Si vous avez manqué notre récente discussion virtuelle informelle « Behind the Screens: North Korea's Focus on DMARC in Email Espionage, » ou si vous n'avez pas pu y assister en raison de restrictions géographiques, nous avons ce qu'il vous faut.
Rejoints par des experts en cybersécurité du Federal Bureau of Investigation (FBI) et de l'Université de Stanford, ainsi que Red Sift, cette session a exploré comment le groupe de cyberespionnage nord-coréen Kimsuky a opéré. Acteur de menace persistante avancée (APT) actif depuis au moins 2012, Kimsuky a exploité des politiques Domain-based Message Authentication, Reporting, and Conformance (DMARC) mal configurées pour lancer des campagnes de spear-phishing.
Le panel comprenait Natalie Wilson, agente spéciale au FBI ; Emily Tinao, analyste de renseignement au FBI ; le Dr Herb Lin, chercheur senior à l'Université de Stanford et au Hoover Institute ; ainsi que le Dr Sean Costigan, Managing Director de la stratégie de résilience chez Red Sift. Ensemble, ils ont fourni des informations essentielles pour renforcer la sécurité des e-mails afin de contrer ces menaces.
Mise à niveau rapide
L'objectif principal de Kimsuky est d'utiliser des activités de cyberespionnage pour collecter des renseignements plutôt que de causer des perturbations ou de voler des données financières. Dans le cadre de ses campagnes de collecte de renseignements de longue date, le groupe APT cible un ensemble d'organisations américaines et alliées, telles que des universités, des think tanks et des organisations à but non lucratif, afin de recueillir des informations géopolitiques sensibles pour soutenir le régime nord-coréen.
Dans un avis conjoint publié en mai 2024 par le FBI, la NSA et le Département d'État, il est indiqué comment Kimsuky a utilisé les mauvaises configurations de DMARC pour accéder à des renseignements précieux. Ce changement d'orientation vers la collecte d'informations sensibles sur les politiques nucléaires et les sanctions souligne l'importance pour les organisations — en particulier les universités et les think tanks — de sécuriser leurs actifs numériques.
Grâce au spear phishing, le groupe APT nord-coréen utilise des e-mails hautement personnalisés et trompeurs conçus pour imiter des sources fiables, telles que des responsables gouvernementaux, des journalistes ou des cadres supérieurs. Cette méthode incite les cibles à cliquer sur des liens ou à ouvrir des pièces jointes malveillantes, contenant des logiciels malveillants ou une adresse web malveillante.
L'exploitation de DMARC
Le FBI a souligné que le succès de Kimsuky provient en grande partie de l'exploitation de DMARC mal configuré ou mal géré, contournant la sécurité des e-mails et permettant une usurpation d'identité illégitime. Cela a permis à Kimsuky de mener des opérations de plus en plus sophistiquées axées sur le renseignement, s'éloignant des crimes financiers traditionnels associés aux groupes APT nord-coréens. Le FBI a souligné la nécessité d'améliorer l'hygiène cybernétique, car de nombreuses organisations manquent encore des configurations appropriées nécessaires pour prévenir ce type d'attaques.
En développant les techniques de spear phishing de Kimsuky, l'équipe du FBI a expliqué que le groupe infiltre souvent des réseaux de confiance et envoie des e-mails qui semblent provenir de sources légitimes. Cette tactique aide Kimsuky à gagner la confiance de cibles de premier plan avant de délivrer du contenu malveillant, tel que des liens ou des pièces jointes malveillants. Le FBI a en outre noté la nécessité pour les organisations de prêter attention à leurs politiques DMARC afin de réduire les vulnérabilités et d'empêcher ces campagnes de phishing de se transformer en cyberattaques plus importantes.
Un défi plus large au-delà de DMARC
Les tactiques, techniques et procédures de Kimsuky soulèvent des préoccupations plus larges en matière de cybersécurité, notamment des implications pour la sécurité nationale et le risque d'opérations cybernétiques offensives. Le Dr Lin a noté comment les universités et les think tanks, qui génèrent une propriété intellectuelle précieuse et sont perçus par les adversaires comme des acteurs clés pour comprendre ou influencer la politique américaine, constituent des cibles particulièrement attrayantes pour Kimsuky et des groupes similaires soutenus par des États-nations. Lin a souligné la nécessité pour les organisations de prioriser la cybersécurité dans le cadre d'une défense globale contre les cybermenaces émanant d'États-nations.
Le Dr Costigan a offert des conseils pratiques aux institutions, soulignant que des acteurs de la menace comme Kimsuky recherchent activement des politiques DMARC mal configurées ou incomplètes à exploiter. Il a encouragé les organisations à examiner et à mettre à jour rapidement leurs paramètres DMARC, notant qu'il existe des moyens efficaces et efficients d'améliorer la sécurité des e-mails.
S'assurer que DMARC est correctement configuré aide non seulement à prévenir les attaques de phishing, mais renforce également la résilience globale de l'organisation. Il reste une grande marge de progression pour améliorer davantage la cybersécurité. La récente enquête 2025 Global Digital Trust Insights de PwC révèle que seulement 2 % des organisations ont mis en place une résilience cybernétique à l'échelle de l'entreprise, malgré une attente de 77 % concernant l'augmentation des budgets de gestion de la cybersécurité. Du côté positif, l'adoption de DMARC s'améliore, en partie grâce à la récente exigence e-mail de Google et Yahoo! pour les expéditeurs en masse et aux mandats mondiaux de conformité DMARC.
Points clés à retenir et comment vous protéger
De nombreuses informations ont été abordées lors de la session, et les précieuses perspectives partagées par tous les intervenants seront essentielles pour garantir une protection cybersécuritaire plus solide, en particulier face à des acteurs sophistiqués comme ce groupe APT. Le Dr Costigan résume ci-dessous les trois principaux points à retenir de la session :
- Les universités et les think tanks créent des informations sensibles et une propriété intellectuelle considérable. En tant que tels, ils constituent des cibles privilégiées pour l'exploitation cybernétique par des groupes APT comme Kimsuky.
- Les acteurs de la menace sont à la recherche de faiblesses et d'opportunités. Profiter d'un DMARC incomplet ou mal configuré est exactement dans leur domaine d'action, et l'on peut s'attendre à ce que davantage de groupes cybercriminels et APT suivent l'exemple de Kimsuky.
- Si vous faites partie de l'équipe risque ou cybersécurité de votre institution, ou même si vous souhaitez simplement améliorer la résilience cybernétique de votre organisation, vérifiez votre politique DMARC. Si elle est inexistante, incomplète ou mal configurée, sachez qu'il existe des moyens rapides et économiques pour parvenir à la sécurité.
Cette discussion informelle a mis en évidence le besoin urgent de partenariats public-privé de confiance pour aider les organisations à agir contre les menaces APT. Le FBI a demandé aux universités, think tanks et organisations à but non lucratif de signaler lorsqu'ils ressentent une pression provenant de groupes soutenus par des États-nations, et également d'améliorer leurs configurations DMARC et leurs pratiques d'hygiène cybernétique.
Bien que les tactiques de Kimsuky évoluent, elles s'appuient souvent sur des faiblesses qui peuvent être facilement renforcées. Des mesures proactives pour sécuriser les systèmes de messagerie comme DMARC peuvent réduire considérablement les risques posés par ces groupes de menace persistante avancée, ce qui montre clairement que des protocoles de cybersécurité robustes ne sont pas optionnels mais essentiels dans le paysage numérique actuel.
_________
Rencontrez les intervenants
Natalie Wilson est agente spéciale au sein d'une unité de cybersécurité axée sur la sécurité nationale. Elle enquête sur des affaires d'intrusion cybernétique liées à des groupes APT chinois (RPC) et nord-coréens. Avant de travailler sur des questions de cybersécurité, Natalie a eu une longue carrière dans les enquêtes de contre-espionnage et possède plus de 10 ans d'expérience dans les enquêtes sur le vol de secrets commerciaux et l'espionnage économique.
Emily Tinao est analyste de renseignement (IA) au bureau de terrain de New York du Federal Bureau of Investigation. Tinao a rejoint le FBI en 2015 et a travaillé sur diverses enquêtes criminelles et questions de cybersécurité liées à la sécurité nationale.
Le Dr Herb Lin est chercheur senior en politique et sécurité cybernétiques au Center for International Security and Cooperation et titulaire de la bourse Hank J. Holland en politique et sécurité cybernétiques à la Hoover Institution, tous deux à l'Université de Stanford. Ses intérêts de recherche concernent largement les dimensions politiques de la cybersécurité et du cyberespace, et il s'intéresse particulièrement à l'utilisation des opérations offensives dans le cyberespace en tant qu'instruments de politique nationale, ainsi qu'aux dimensions sécuritaires de la guerre de l'information et des opérations d'influence sur la sécurité nationale.
Le Dr Sean Costigan est Managing Director de la stratégie de résilience chez Red Sift, où il supervise et conseille sur les politiques et stratégies mondiales de l'entreprise. Professionnel du secteur de la cybersécurité, Sean a reçu en 2023 le Prix Serge Lazareff pour ses contributions à l'OTAN.
