La menace nord-coréenne contre la Corée du Sud ne se limite pas à l'artillerie massée le long de la zone démilitarisée ou aux essais de missiles balistiques : elle se déploie également, jour après jour, dans le cyberespace, où plusieurs groupes de pirates informatiques directement rattachés à l'appareil d'État nord-coréen mènent une campagne continue d'espionnage, de sabotage et de vol financier visant les institutions publiques comme privées sud-coréennes.
Cette dimension cybernétique de la confrontation intercoréenne, longtemps restée secondaire dans les analyses de sécurité traditionnelles, occupe une place croissante dans les priorités des agences sud-coréennes chargées de la cybersécurité, à mesure que la sophistication et l'ampleur financière de ces opérations ne cessent de croître.
Un logiciel bancaire obligatoire transformé en porte dérobée
L'Agence coréenne de sécurité Internet a identifié en 2026 une vulnérabilité critique dans un logiciel de signature électronique par certificat rendu obligatoire par la réglementation bancaire sud-coréenne, une faille activement exploitée par des pirates depuis le second semestre 2025. Les attaquants sont parvenus à compromettre une quinzaine de sites internet sud-coréens légitimes pour y injecter du code malveillant, transformant ainsi un outil de sécurité imposé par la régulation elle-même en vecteur d'infiltration à grande échelle.
Cette attaque, qui a directement visé un dispositif que l'ensemble des utilisateurs de services bancaires en ligne sud-coréens sont contraints d'installer, illustre la manière dont les pirates nord-coréens ciblent en priorité les points de passage obligés de l'infrastructure numérique nationale plutôt que des cibles isolées.
Une infiltration documentée de 72 organisations en 2026
Selon les autorités sud-coréennes, le groupe Lazarus aurait installé, au cours de la seule année 2026, des portes dérobées d'espionnage au sein d'au moins soixante-douze organisations différentes, incluant des agences gouvernementales, des plateformes d'échange de cryptomonnaies et des prestataires de services informatiques. Cette ampleur, rarement documentée avec autant de précision par les services sud-coréens eux-mêmes, témoigne d'une stratégie d'infiltration systématique plutôt que d'attaques ponctuelles isolées.
Cette présence durable au sein d'un nombre aussi élevé d'organisations sud-coréennes permet aux services nord-coréens de maintenir un accès persistant à des informations sensibles, qu'il s'agisse de données gouvernementales, de renseignements financiers ou de secrets industriels, bien au-delà du seul objectif immédiat de chaque intrusion initiale.
Le pillage mondial de cryptoactifs comme moteur financier
Sur le plan financier, les acteurs liés à la Corée du Nord ont représenté à eux seuls environ les trois quarts de la valeur totale des cryptoactifs volés dans le monde au cours de l'année 2026, une part obtenue en grande partie grâce à un nombre restreint d'attaques de très grande ampleur contre des plateformes financières décentralisées. Ces vols de cryptoactifs, dont l'ampleur cumulée sur plusieurs années atteint désormais plusieurs milliards de dollars, constituent une source de revenus jugée essentielle par les autorités sud-coréennes et américaines pour le financement des programmes nucléaire et balistique nord-coréens, soumis par ailleurs à un régime de sanctions internationales strict.
Cette dimension financière, qui dépasse largement le seul cadre de la confrontation intercoréenne pour toucher l'ensemble de l'écosystème mondial des cryptoactifs, explique l'attention croissante portée par les services de renseignement sud-coréens à la surveillance de ces flux financiers illicites, en coordination étroite avec leurs homologues internationaux.
La porosité croissante avec les groupes de rançongiciels
Les agences sud-coréennes de cybersécurité ont également mis en garde contre un phénomène plus récent : le partage d'outils et de techniques entre le groupe Lazarus et des groupes de rançongiciels opérant à des fins purement criminelles, ces derniers exploitant les mêmes vulnérabilités logicielles préalablement identifiées et documentées par les pirates nord-coréens contre des cibles sud-coréennes du secteur financier.
Cette porosité entre cybercriminalité étatique et cybercriminalité purement lucrative complique considérablement le travail d'attribution des agences de sécurité sud-coréennes, qui doivent désormais distinguer les opérations directement pilotées par Pyongyang de celles menées par des groupes criminels tiers réutilisant simplement des techniques d'attaque initialement développées par les services nord-coréens.
Les sous-traitants de défense, cible historique persistante
Les entreprises sud-coréennes de défense demeurent par ailleurs une cible privilégiée et de longue date des services nord-coréens : les autorités sud-coréennes avaient déjà attribué à trois groupes distincts, Lazarus, Kimsuky et Andariel, une campagne ayant visé plusieurs dizaines de sous-traitants et entreprises de défense, dont une dizaine avaient effectivement vu des informations sensibles dérobées lors de cette campagne.
Cette persistance du ciblage des entreprises de défense, qui recoupe directement les priorités industrielles et militaires nord-coréennes en matière de modernisation de son propre arsenal, souligne combien la cybersécurité est désormais devenue un enjeu central pour l'ensemble de l'écosystème industriel de défense sud-coréen, dont le succès à l'export repose largement sur la protection de technologies particulièrement sensibles.
Une guerre silencieuse mais continue
L'ensemble de ces éléments dessine le portrait d'une confrontation cybernétique intercoréenne d'une intensité largement sous-estimée par rapport à la seule dimension militaire conventionnelle de la rivalité entre les deux Corées, mêlant espionnage d'État classique, vol financier à grande échelle et porosité croissante avec la cybercriminalité de droit commun.
Face à cette pression continue, les autorités sud-coréennes doivent désormais protéger simultanément leurs infrastructures financières critiques, leurs agences gouvernementales et leur base industrielle de défense contre des adversaires dont les capacités techniques et la portée financière n'ont cessé de croître au fil des années, sans qu'aucune réponse strictement défensive ne semble jusqu'à présent en mesure d'endiguer durablement cette menace.
Sources documentaires
Tech Times, des pirates étatiques transforment le logiciel bancaire obligatoire sud-coréen en arme de type zero-day
The Record, le groupe Lazarus partage ses outils avec des pirates de rançongiciels, avertissent les agences sud-coréennes
TRM Labs, la Corée du Nord a volé 76 % de la valeur totale des cryptoactifs piratés en 2026
Infosecurity Magazine, des pirates nord-coréens ciblent des dizaines d'entreprises de défense
CSIS, comment les cyberattaques alimentent les ambitions nucléaires nord-coréennes
Cybersécurité
La réponse défensive sud-coréenne face à cette menace persistante.
Lire l'analyse →Menace nucléaire nord-coréenne
Le programme que ces vols de cryptoactifs contribuent directement à financer.
Lire l'analyse →Industrie militaire sud-coréenne
Le secteur industriel directement visé par le ciblage nord-coréen des sous-traitants de défense.
Lire l'analyse →Cluster Corée du Nord
Le dossier nord-coréen analyse le rôle plus large de la cybercriminalité dans l'économie du régime.
ComparerCluster États-Unis
Le dossier États-Unis situe la coopération internationale de traçage des cryptoactifs volés.
ComparerCluster Japon
Le dossier Japon permet de comparer l'exposition régionale à la même menace cybernétique.
Comparer
Analyste en géopolitique, anthropologie politique et relations internationales.