Tech-Connect Actualités tech, tutoriels et astuces informatiques expliqués simplement
Un message LinkedIn poli, un poste alléchant, un salaire au-dessus du marché, et le logo d’une entreprise de défense mondialement connue en guise de garantie de sérieux. Sur le papier, tout respire la légitimité. Dans les faits, ce scénario a permis à un groupe de pirates informatiques soutenu par un État d’infiltrer des entreprises stratégiques en France, en Allemagne, au Brésil et en Inde, en s’appuyant sur une faille de sécurité corrigée depuis quelques jours à peine dans Windows.
Cette opération, baptisée Dream Job (« l’emploi de rêve », en anglais), n’a rien d’un cas isolé. C’est même une technique rodée depuis des années par le groupe Lazarus, l’un des collectifs de cybercriminalité les plus redoutés au monde. On vous explique comment fonctionne cette arnaque, pourquoi elle est si efficace, et surtout comment repérer un faux recruteur avant qu’il ne soit trop tard.
| 🔵 Qui est le groupe Lazarus ? Lazarus est le nom donné par les chercheurs en cybersécurité à un groupe de pirates informatiques que plusieurs gouvernements, dont les États-Unis, attribuent à la Corée du Nord. Le groupe est notamment connu pour des vols massifs de cryptomonnaies et pour des campagnes d’espionnage ciblant des secteurs stratégiques : défense, aérospatiale, énergie, finance. Sa méthode de prédilection consiste à cibler des employés individuels, souvent via les réseaux sociaux professionnels, plutôt que d’attaquer frontalement les systèmes de sécurité d’une entreprise. |
Le déroulé exact de l’arnaque
Tout commence, la plupart du temps, par un message directement envoyé sur LinkedIn. Le faux recruteur se fait passer pour un employé d’une entreprise reconnue du secteur de la défense ou de l’aérospatiale, Lockheed Martin a notamment été usurpée dans cette campagne précise. Le profil semble complet, la conversation est cordiale, professionnelle, sans aucune faute qui pourrait éveiller les soupçons.
Après quelques échanges destinés à instaurer la confiance, la cible reçoit un document ou un lien présenté comme faisant partie du processus de recrutement : un test technique à télécharger, un questionnaire, ou parfois carrément une offre d’emploi détaillée au format PDF ou exécutable. C’est ce fichier, en apparence anodin, qui contient en réalité la charge malveillante.
| ⚠️ La faille technique exploitée Une fois le fichier piégé ouvert, l’attaque exploite une vulnérabilité répertoriée sous le nom CVE-2026-68820, une faille d’élévation de privilèges logée dans le pilote AFD.sys de Windows. Cette faille permettait à un attaquant, une fois un premier accès obtenu, d’obtenir des droits plus élevés sur la machine infectée, de quoi installer une porte dérobée durable sans que l’utilisateur ne remarque quoi que ce soit d’anormal. Elle a été corrigée par Microsoft lors du Patch Tuesday d’août 2026, ce cycle mensuel où l’entreprise publie l’ensemble de ses correctifs de sécurité pour Windows. |
Pourquoi ce type d’attaque fonctionne aussi bien
La force de cette méthode ne repose pas tant sur la sophistication technique du malware que sur la psychologie de la cible. Un professionnel en recherche active, ou simplement curieux d’une opportunité inattendue, se trouve naturellement dans un état d’esprit réceptif : il a envie que l’offre soit vraie, il a moins de réflexes de méfiance que face à un e-mail de phishing classique annonçant un colis bloqué ou une facture impayée.
Le choix d’entreprises de défense et d’aérospatiale comme appâts n’est pas non plus un hasard. Ce sont des secteurs qui recrutent des profils très qualifiés, souvent sollicités par la concurrence, et donc naturellement plus enclins à répondre positivement à une opportunité qui semble sérieuse et bien rémunérée.
Les signaux qui doivent vous alerter
| Signal d’alerte | Pourquoi c’est suspect |
| Contact non sollicité pour un poste très spécifique | Les recruteurs sérieux passent rarement par un message froid pour un poste ultra-ciblé |
| Fichier à télécharger tôt dans l’échange | Un vrai processus de recrutement ne demande jamais d’ouvrir un exécutable avant un entretien |
| Urgence ou pression temporelle | Créer l’urgence est une technique classique pour couper court à la réflexion |
| Profil récent ou peu d’interactions | Un compte LinkedIn créé récemment avec peu d’historique doit éveiller la méfiance |
| Domaine e-mail légèrement différent | Les faux recruteurs imitent souvent un nom de domaine officiel avec une lettre modifiée |
Comment vous protéger concrètement
- Vérifiez systématiquement l’identité d’un recruteur en consultant le site officiel de l’entreprise et, si possible, en contactant son service RH par un canal indépendant du message reçu.
- Ne téléchargez et n’exécutez jamais un fichier envoyé dans le cadre d’un premier contact professionnel non sollicité, quelle que soit sa forme (PDF, ZIP, exécutable, lien de test technique).
- Maintenez Windows à jour : la faille exploitée ici a justement été corrigée par un correctif que beaucoup d’utilisateurs tardent à installer.
- Utilisez un antivirus à jour et, pour les environnements professionnels sensibles, une solution de détection comportementale capable de repérer une élévation de privilèges anormale.
- En cas de doute, ouvrez le fichier suspect uniquement dans un environnement isolé (machine virtuelle) ou signalez-le directement à votre service informatique plutôt que de l’ouvrir sur votre poste de travail.
Ce qui frappe dans cette affaire, c’est le contraste entre la sophistication de la cible et la simplicité déconcertante du point d’entrée : un simple message sur un réseau social professionnel que des millions de personnes consultent chaque jour, souvent en toute confiance. Cela rappelle une règle qu’on a tendance à oublier une fois installé dans une routine numérique : le maillon le plus fragile d’un système de sécurité, ce n’est presque jamais la technologie elle-même, mais l’attention ou l’inattention de la personne assise devant l’écran.
