Un leurre familier, avec une tournure nouvelle et dangereuse

Les escroqueries à l'emploi et l'hameçonnage de recruteurs n'ont rien de nouveau, mais la dernière vague de l'opération Dream Job montre jusqu'où les attaquants sont prêts à aller pour donner l'illusion d'une véritable opportunité. Selon Check Point Research, depuis début 2026, des acteurs malveillants liés à la campagne de longue date Operation Dream Job ciblent le secteur de la défense dans le monde entier, en s'intéressant tout particulièrement aux entreprises des secteurs aérospatial et aéronautique. La campagne a déjà été associée à l'activité du groupe Lazarus lié à la Corée du Nord, et cette dernière vague associerait des leurres sur le thème du recrutement à une vulnérabilité Windows de type zero-day, une combinaison qui augmente considérablement les risques pour toute personne travaillant dans un secteur proche de la défense qui recevrait une proposition d'emploi non sollicitée.

Ce qui rend cette campagne remarquable, ce n'est pas seulement le secteur qu'elle cible, mais aussi la sophistication qui la sous-tend. Plutôt que de compter uniquement sur la persuasion pour amener une personne à divulguer ses identifiants, les attaquants auraient utilisé une vulnérabilité logicielle jusqu'alors inconnue pour obtenir un accès plus profond une fois que la cible aurait interagi avec le leurre. Ce glissement, passant de l'ingénierie sociale seule à l'ingénierie sociale associée à une zero-day, s'inscrit dans une tendance plus large que les chercheurs ont soulignée à plusieurs reprises cette année, y compris dans la couverture de la zero-day Check Point de la semaine dernière, où des vulnérabilités, anciennes comme nouvelles, continuent de réapparaître comme vecteurs d'attaque.

Comment l'attaque se déroule

D'après les rapports, la chaîne d'attaque suit un schéma que les chercheurs en sécurité classent parmi les techniques connues : l'accès initial via des pièces jointes de hameçonnage ciblé, et une exécution qui repose sur l'ouverture ou l'interaction de l'utilisateur avec un fichier malveillant. En pratique, cela signifie généralement que la cible reçoit un message qui ressemble à un contact légitime d'un recruteur, faisant souvent référence à une entreprise ou à un poste réel, accompagné d'une pièce jointe présentée comme une description de poste, un formulaire de candidature ou une tâche d'évaluation. Une fois ouverte, le fichier déclenche l'exécution de code sur la machine de la victime, moment auquel la composante zero-day permet aux attaquants de contourner des protections qui normalement intercepteraient des malwares plus conventionnels.

Un détail des recherches ressort : dans au moins un cas, les attaquants ont utilisé une organisation compromise en Europe occidentale pour lancer d'autres e-mails de hameçonnage ciblé, transformant ainsi l'identité de confiance d'une victime en rampe de lancement pour d'autres attaques. Il s'agit d'une escalade significative. Cela signifie que l'e-mail de hameçonnage que reçoit une cible peut ne pas provenir d'une adresse manifestement suspecte ; il pourrait provenir d'un contact réel, auparavant légitime, dont les systèmes ont déjà été compromis. Cette tactique reflète une tendance plus large observée lors de récents incidents zero-day, un peu comme la manière dont les attaquants exploitant la zero-day Cisco FMC se sont appuyés sur l'exploitation active d'infrastructures de confiance pour étendre leur portée avant d'être détectés.

Pourquoi la défense et l'aérospatiale sont dans la ligne de mire

Le ciblage n'est pas aléatoire. Les sous-traitants du secteur de la défense et les entreprises aérospatiales détiennent une propriété intellectuelle précieuse, des informations relatives aux contrats gouvernementaux et un accès à la chaîne d'approvisionnement qui en font des cibles attractives pour des opérations d'espionnage liées à des États. Les leurres liés à l'emploi fonctionnent particulièrement bien contre ce secteur car les entreprises de défense et d'aérospatiale recrutent constamment des ingénieurs spécialisés, des analystes et du personnel technique, dont beaucoup sont actifs sur des réseaux professionnels et ouverts aux contacts entrants de recruteurs. Ce comportement normal de recrutement devient la vulnérabilité même que les attaquants exploitent.

L'utilisation d'une zero-day suggère également une opération disposant de ressources importantes. Les vulnérabilités zero-day sont coûteuses à découvrir ou à acquérir et sont généralement réservées à des cibles de grande valeur plutôt qu'à des escroqueries opportunistes à grande échelle. Leur présence ici renforce l'idée que cette vague de l'opération Dream Job est un effort d'espionnage ciblé plutôt qu'une cybercriminalité générique.

Quelles implications pour vous

Si vous travaillez dans la défense, l'aérospatiale, l'aviation ou un secteur connexe, cette campagne est un rappel que tous les messages inhabituels de recruteurs ne sont pas inoffensifs, même lorsqu'ils semblent provenir d'un contact ou d'une organisation familier. La compromission d'une organisation légitime d'Europe occidentale pour envoyer des e-mails de hameçonnage ultérieurs montre que les signaux de confiance seuls (un expéditeur connu, un nom d'entreprise réel, un ton professionnel) ne sont plus des indicateurs fiables de sécurité.

Sur le plan personnel, c'est aussi une question de vie privée. Une fois que les attaquants prennent pied grâce à une zero-day, ils peuvent potentiellement accéder à bien plus que les seuls fichiers professionnels, y compris les communications personnelles, les identifiants et l'activité de navigation sur un appareil compromis. Toute personne manipulant des informations professionnelles sensibles doit traiter les pièces jointes inattendues, même bien conçues, avec une prudence accrue, et les organisations doivent s'assurer que leurs protections des terminaux et leurs processus d'application des correctifs ne reposent pas uniquement sur la détection des menaces connues.

Mesures concrètes à prendre

Soyez sceptique face aux sollicitations non sollicitées de recruteurs qui vous demandent d'ouvrir des pièces jointes ou de cliquer sur des liens, surtout si elles arrivent en dehors de votre plateforme de recherche d'emploi habituelle. Vérifiez l'identité des recruteurs de manière indépendante avant d'aller plus loin. Maintenez vos systèmes d'exploitation et vos logiciels de sécurité à jour, car la protection contre les zero-day repose souvent sur des défenses en couches plutôt que sur un seul correctif. Si vous travaillez dans un secteur ciblé, signalez les offres d'emploi suspectes à l'équipe de sécurité de votre organisation plutôt que de les gérer vous-même. La dernière vague de l'opération Dream Job souligne que même des interactions professionnelles routinières peuvent devenir un point d'entrée pour des attaques sophistiquées et ciblées, et la prudence reste l'une des défenses les plus efficaces.