Un deepfake en temps réel suffit désormais à décrocher un poste, et la Corée du Nord l'exploite déjà

Le visage de l'entretien avait été fabriqué en 70 minutes

Un chercheur sans aucune expérience des deepfakes, équipé d'un ordinateur vieux de cinq ans et d'une carte graphique achetée en 2020, a voulu mesurer la difficulté réelle de truquer un visage humain pendant un entretien d'embauche en visioconférence. Résultat : soixante-dix minutes ont suffi. À partir de logiciels gratuits et d'un visage généré par IA, tiré d'un site qui invente des personnes n'ayant jamais existé, il a obtenu une identité de synthèse assez convaincante pour faire face à un recruteur et répondre à ses questions en direct.

Cette démonstration, signée Unit 42, la division de recherche sur les menaces de Palo Alto Networks, n'a rien d'un exercice théorique. Elle recoupe presque trait pour trait une fraude qui place déjà des opérateurs nord-coréens sur les feuilles de paie de centaines d'entreprises occidentales. Le 8 juin 2026, le cabinet Skadden a fait la synthèse des récentes actions répressives américaines visant ce dispositif, et le tableau qui s'en dégage devrait modifier le regard que votre organisation porte sur un simple entretien vidéo.

Comment le dispositif fonctionne

La logique est sobre, l'exécution méthodique. Pyongyang forme des informaticiens qualifiés, leur fabrique de fausses identités, puis les pousse à postuler à des postes en télétravail (développement, design, support informatique) auprès d'entreprises des pays riches. Les salaires, souvent cumulés sur plusieurs emplois menés de front, remontent vers le régime : l'ONU estime que le programme lui rapporte entre 250 et 600 millions de dollars par an, des fonds qui alimentent des programmes d'armement et de missiles balistiques placés sous sanctions. Les opérateurs sévissent dans plus de 40 pays.

Reste à comprendre comment ils franchissent deux obstacles : l'entretien, puis l'ordinateur professionnel. Pendant l'entretien, ils activent un deepfake en temps réel, une vidéo de synthèse générée à la volée : un modèle de permutation de visage plaque sur le flux réel de leur webcam un autre visage, généré par IA, injecté dans Zoom ou Teams via une caméra virtuelle, c'est-à-dire un logiciel qui se fait passer pour une vraie webcam. Un même individu peut ainsi se présenter plusieurs fois au même poste sous des identités distinctes, tout en gardant son vrai visage hors des avis de recherche du FBI. Une fois recruté, l'opérateur fait expédier l'ordinateur de l'entreprise à une adresse américaine, qui correspond en réalité à une « ferme à ordinateurs », le domicile d'un complice où la machine reste branchée et allumée. Le travailleur y accède alors à distance, au moyen d'outils comme AnyDesk ou TeamViewer et à travers un VPN, pour que chaque connexion paraisse locale. Et pour tenir plusieurs emplois en parallèle, il s'appuie sur des assistants de codage IA dont le rendu, tout juste correct, suffit à ne pas éveiller les soupçons.

• Le ministère américain de la Justice a inculpé plus de 40 personnes. En avril 2026, deux ressortissants américains ont écopé de plusieurs années de prison pour avoir hébergé ces fermes à ordinateurs, qui ont permis à des opérateurs de se faire passer pour des salariés dans plus de 100 entreprises américaines à l'aide de plus de 80 identités volées.
• CrowdStrike, qui suit ce groupe sous le nom de FAMOUS CHOLLIMA, a recensé des opérateurs infiltrés comme employés internes dans plus de 100 sociétés technologiques, principalement américaines.
• Le FBI alerte sur une dérive vers l'extorsion une fois l'accès obtenu : copie de code source vers des comptes personnels, collecte d'identifiants et de cookies de session en vue d'attaques ultérieures.

Pourquoi le recrutement devient un poste de sécurité

Le préjudice est déjà documenté : code source dérobé, violations de données déclenchées, centaines de millions de dollars par an versés à un programme d'armement sous sanctions. La question plus délicate, pour votre organisation, tient à la localisation du risque. La justice américaine considère les entreprises piégées comme des victimes, mais une victime paie tout de même l'enquête forensique, les notifications de violation et la revue juridique, et peut s'exposer à des poursuites pour manquement aux sanctions selon ce que l'opérateur a pu consulter. Le glissement à nommer lors de votre prochaine réunion de pilotage est le suivant : l'entretien vidéo, longtemps traité comme une formalité RH, est devenu un contrôle d'identité qui concerne directement vos équipes de sécurité. Voir un visage à l'écran ne prouve plus qui vous avez recruté. La tendance ne va d'ailleurs que dans un sens, car les 70 minutes nécessaires pour produire un faux crédible continueront de se réduire, tandis que les outils de détection restent en retard sur ceux qui fabriquent ces trucages.

Les bons réflexes

1. Mettez le visage à l'épreuve pendant la visioconférence. Demandez au candidat de tourner la tête de profil ou de passer une main devant son visage, car les deepfakes en temps réel actuels se déforment ou décrochent dès qu'une main traverse le visage ou que la tête pivote brusquement.
2. Vérifiez l'identité par des canaux que le candidat ne maîtrise pas. Confirmez expériences et diplômes directement auprès des employeurs et établissements concernés, et non via les références fournies, puis confrontez une vérification d'identité en direct à la personne présente à l'écran, puisque toute la fraude repose sur des documents et des contacts fabriqués.
3. N'expédiez le matériel qu'à l'adresse figurant sur une pièce d'identité vérifiée, et surveillez les connexions. N'envoyez l'ordinateur nulle part ailleurs, et signalez les outils d'accès à distance, les VPN d'anonymisation et les connexions depuis des lieux inattendus, car la ferme à ordinateurs et la session distante sont les étapes qui transforment un mauvais recrutement en accès permanent.

À retenir

Ce dispositif prospère parce qu'il vise l'angle mort de la plupart des programmes de sécurité, le tunnel de recrutement. Un visage de synthèse passe l'entretien, la chambre d'amis d'un inconnu tient lieu d'adresse américaine, et un assistant de codage IA fait illusion côté compétences. Rien de tout cela n'exige de percer votre pare-feu, puisque c'est vous qui avez ouvert la porte et remis le badge. Posez une seule question lors de votre prochain comité de recrutement : si le prochain ingénieur prometteur reçu en visio par vos équipes était un deepfake en temps réel au service d'un régime sous sanctions, une seule étape de votre processus permettrait-elle de le repérer avant l'envoi de l'ordinateur ?