Un recruteur LinkedIn vous contacte pour une offre alléchante chez Boeing, Palantir ou une startup fintech reconnue. Vous êtes ingénieur, développeur ou chercheur en sécurité. Le profil semble parfaitement légitime. Trois semaines plus tard, votre SI est compromis et un rootkit nord-coréen tourne en mode kernel sur vos serveurs. C'est l'Opération Dream Job — et elle fonctionne encore mieux en 2026 qu'à ses débuts en 2019.

Ce qu'est vraiment l'Opération Dream Job

L'Opération Dream Job n'est pas une campagne ponctuelle. C'est une infrastructure d'espionnage industriel et de vol de cryptomonnaies en activité continue depuis 2019 au minimum, opérée par Lazarus Group — l'APT nord-coréen affilié à la Direction Générale de la Reconnaissance (RGB) de Pyongyang, rattaché au Bureau 121, l'unité de cyberguerre offensive de la Corée du Nord.

La campagne a été documentée pour la première fois par ClearSky Security en 2020, puis enrichie par des analyses successives de Google TAG, Mandiant, Check Point Research et ESET. En août 2026, elle est toujours active. La preuve concrète : l'exploitation de CVE-2026-68820, le zero-day Windows AFD.sys patché le 12 août 2026, a été formellement attribué à Lazarus dans le cadre de cette campagne par Check Point Research — confirmant que le groupe dispose encore de capacités zero-day opérationnelles en 2026.

Le principe fondamental de Dream Job est d'une simplicité désarmante : cibler des individus plutôt que des systèmes. Lazarus a compris avant beaucoup d'autres acteurs que la surface d'attaque la plus difficile à défendre n'est pas technique — elle est humaine. Vos firewalls peuvent être parfaitement configurés, vos EDR à jour, votre SOC actif 24/7. Ça ne change rien si l'un de vos développeurs télécharge et exécute un "test technique" reçu via LinkedIn.

La sophistication des profils LinkedIn utilisés est réelle et croissante. Les faux recruteurs disposent de photos réalistes générées par intelligence artificielle (images GAN, indétectables à l'oeil nu), d'historiques professionnels crédibles sur plusieurs années, et de connexions avec de vrais professionnels du secteur. Certains comptes restent dormants 3 à 6 mois avant d'être activés pour approcher une cible, accumulant endorsements et recommandations pour paraître parfaitement légitimes. C'est une infrastructure de tromperie professionnellement maintenue.

La mécanique de l'attaque : de LinkedIn au rootkit kernel

Voici le déroulé type d'une attaque Dream Job en 2026, reconstruit à partir des analyses publiques disponibles chez Check Point Research, Mandiant et ESET :

Phase 1 — Reconnaissance (J-30 à J-7)

Lazarus identifie des cibles via LinkedIn, GitHub, X (anciennement Twitter) et les programmes de conférences de sécurité. La cible idéale est un ingénieur senior ou un développeur travaillant dans un secteur d'intérêt — défense, spatial, cryptomonnaies, recherche en sécurité — avec une présence digitale suffisamment détaillée pour permettre une personnalisation fine. Lazarus lit vos publications GitHub, vos articles de blog technique, vos talks de conférence. Ils savent sur quoi vous travaillez avant de vous contacter.

Phase 2 — Approche initiale (J-7 à J-3)

Un "recruteur" fictif envoie un InMail LinkedIn personnalisé. Il cite précisément votre profil technique, mentionne un projet similaire à votre expérience, et propose une rémunération 30 à 50% supérieure au marché. Les entreprises utilisées comme couverture en 2026 : Boeing, Lockheed Martin, Airbus, Palantir, Coinbase, Kraken, et des entités fictives mais crédibles avec sites web fonctionnels et profils LinkedIn d'employés.

Phase 3 — Établissement de la confiance (J-3 à J0)

Plusieurs échanges s'ensuivent. Le recruteur est réactif, professionnel, connaît le secteur dans les détails. Des entretiens vidéo peuvent être organisés — avec des deepfakes en temps réel dans les cas les plus sophistiqués documentés par Mandiant en 2025. La victime est convaincue d'une démarche de recrutement tout à fait légitime. Ce n'est pas de la négligence — c'est une tromperie orchestrée de façon professionnelle pendant plusieurs semaines.

Phase 4 — Livraison du payload (J0)

La victime reçoit un "devoir maison" ou "test technique" : projet GitHub privé, archive ZIP, ou document PDF interactif. Le contenu visible est réel et professionnel — un exercice de code pertinent, un document de mission technique crédible. Mais le projet contient également un composant malveillant : une dépendance NPM ou PyPI trojanisée, un PDF avec JavaScript malveillant, ou un exécutable masqué en outil de développement. La charge utile est soigneusement construite pour passer les analyses statiques initiales.

Phase 5 — Post-compromission (J0+)

L'implant initial établit une communication C2 chiffrée avec les serveurs Lazarus. Les opérateurs réalisent une reconnaissance interne silencieuse, puis déploient CVE-2026-68820 ou une vulnérabilité équivalente pour escalader jusqu'au niveau SYSTEM. Un rootkit kernel est installé pour assurer une persistance furtive. L'objectif final selon le secteur : exfiltration de propriété intellectuelle et de secrets défense dans l'aérospatial et le militaire, ou vol de clés cryptographiques et de seed phrases dans le fintech/crypto.

Pourquoi vos défenses techniques ne suffisent pas

Je vais être direct sur ce point : la majorité des défenses techniques déployées en entreprise ne sont pas conçues pour stopper ce vecteur d'attaque spécifique.

Considérons le scénario le plus courant en 2026. L'ingénieur ciblé travaille partiellement en télétravail. Il reçoit l'offre sur son téléphone personnel via son compte LinkedIn personnel. Il teste le "projet technique" sur son ordinateur personnel en soirée — hors de question d'utiliser son laptop professionnel pour un exercice de recrutement. Le code malveillant s'exécute donc hors du périmètre de votre EDR, de votre DLP, de votre proxy et de votre SIEM. Votre SOC ne voit rien.

Même dans le scénario où la victime teste le code sur son poste professionnel, les défenses classiques restent insuffisantes. Un projet NPM avec une dépendance malveillante passe la plupart des analyses antivirales statiques — le code légitime d'enrobage est soigné, le payload est souvent chiffré ou obfusqué. L'exécution est fréquemment en mémoire (fileless malware) pour éviter les détections basées sur les signatures fichier. Et l'escalade via un zero-day kernel n'est, par définition, pas couverte avant la divulgation de la CVE.

Chiffre pour mesurer l'ampleur du problème : selon un rapport SANS Institute de 2025, 67% des ingénieurs et développeurs déclarent avoir déjà exécuté du code reçu d'une source externe non vérifiée dans un contexte professionnel ou semi-professionnel, et 41% n'auraient pas nécessairement utilisé un environnement isolé. Ce sont vos futurs vecteurs d'entrée Lazarus.

Les secteurs français dans le viseur — ce n'est pas de la théorie

Dream Job n'est pas une menace réservée aux entreprises américaines ou sud-coréennes. La France est une cible documentée et active de Lazarus Group, pour trois raisons convergentes.

L'industrie de défense française est un joyau industriel stratégique. Thales, Airbus Defence and Space, Naval Group, Safran, MBDA emploient collectivement des dizaines de milliers d'ingénieurs dont les profils LinkedIn sont publics et détaillés. Un ingénieur travaillant sur la propulsion des sous-marins nucléaires de prochaine génération représente une cible d'une valeur stratégique extraordinaire. Pyongyang ne cache pas ses ambitions dans le domaine des sous-marins nucléaires et de la technologie balistique.

L'écosystème crypto et Web3 français est une cible financière directe. Paris s'est imposée comme l'une des capitales européennes du secteur blockchain depuis 2021 : Ledger, Sorare, Starkware, de nombreux fonds crypto. Ce secteur intéresse directement le Bureau 121, dont les opérations cyber financent le programme nucléaire nord-coréen. L'ONU estime que Lazarus a volé entre 3 et 4 milliards de dollars en cryptomonnaies entre 2017 et 2025, dont une part significative en Europe.

Les chercheurs en sécurité français sont une cible récurrente. Google TAG a documenté dès 2021 des campagnes Lazarus ciblant des chercheurs en sécurité via des comptes fictifs et des blogs techniques hébergeant des exploits 0-day. Le pattern se poursuit en 2026. Des profils basés en France ont été approchés — même si les compromissions confirmées publiquement concernent majoritairement des chercheurs américains et sud-coréens.

L'ANSSI a classé Lazarus Group parmi les acteurs APT à surveiller en priorité dans son panorama de la menace 2025, avec des recommandations spécifiques pour les entreprises OIV et OSE.

Ce que vous devez mettre en place concrètement

Voici les mesures concrètes, classées par efficacité réelle terrain. Ma lecture, pas la liste générique habituelle :

1. Sensibilisation ciblée pour les profils à risque élevé. Tous vos collaborateurs ne présentent pas le même risque vis-à-vis de Dream Job. Formez en priorité : ingénieurs senior et lead developers, chercheurs R&D, personnel technique des secteurs défense/spatial/crypto/IA, et vos équipes sécurité elles-mêmes. La sensibilisation doit être spécifique à ce vecteur — pas une formation générique anti-phishing email qui ignore LinkedIn et les faux tests techniques. Message clé à ancrer : toute sollicitation de recrutement non sollicitée impliquant l'exécution de code doit être signalée à la sécurité avant toute action.

2. Politique d'exécution de code externe. Documenter une politique claire connue de tous les développeurs : tout code externe (projets GitHub, archives, dépendances) doit être testé dans un environnement isolé avant exécution — VM dédiée sans accès au SI interne, ou sandbox cloud sans credentials persistants. Cette politique doit couvrir explicitement le contexte "test technique pour recrutement".

3. Software Composition Analysis (SCA) dans les pipelines CI/CD. Déployer Dependabot, Snyk, OWASP Dependency-Check ou Checkmarx SCA selon votre environnement. Ces outils ne détectent pas tous les packages malveillants mais créent une friction et alertent sur des comportements suspects : package récent avec peu de téléchargements, auteur inconnu, divergence de hash. Le supply chain software est le vecteur de livraison préféré de Lazarus depuis 2023.

4. Digital Risk Protection (DRP) pour les secteurs sensibles. Des solutions DRP permettent de surveiller les mentions de votre entreprise et de vos collaborateurs clés sur les réseaux sociaux et d'identifier des campagnes d'ingénierie sociale ciblant votre personnel avant qu'elles ne portent leurs fruits. Des acteurs comme Recorded Future, Mandiant Advantage ou SEKOIA.IO proposent ces capacités avec une couverture francophone.

5. Patch management accéléré pour les CVE kernel critiques. CVE-2026-68820 était patchée le 12 août. Sur ce type de vulnérabilité, le délai doit être mesuré en heures. Définissez un processus d'exception documenté pour les CVE CISA KEV et les escalades kernel avec exploitation confirmée : approbation accélérée, déploiement prioritaire, validation post-patch en 24 heures.

6. Détection comportementale kernel et runbooks SOC. Vérifiez que les capacités de détection des rootkits kernel de votre EDR sont activées — elles ne le sont pas toujours par défaut. Et surtout : assurez-vous que votre SOC a des runbooks spécifiques pour répondre aux alertes kernel-level, aux chargements anormaux de drivers, aux accès suspects à AFD.sys.

Le paradoxe des équipes sécurité

Il y a un paradoxe cruel que j'observe régulièrement en mission : les équipes de sécurité sont parmi les cibles les plus précieuses pour Lazarus, et parmi les moins bien protégées contre ce vecteur spécifique.

Pourquoi ? Les chercheurs en sécurité ont l'habitude d'analyser du code malveillant, d'ouvrir des fichiers suspects, de tester des exploits. Cette expertise crée un faux sentiment de confiance : "je saurais détecter quelque chose de malveillant." Mais les implants Lazarus sont construits pour paraître bénins à l'analyse initiale. Le code malveillant est souvent dans une dépendance, pas dans le projet principal. La charge peut être inactive plusieurs heures pour échapper aux analyses dynamiques courtes.

Google TAG a documenté en 2021 des cas où des chercheurs expérimentés avaient été compromis malgré des précautions. La conclusion est nette : contre un adversaire étatique motivé et bien doté, l'expertise technique individuelle ne suffit pas. Les procédures et politiques organisationnelles, si.

Mon avis d'expert

Dream Job illustre parfaitement pourquoi la cybersécurité est avant tout un problème de gouvernance, pas de technologie. Vous pouvez avoir le meilleur stack sécurité du marché — si vos développeurs peuvent exécuter du code arbitraire reçu via LinkedIn sur leur environnement de travail, vous avez un problème de politique, pas de tooling. La réponse n'est pas d'acheter un nouveau produit. C'est de former les bonnes personnes sur les bons vecteurs, de documenter des comportements sécurisés, et de créer une culture où "j'ai reçu un test technique bizarre sur LinkedIn" est quelque chose qu'on signale à son équipe immédiatement — pas qu'on teste en solo un soir sur son laptop pro.

Conclusion

L'Opération Dream Job est un rappel brutal : le maillon le plus faible de votre chaîne de sécurité est humain. Lazarus n'a pas besoin de compromettre votre firewall s'il peut convaincre votre développeur senior de cloner un repo GitHub dans le cadre d'un "entretien de recrutement".

La bonne nouvelle : la défense contre ce vecteur n'est pas techniquement complexe. Elle nécessite une sensibilisation ciblée, des politiques claires sur l'exécution de code externe, un contrôle des dépendances, et un patch management rigoureux. La mauvaise nouvelle : elle nécessite du temps, de la pédagogie et l'adhésion de la direction — plus difficile à obtenir qu'un budget pour un nouvel outil.

Si vous opérez dans les secteurs défense, spatial, fintech, crypto ou sécurité en France, vos ingénieurs les plus talentueux ont des profils LinkedIn publics et détaillés — et Lazarus les lit. Agissez en conséquence avant que ce soit eux qui vous le signalent après coup.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique.

Prendre contact