Hackers nord-coréens : Calendly piégé pour voler la crypto

Ce qui s'est passé

Plusieurs équipes de threat intelligence ont signalé, le 27 avril 2026, une campagne attribuée à des groupes nord-coréens déjà connus pour leur ciblage persistant du secteur des cryptomonnaies. Baptisée Calendly crypto stealer par les chercheurs, l'opération repose sur une couche d'ingénierie sociale particulièrement soignée. L'attaquant engage la conversation avec un développeur, un fondateur de start-up ou un investisseur en se faisant passer pour un insider crédible : recruteur d'un fonds réputé, journaliste spécialisé ou partenaire commercial. Après quelques échanges anodins, il propose un entretien et transmet un lien Calendly d'apparence légitime. La page de réservation, clonée ou détournée, invite ensuite la victime à installer un correctif ou un client de visioconférence : c'est ce fichier qui déploie l'infostealer chargé de siphonner portefeuilles, extensions de navigateur et phrases de récupération.

L'abus de Calendly est central pour passer les contrôles classiques : la marque est légitime, l'URL est en HTTPS, et la cible est psychologiquement engagée par la promesse d'un rendez-vous concret. Les détections naïves basées sur la réputation du domaine échouent ; il faut analyser la chaîne complète, jusqu'au binaire téléchargé.

Pourquoi c'est important

Le segment crypto reste l'une des sources de financement principales du régime nord-coréen, avec des centaines de millions de dollars détournés chaque année. Pour les équipes de sécurité d'écosystèmes Web3 ou de fonds spécialisés, cette campagne ajoute une variante crédible aux schémas déjà documentés dans le ciblage des développeurs crypto via VS Code et complète les techniques décrites par les analyses de l'ingénierie sociale Zerion attribuée à la Corée du Nord. Côté défense, le vecteur ressemble fortement à ce que l'on observe dans les chaînes ClickFix dans le navigateur et l'Infinity Stealer ClickFix sous macOS : un déclencheur humain, un domaine de confiance, un stealer bien tenu. La couverture EDR reste indispensable, mais la priorité est de former les équipes exposées (BizDev, recrutement, communication crypto) à la reconnaissance des invitations contextuelles à risque.

Ce qu'il faut retenir

• Considérez toute invitation Calendly émise après quelques messages comme un point de pivot potentiel ; ne suivez pas les redirections vers un téléchargement.
• Bloquez l'exécution d'installeurs non signés sur les postes des équipes en contact externe (BizDev, RH, communication).
• Faites tourner régulièrement les seed phrases et déconnectez les portefeuilles bureautiques des comptes professionnels exposés à la prospection externe.

Cette campagne s'inscrit dans une filiation directe avec les opérations attribuées au groupe Lazarus et à ses sous-clusters TraderTraitor et AppleJeus, actifs depuis 2018 contre l'écosystème crypto. Les chercheurs y retrouvent la même architecture d'attaque que dans les campagnes KANDYKORN (2023) et Contagious Interview (2023-2025), où de faux recruteurs ou partenaires business poussaient les cibles à exécuter un paquet npm ou un projet Node.js piégé lors d'un « test technique ». L'usage de Calendly marque une évolution : plutôt que de simuler un entretien d'embauche, l'attaquant simule une relation d'affaires ou un rendez-vous presse, ce qui élargit le vivier de victimes potentielles aux fondateurs de protocoles, aux investisseurs early-stage et aux community managers, des profils habitués à multiplier les appels avec des inconnus.

Le volet financier de ces opérations reste considérable. Selon le rapport annuel de Chainalysis publié début 2025, les acteurs nord-coréens ont dérobé environ 1,34 milliard de dollars en cryptomonnaies sur l'année 2024, un record historique porté par des compromissions à fort impact comme le piratage de la plateforme japonaise DMM Bitcoin (308 millions de dollars) et par une multiplication des attaques dites de « social engineering » ciblant directement les détenteurs de clés privées plutôt que l'infrastructure des exchanges. Un rapport de l'ONU de 2024 estime que ces fonds financent directement les programmes balistique et nucléaire du régime, ce qui explique la persistance et la sophistication croissante de ces campagnes malgré les sanctions internationales et les multiples mises en garde du FBI et de la CISA depuis 2022.

Sur le plan technique, l'abus d'outils de prise de rendez-vous légitimes s'inscrit dans une tendance plus large de détournement de services SaaS de confiance — Zoom, Google Meet, Microsoft Teams ont déjà servi de vecteurs à des installeurs frauduleux via la technique dite du ClickFix, où la victime est incitée à copier-coller une commande ou à lancer un exécutable pour « résoudre un problème d'affichage » avant l'appel. Les analystes en threat intelligence soulignent que ce choix n'est pas anodin : Calendly bénéficie d'une réputation de domaine irréprochable auprès des filtres anti-phishing et des proxies d'entreprise, ce qui permet aux liens malveillants de transiter sans déclencher d'alerte, la charge malveillante n'intervenant qu'au moment du téléchargement final, souvent hébergé sur une infrastructure jetable renouvelée toutes les 48 à 72 heures.

Pour les équipes de sécurité des projets Web3, cette campagne renforce un constat déjà documenté dans le ciblage des développeurs via VS Code et les extensions piégées : le maillon le plus exposé n'est plus le smart contract ou l'infrastructure cloud, mais le poste de travail individuel du fondateur, du développeur ou de l'investisseur, souvent dépourvu d'EDR et disposant d'un accès direct aux portefeuilles de trésorerie du projet.