En Corée du Sud, un ancien expert en sécurité aurait piraté 90 organisations aidé par l'IA

Le chef présumé a 32 ans. Il n'a pas étudié l'informatique : il a appris le piratage seul, sur des blogs et des vidéos YouTube, selon le Korea JoongAng Daily, puis l'a pratiqué légalement en simulant des attaques pour une entreprise de cybersécurité. D'après BleepingComputer, qui cite la presse locale, il y a travaillé de 2019 à 2022. Le 26 octobre, la police métropolitaine de Séoul l'a présenté comme le chef d'un groupe de sept personnes qui aurait piraté environ 90 organisations sud-coréennes et volé 8,2 millions de données personnelles et documents internes.

Hôpitaux, golfs, universités, instituts de soutien scolaire, filiales de grands conglomérats : les victimes sont variées. Les intrusions se sont étalées de septembre 2025 à octobre 2026. À 38 victimes, le groupe a envoyé des courriels de menace, réclamant au total 360 millions de wons (environ 272 000 dollars) contre la promesse de ne pas publier les données. « Si vous ne payez pas, nous divulguerons les informations », disait l'un de ces messages, cité par le JoongAng Daily. On ignore si des rançons ont été versées.

L'IA a fait changer l'opération d'échelle

Le groupe a d'abord utilisé des outils classiques. À partir d'août 2026, son chef s'est mis à recourir massivement à l'IA générative, ce qui a nettement élargi l'opération, selon la police. Sur la nonantaine de cibles, 60 auraient été piratées avec l'aide de l'IA, rapporte le Korea Times. La police y voit la première arrestation en Corée liée à un piratage à grande échelle assisté par l'IA. Elle souligne que des individus qui n'appartiennent pas à des groupes de pirates professionnels peuvent désormais attaquer en masse.

Quel outil ont-ils utilisé ? BleepingComputer, qui cite l'agence Yonhap, nomme ARTEX AI, un logiciel autonome de tests d'intrusion, qui aurait servi dans la plupart des attaques. Les journaux coréens que nous avons consultés ne citent aucun outil. ARTEX était déjà apparu dans les attaques contre des banques sud-coréennes décrites par CrowdStrike, mais BleepingComputer attribue celles-ci à un autre acteur, sinophone.

Comment les enquêteurs les ont retrouvés

L'enquête a démarré en juin, après la plainte d'une victime. Les enquêteurs sont remontés jusqu'aux suspects grâce aux journaux des serveurs des organisations piratées, indique BleepingComputer. Six complices ont été interpellés entre juillet et septembre, et l'enquête les concernant se poursuit. L'un d'eux recrutait sur Telegram des volontaires payés pour appeler et envoyer des SMS aux employés des victimes, afin de les pousser à payer. Le chef a été arrêté le 15 octobre et déféré au parquet le 23 octobre, en détention. La police dit avoir récupéré toutes les données personnelles volées. Elle a elle-même analysé les preuves avec un outil d'IA interne.

Ce que cela change pour les entreprises

Un ancien professionnel de la sécurité, des outils accessibles et une IA pour aller plus vite : la menace ne change pas de nature, mais de rythme. Pour une PME ou un établissement de santé, trois réflexes en découlent.

• Corriger vite les services exposés sur Internet : les repérer coûte de moins en moins d'efforts aux attaquants.
• Conserver les journaux de vos serveurs assez longtemps et hors de portée d'un intrus : dans cette affaire, ce sont eux qui ont mené aux suspects.
• Préparer les équipes aux appels de pression : tout appel qui annonce une fuite et réclame un paiement doit remonter aussitôt à la direction et à l'équipe de sécurité.

La police poursuit ses recherches sur les complices et sur d'éventuelles autres victimes. Elle vérifie aussi si des données volées ont été publiées sur le dark web.