de ces opérations, les pirates informatiques nord-coréens accèdent aux comptes de crypto-monnaies et transfèrent les fonds vers des portefeuilles numériques nord-coréens. Ensuite, la monnaie est blanchie à travers divers mécanismes et convertie en monnaie fiduciaire. Depuis 2015, la RPDC aurait ainsi pu générer un montant estimé entre trois et six milliards de dollars américains. Cependant, il est probable que le nombre de cas non signalés soit bien plus élevé. En 2020, on estime que 1,7 milliard de dollars américains ont été obtenus grâce à des attaques malveillantes. Hormis l’utilisation du logiciel malveillant WannaCry, aucune attaque à motivation financière contre des cibles allemandes n’a été rapportée.
Motivations
Bien qu’il n’existe pas de doctrine cybernétique officielle en RPDC permettant de comprendre les calculs stratégiques des dirigeants de l’État, les motivations du régime peuvent être déduites de la situation politique de l’État, des caractéristiques spécifiques du cyberespace et des objectifs officiels de l’État.
Pyongyang se considère comme menacé par la présence militaire américaine et l’alliance avec la Corée du Sud, ce qui constitue un facteur clé pour l’exécution d’attaques perturbatrices. En cas de conflit militaire, les moyens cybernétiques peuvent être utilisés comme un outil de guerre asymétrique. En temps de paix, le régime utilise le cyberespace pour mener des attaques contre d’autres États sans risquer une escalade avec des systèmes d’armes conventionnels. Cette stratégie des « mille coups d’épingle » vise à démontrer la puissance, à générer les ressources financières nécessaires au pays et à légitimer le leadership de l’État sur le plan intérieur et extérieur.
En raison de l’insuffisance économique, des sanctions internationales et de la forte demande de produits importés, l’État nord-coréen dépend des devises étrangères pour maintenir son économie interne, financer les produits de luxe destinés à l’élite et continuer à développer ses capacités en matière d’armement nucléaire et conventionnel.
Le régime nord-coréen a recours à des méthodes clandestines et illégales pour obtenir des devises étrangères depuis les années 1970. Dans ce contexte, les cyberattaques émergent aujourd’hui comme l’outil le plus lucratif pour combler le déficit économique. D’une part, cela est attribuable au déclin des méthodes conventionnelles telles que la production de fausse monnaie, la contrebande et l’exploitation moderne des travailleurs nord-coréens à l’étranger, qui ont été l’objet d’une répression accrue de la part de la communauté internationale. D’autre part, une corrélation peut être établie entre l’augmentation des investissements dans le programme d’armement nucléaire et l’intensification des cyber-opérations en termes de quantité et de sophistication. Les tactiques d’acquisition dans le cyberespace sont difficiles à prévenir en raison de l’opacité et de l’immatérialité du domaine. Les acteurs peuvent opérer sans être détectés, rester largement impunis et nier les accusations de manière plausible. De plus, le rapport coût-bénéfice est en faveur des attaquants. Les contre-mesures actives, telles que les « hackbacks », contre la RPDC sont largement inefficaces, car la Corée du Nord offre peu de points d’attaque en raison de son faible niveau de numérisation. Bien que les États-Unis soient soupçonnés d’avoir perturbé occasionnellement l’infrastructure d’attaque de la Corée du Nord, cela n’a pas encore abouti à des résultats significatifs.
Pour obtenir un aperçu théorique de la motivation étatique, il est essentiel de comprendre la doctrine Songun (priorité au militaire), qui guide les actions politiques du régime depuis 2009. Cette doctrine accorde la priorité à la préparation nationale pour faire face aux menaces perçues. Les ressources de l’État sont principalement investies dans l’appareil de défense de la RPDC, avec le programme d’armes nucléaires au cœur de celui-ci. L’idée fondamentale de la doctrine Songun réside dans l’interaction entre une armée forte et la prospérité économique. Selon cette doctrine, une industrie de l’armement robuste doit générer des ressources financières suffisantes grâce aux exportations d’équipements militaires, tout en garantissant l’intégrité territoriale de l’État. Les élites du pays, y compris les unités cybernétiques, sont officiellement engagées en premier lieu dans le secteur de la défense. Ainsi, il est conforme à la doctrine que la majeure partie des investissements et des opérations d’espionnage industriel servent à promouvoir les intérêts militaires.
L’organisation
L’organisation des groupes cybernétiques nord-coréens demeure difficile à déterminer avec précision en raison de diverses déclarations contradictoires. Cependant, il est établi que ces unités sont subordonnées à l’Armée populaire de Corée, dont le commandant en chef est le « chef suprême » Kim Jong-un. La plupart des acteurs identifiés sont présumés être basés au sein du Bureau 121 du Bureau général de reconnaissance (RGB), le service de renseignement militaire. Parmi les unités opérationnelles qui y sont affectées figurent le groupe Lazarus, Bluenorrof et Kimsuky. Il est également envisageable que certaines parties de l’appareil cybernétique soient rattachées au ministère de la Sécurité de l’État. Le Bureau 39, qui serait responsable de la production conventionnelle de ressources financières, est d’une importance capitale aux côtés du RGB. En raison des objectifs partagés entre ces différentes organisations, il est raisonnable de supposer l’existence d’une coopération opérationnelle entre elles. Récemment, un changement dans l’organisation et les responsabilités des acteurs a été observé. Alors qu’auparavant, les groupes opéraient de manière indépendante les uns des autres, une fusion des unités est devenue évidente depuis 2022. Il y a eu un échange de responsabilités et d’outils entre ces acteurs, suggérant une coopération révisée (division du travail), plus efficace et plus économique en termes de ressources. La formation et le perfectionnement des unités se déroulent à la fois dans des universités en RPDC et en Chine. L’une des caractéristiques majeures de l’organisation cybernétique nord-coréenne est le déploiement stratégique d’unités se faisant passer pour des spécialistes des technologies de l’information à l’étranger. Ces acteurs opèrent à partir de leurs sites respectifs, rendant ainsi l’attribution plus complexe et réduisant les coûts pour l’État.
Perspectives
Le régime nord-coréen persistera dans ses opérations cybernétiques pour atteindre ses objectifs, et il est probable qu’il intensifie ces actions à l’avenir. Les opérations à motivation financière et l’espionnage, en particulier, sont désormais des instruments essentiels de la politique de l’État. Ces motifs sont également ancrés dans le système doctrinal de la RPDC. Le programme nucléaire et de missiles du pays exige des niveaux élevés d’investissement et de connaissances techniques. Parallèlement, l’État est de plus en plus sous pression en raison de ses difficultés économiques. Par conséquent, il est difficile de prédire l’évolution des politiques volatiles et impulsives du régime à l’avenir. Si les attaques contre les comptes numériques, les plateformes de crypto-monnaies ou les flux financiers numériques continuent de s’avérer rentables, on peut présumer que Pyongyang continuera à chercher à acquérir des devises étrangères par le biais d’opérations cybernétiques ciblées. Bien que la coopération entre les unités de la RPDC et des alliés politiques tels que la Russie, la Chine ou l’Iran n’ait pas été observée à certains moments, la coopération interétatique dans le cyberespace nécessite un niveau élevé de coordination et d’intégration opérationnelle, ce qui semble improbable compte tenu des intérêts politiques actuels du régime. Les activités cybernétiques de la RPDC n’ont pas encore représenté une menace significative pour la République fédérale d’Allemagne. Cependant, même une légère détérioration des relations diplomatiques tendues entre la RPDC, la Corée du Sud et les États-Unis pourrait avoir des répercussions dévastatrices sur la sécurité mondiale. En 2019, les Nations unies ont pris des mesures correspondantes, telles que le renforcement des sanctions, les dénonciations publiques et le renforcement de la coopération transnationale, pour limiter l’impact des attaques et leurs conséquences politiques. Il est probable que les fluctuations des prix des crypto-monnaies ou le renforcement des mesures de sécurité des plateformes puissent contrecarrer les attaques. Jusqu’à présent, les autorités de sécurité se sont principalement concentrées sur la détection et la divulgation des tactiques, techniques et procédures (TTP) nord-coréennes. Cette approche, ainsi que la large diffusion d’informations sur les attaquants, se sont parfois avérées être les moyens les plus efficaces pour atténuer les attaques. Toutefois, étant donné l’importance de la doctrine et des finances de l’État nord-coréen, il est probable que la RPDC adapte ses méthodes et cherche de nouveaux moyens. Il est donc actuellement crucial de surveiller de près l’approche de la RPDC, de renforcer la résilience des cibles des attaques et de prévenir au mieux les méthodes d’acquisition dans les domaines numériques et cinétiques en collaboration avec des partenaires internationaux.
À ce jour, les acteurs de la RPDC semblent manifester un intérêt limité pour l’Allemagne. On observe peu d’attaques significatives contre des cibles régionales en Allemagne jusqu’à présent, et il n’existe actuellement aucune indication d’une future priorité opérationnelle pour ce pays.
More about this:
© 2024 The Author(s). This is an Open Access article distributed under the terms of the Creative Commons Attribution License (https://creativecommons.org/licenses/by-sa/4.0/), which permits unrestricted use, distribution, and reproduction in any medium, provided the original work is properly cited. The terms on which this article has been published allow the posting of the Accepted Manuscript in a repository by the author(s) or with their consent.
First published in :
KAF – Konrad Adenauer Foundation
