Lazarus : le bras financier clandestin de Pyongyang

Le groupe Lazarus et les opérations financières nord-coréennes

Le groupe Lazarus n’est pas une bande de pirates indépendante qui aurait trouvé refuge en Corée du Nord. Dans les attributions américaines, sud-coréennes et internationales, ce nom désigne un ensemble d’opérateurs reliés à l’appareil de renseignement nord-coréen, capables de conduire sabotage, espionnage et vols financiers. Là où Pyongyang manque de banques correspondantes, de marchés ouverts et de réserves en devises, le cyberespace lui permet d’atteindre directement des entreprises situées sur plusieurs continents. Comprendre Lazarus exige toutefois de distinguer les faits judiciaires, les attributions techniques et les estimations financières, trois niveaux de preuve que le débat public confond souvent.

Un nom d’attribution, plusieurs chaînes opérationnelles

« Lazarus » est d’abord une convention de nommage. Les entreprises de cybersécurité, les services de renseignement et les autorités judiciaires emploient des taxonomies différentes pour regrouper des outils, des infrastructures et des comportements. Le Trésor américain a sanctionné en 2019 Lazarus Group, BlueNoroff et Andariel en les présentant comme des entités contrôlées par le Bureau général de reconnaissance, principal service de renseignement extérieur et clandestin du pays. D’autres documents utilisent APT38, TraderTraitor, Hidden Cobra ou des appellations propres à chaque fournisseur. Ces étiquettes se recouvrent sans être toujours interchangeables. Elles ne permettent pas de reconstruire avec certitude une chaîne de commandement interne. Leur utilité est opérationnelle : relier des campagnes assez semblables pour alerter, enquêter et perturber les réseaux.

Cette prudence ne signifie pas que l’attribution serait arbitraire. Les enquêteurs combinent des fragments de code, des serveurs, des horaires de travail, des portefeuilles numériques, des erreurs opérationnelles, des comptes, des transferts et parfois des renseignements non publiés. Une signature informatique isolée peut être copiée ou délibérément déposée par un tiers. Une convergence de sources indépendantes, prolongée par une enquête financière et des saisies, produit une conclusion plus robuste. Mais le public n’accède pas toujours à l’ensemble des éléments classifiés, tandis qu’une mise en accusation expose des allégations qui doivent encore être jugées. L’écriture géopolitique doit donc employer des verbes précis : une opération peut être attribuée par le FBI, décrite par l’ONU, alléguée dans un acte judiciaire ou confirmée par une décision de justice. Ces statuts ne valent pas preuve identique.

Du sabotage politique au vol bancaire

L’attaque contre Sony Pictures Entertainment en novembre 2014 a donné à Lazarus sa première visibilité mondiale. Des données furent dérobées et publiées, tandis qu’un logiciel destructeur paralysait une partie du réseau de l’entreprise. Les autorités américaines relièrent l’opération à la Corée du Nord et l’interprétèrent comme une représaille contre le film The Interview, qui mettait en scène l’assassinat fictif de Kim Jong-un. L’objectif n’était pas seulement de recueillir des informations ou de gagner de l’argent : il s’agissait de punir une représentation jugée offensante et de modifier le comportement d’une entreprise située hors du territoire nord-coréen. Cette campagne révéla qu’un État relativement faible pouvait imposer un coût politique et commercial à une cible privée majeure sans engager de forces conventionnelles.

Le ransomware WannaCry, propagé en mai 2017, élargit encore la portée de la menace. Les États-Unis, le Royaume-Uni et plusieurs partenaires l’ont publiquement attribué à la Corée du Nord. Le logiciel exploita des systèmes non corrigés, chiffra des machines dans au moins 150 pays et perturba notamment le service national de santé britannique. Son rendement financier paraît avoir été faible au regard des dommages provoqués, ce qui invite à ne pas réduire toutes les opérations à une collecte méthodique de devises. WannaCry démontrait aussi le risque de perte de contrôle : un outil diffusé sur des réseaux civils peut produire des conséquences sans relation avec la cible initiale. Dans le cyberespace, la puissance asymétrique offre la distance et le déni, mais elle expose également le commanditaire à une escalade politique difficile à calibrer.

La priorité financière est devenue plus visible à mesure que les sanctions limitaient les revenus extérieurs. Entre 2015 et 2019, selon l’acte d’accusation publié par le département américain de la Justice en 2021, des opérateurs militaires nord-coréens auraient tenté de dérober plus de 1,2 milliard de dollars à des banques situées dans plusieurs régions. L’opération contre la banque centrale du Bangladesh en 2016 reste emblématique : des instructions frauduleuses utilisant le réseau de messagerie SWIFT visaient près d’un milliard de dollars, mais une fraction seulement fut transférée. L’intrusion associait compromission informatique, connaissance des procédures bancaires, création de comptes et blanchiment dans le monde physique. La réussite dépendait donc autant des intermédiaires financiers que du logiciel malveillant.

Les cryptomonnaies ont changé l’échelle des opérations

Les plateformes d’actifs numériques concentrent des montants considérables dans des systèmes accessibles en ligne, avec des procédures de sécurité inégales. Les ponts entre chaînes, qui permettent de transférer des actifs d’un réseau à un autre, concentrent parfois des réserves particulièrement attractives. En janvier 2023, le FBI a attribué à Lazarus et APT38 le vol de 100 millions de dollars subi par le pont Horizon de Harmony en juin 2022. Le même type d’écosystème a été associé à d’autres opérations majeures. Il ne s’agit pas de « casser » la cryptographie fondamentale des monnaies numériques, mais de compromettre des personnes, des clés, des logiciels ou des procédures entourant leur conservation.

Le vol d’environ 1,5 milliard de dollars d’actifs virtuels subi par la plateforme Bybit le 21 février 2025 constitue un changement quantitatif. Le FBI en a attribué la responsabilité à la Corée du Nord sous l’appellation TraderTraitor. Une opération d’une telle ampleur n’équivaut pas à un revenu immédiatement disponible pour Pyongyang : les fonds volés deviennent visibles sur les registres publics, certaines adresses sont signalées et leur conversion peut entraîner des gels. Elle fournit néanmoins un stock considérable à fragmenter, échanger et blanchir dans le temps. Elle démontre aussi que les défenses techniques ne suffisent pas si une procédure légitime de signature ou de transfert peut être manipulée. Le point d’entrée décisif se situe souvent dans la confiance humaine et organisationnelle.

L’attaque contre la société japonaise DMM Bitcoin en mai 2024 illustre cette méthode. Le FBI, le centre de cybercriminalité du département américain de la Défense et la police japonaise ont attribué à des acteurs nord-coréens le vol de 4 502,9 bitcoins, alors évalués à 308 millions de dollars. D’après leur description, un opérateur se présentant comme recruteur contacta un salarié d’une entreprise de portefeuilles numériques et lui transmit un prétendu test professionnel contenant un script malveillant. L’accès obtenu permit ensuite de récupérer des informations de session et de manipuler une transaction. L’opération ne reposait donc pas sur une prouesse abstraite, mais sur une préparation ciblée, une fausse identité crédible et l’exploitation successive de plusieurs relations de confiance.

Ces campagnes rendent le recrutement lui-même vulnérable. Les faux profils approchent développeurs, cadres, détenteurs de portefeuilles et employés de plateformes par les réseaux professionnels. Une offre d’emploi, un exercice de programmation, une visioconférence ou une proposition d’investissement peut servir de véhicule à un logiciel malveillant. Le FBI alertait en 2024 sur des opérations d’ingénierie sociale difficiles à détecter contre le secteur de la finance décentralisée. Les attaquants étudient parfois l’activité publique de leur cible, son vocabulaire et ses relations avant d’engager la conversation. La défense ne consiste donc plus seulement à filtrer des pièces jointes : elle doit vérifier les identités, isoler les tests techniques, contrôler les droits de signature et soumettre les transferts sensibles à une validation indépendante.

Le blanchiment reste le maillon décisif

Le blanchiment transforme ensuite l’actif volé en ressource utilisable. Les opérateurs fractionnent les fonds, les déplacent entre portefeuilles, changent de jetons, empruntent des ponts entre chaînes et recourent à des mélangeurs ou à des négociants de gré à gré. Chaque étape cherche à rompre la lisibilité de la trajectoire et à atteindre un service permettant une conversion. Cette chaîne n’est pourtant pas invisible. Les registres distribués conservent l’historique des mouvements ; les enquêteurs peuvent suivre des regroupements d’adresses, coopérer avec des plateformes et saisir les avoirs lorsqu’ils touchent une infrastructure conforme. En novembre 2025, le département américain de la Justice annonçait avoir gelé et saisi plus de 15 millions de dollars reliés à plusieurs vols attribués à APT38. La traçabilité ne prévient pas l’attaque, mais elle peut réduire son rendement.

Les chiffres globaux doivent être lus avec la même discipline. Dans son rapport final de mars 2024, le groupe d’experts du Conseil de sécurité indiquait enquêter sur 58 cyberattaques présumées contre des entreprises liées aux cryptomonnaies entre 2017 et 2023, pour une valeur approximative de trois milliards de dollars. Le mot « présumées » est essentiel : il s’agissait d’affaires examinées, non d’un bilan judiciaire définitif. Les montants correspondent généralement à la valeur au moment du vol et non à la somme effectivement convertie ou remise à l’État. Les additionner éclaire l’ordre de grandeur de la menace, mais ne permet pas d’affirmer quelle proportion a financé un missile, une importation ou le fonctionnement quotidien du régime.

Des revenus clandestins au service de l’État

Le lien avec les programmes interdits repose néanmoins sur plus qu’une simple concomitance. Le Trésor américain, le FBI et le Conseil de sécurité décrivent les cyberrevenus comme une source utilisée pour soutenir les priorités de l’État, dont les programmes nucléaire et balistique. La structure budgétaire nord-coréenne étant opaque, il est impossible d’établir une comptabilité publique dollar par dollar. L’effet stratégique est plutôt fongible : toute devise obtenue clandestinement peut payer des biens importés, des intermédiaires, des infrastructures ou libérer d’autres ressources nationales. Ces devises augmentent la capacité générale du régime à préserver ses secteurs prioritaires malgré l’isolement financier.

Cette fonction explique pourquoi les opérations combinent profit et renseignement. Andariel a été associé à des campagnes visant les secteurs de la défense, de l’aéronautique, du nucléaire et de l’ingénierie afin d’obtenir des données techniques. Kimsuky, autre ensemble suivi séparément, cible notamment diplomates, chercheurs, médias et spécialistes de la péninsule pour recueillir des informations politiques. Ces acteurs ne doivent pas être absorbés sans nuance sous le seul nom Lazarus. Ils révèlent toutefois une doctrine commune : compenser l’infériorité d’accès par l’infiltration numérique. Voler des fonds soutient la résilience économique ; voler des plans peut accélérer un programme ; lire les communications d’un expert aide à anticiper la politique adverse. La frontière entre criminalité, espionnage et préparation militaire devient alors fonctionnellement poreuse.

Les travailleurs informatiques nord-coréens à distance appartiennent à un autre dispositif qu’il faut également distinguer des unités de piratage. Des alertes du FBI décrivent des techniciens utilisant identités empruntées, faux documents, sociétés écrans et ordinateurs installés chez des facilitateurs étrangers pour obtenir des emplois dans des entreprises qui ignorent leur nationalité. Leurs salaires généreraient des revenus pour l’État ; certains cas incluent aussi vol de données ou extorsion. En juillet 2026, les autorités américaines ont renouvelé leur avertissement à destination des pays et des entreprises. Employer « Lazarus » pour désigner tout travailleur frauduleux brouillerait la réalité. La convergence tient au financement clandestin, aux infrastructures de dissimulation et au contrôle d’entités liées au régime, non à l’identité certaine des équipes.

La cryptomonnaie n’est donc ni une caisse anonyme parfaite ni la cause du problème. Elle offre une circulation transfrontalière rapide, mais ses registres publics créent des possibilités d’enquête inédites. Les vulnérabilités décisives se trouvent dans les plateformes, les ponts, la gestion des clés et l’identification des utilisateurs. Interdire un mélangeur ou publier une liste d’adresses peut déplacer les flux vers d’autres protocoles sans supprimer la demande de blanchiment. Une réponse efficace doit relier cybersécurité, renseignement financier, sanctions ciblées, coopération judiciaire et restitution aux victimes. Si chaque institution ne voit qu’un segment — intrusion, jeton, compte bancaire ou société écran — les opérateurs conservent l’avantage de la continuité.

Une zone grise entre crime et confrontation

La stratégie nord-coréenne profite aussi d’une asymétrie juridique. Un vol peut viser une entreprise privée dans un pays, utiliser un serveur situé dans un deuxième, passer par une plateforme enregistrée dans un troisième et être blanchi par des intermédiaires dispersés. L’État victime hésite alors entre réponse policière, sanction économique, opération cyber et accusation diplomatique. Une riposte militaire serait généralement disproportionnée ; une procédure pénale peut ne jamais conduire à une arrestation. Pyongyang bénéficie de cette zone grise tant que les coûts imposés à ses infrastructures et à ses facilitateurs restent inférieurs aux gains. Les mises en accusation ont néanmoins une valeur : elles exposent des identités, documentent des méthodes et réduisent la liberté de déplacement des personnes concernées.

La riposte dépend d’une coopération sans frontières

Le rôle de la Chine et de la Russie complique encore l’action internationale. Des opérateurs, sociétés ou travailleurs peuvent utiliser des infrastructures situées hors de Corée du Nord sans que toute activité puisse être attribuée à une décision des gouvernements hôtes. La coopération policière, le contrôle des sociétés, l’application des sanctions et la surveillance des négociants de gré à gré déterminent cependant la capacité de ces réseaux à convertir leurs revenus. La disparition en avril 2024 du groupe d’experts du comité 1718, après le veto russe au renouvellement de son mandat, a supprimé un mécanisme indépendant de collecte et de publication. Les enquêtes nationales continuent, mais leur fragmentation facilite les contestations politiques de l’attribution.

Lazarus est enfin un révélateur de l’économie politique nord-coréenne. Le régime investit dans une élite technique, connectée au monde pour mieux en exploiter les réseaux, tandis qu’il limite l’accès ordinaire de sa population à l’information. Cette contradiction n’est qu’apparente. L’ouverture numérique n’est accordée qu’aux structures jugées utiles et contrôlables ; elle sert la sécurité de l’État plutôt que l’autonomie sociale. Le cyberespace permet ainsi une mondialisation sélective : Pyongyang reste isolé comme société, mais ses opérateurs interviennent dans les chaînes financières et technologiques les plus intégrées. La faiblesse économique ne disparaît pas ; elle devient l’incitation à rechercher des rendements exceptionnels avec un nombre limité de spécialistes.

La principale erreur serait de mesurer cette puissance au seul total des vols. Une campagne empêchée peut néanmoins révéler une capacité d’accès ; une opération rentable peut provoquer un durcissement réglementaire qui réduit les gains futurs ; un sabotage spectaculaire peut entraîner une coalition diplomatique. L’évaluation doit suivre la répétition des méthodes, l’adaptation après les saisies, la diversité des cibles et la capacité à convertir les actifs. Elle doit aussi préserver l’incertitude : l’opacité nord-coréenne, la variation des noms et le caractère partiellement secret des preuves interdisent les certitudes absolues. Une analyse crédible ne minimise pas la menace en reconnaissant ces limites ; elle évite que l’attribution devienne un slogan impossible à vérifier.

Lazarus constitue donc moins une organisation mythique qu’un modèle de puissance asymétrique. Sous des appellations changeantes, des opérateurs attribués à l’appareil nord-coréen combinent compétences techniques, ingénierie sociale, réseaux de blanchiment et objectifs d’État. Ils ne rendent pas les sanctions inutiles, mais en contournent certains effets ; ils ne remplacent pas l’économie réelle, mais procurent des devises et des informations à haute valeur ; ils n’offrent pas une impunité totale, mais exploitent la lenteur des frontières juridiques. La riposte la plus solide ne sera ni une formule spectaculaire ni une interdiction isolée. Elle reposera sur l’attribution recoupée, la réduction des accès, la traçabilité financière, la coopération internationale et la capacité à saisir les fonds avant qu’ils ne deviennent une ressource stratégique pour Pyongyang.

Sources documentaires :

Trésor américain, sanctions contre Lazarus, 13 septembre 2019 · Département de la Justice, acte d’accusation, 17 février 2021 · Conseil de sécurité, rapport final 2024 · FBI et police japonaise, vol DMM, 23 décembre 2024 · FBI, attribution du piratage de Bybit, 26 février 2025 · Département de la Justice, saisies et travailleurs informatiques, 14 novembre 2025 · FBI, alertes cyber nord-coréennes, 2026.