Lazarus dans vos RH : quand l'ennemi entre par la porte du recrutement

# Lazarus dans vos RH : quand l'ennemi entre par la porte du recrutement

Nous sommes en 2026, et les équipes de sécurité européennes apprennent encore la même leçon à la dure : le vecteur d'attaque le plus sophistiqué ne passe pas par une faille dans votre pare-feu. Il passe par un CV soigneusement fabriqué, un profil LinkedIn impeccable, et un processus de recrutement que personne n'a jamais pensé à auditer.

Lazarus — le groupe nord-coréen dont l'appétit pour les infrastructures de défense européennes ne faiblit pas — a franchi un cap. Les campagnes documentées depuis début 2026 montrent une convergence inédite : l'ingénierie sociale de recrutement sert désormais de tunnel d'entrée pour déposer des exploits zéro-day sur des postes de travail qui n'auraient jamais été exposés autrement. Un ingénieur de confiance ouvre un PDF de "proposition salariale". Le poste est compromis. Le réseau suit.

Si vous êtes DSI ou RSSI d'une PME ou ETI qui travaille, même indirectement, sur des chaînes d'approvisionnement de défense, d'énergie ou de télécommunications en Europe : ce n'est pas un sujet académique. C'est votre prochain incident.

Le RH n'est pas votre problème. C'est votre angle mort.

La réalité opérationnelle que j'observe dans les retours d'expérience des équipes IT européennes, c'est que le processus de recrutement reste, en 2026, une zone blanche dans la cartographie des risques. On audite les accès, on surveille les endpoints, on fait des pentests. Mais on ne pose jamais la question : qui vérifie l'identité réelle du candidat qui va recevoir un poste de travail managé sur notre réseau ?

Lazarus a parfaitement compris cette asymétrie. Leurs opérateurs ne cherchent pas à casser votre XDR. Ils cherchent à obtenir légitimement un accès — même temporaire, même limité — à un environnement où ils pourront déposer une charge utile. Un entretien technique sur un environnement de démonstration. Un test pratique sur une machine de l'entreprise. Un accès VPN provisoire pour un prestataire fraîchement signé. Chacun de ces moments est une surface d'attaque.

Le zéro-day dans cette équation n'est pas forcément une faille logicielle inconnue. C'est souvent la combinaison d'un accès légitime et d'un comportement que vos outils de détection n'ont pas appris à reconnaître, parce que personne n'a modélisé le scénario "l'attaquant a un badge".

Ce que ça change concrètement pour vos équipes IT

Première implication directe : vos processus d'onboarding IT doivent être revus comme des processus de sécurité à part entière, pas comme une checklist de provisioning. Aujourd'hui, dans la plupart des structures que je croise, l'équipe IT reçoit un ticket "créer le compte de Untel, arrivée lundi" et exécute. Fin de l'histoire. Ce modèle est terminé.

L'onboarding d'un nouveau collaborateur — et plus encore d'un prestataire ou d'un consultant — doit désormais inclure une phase de vérification d'identité renforcée qui ne repose pas uniquement sur ce que les RH ont collecté. Ce n'est pas de la méfiance envers vos collègues RH. C'est de la séparation des responsabilités. Les RH vérifient la compétence et la compatibilité culturelle. La sécurité vérifie l'identité et la surface de risque.

Deuxième implication : vos environnements de test et de démonstration doivent être traités comme des environnements de production du point de vue de la détection. C'est là que Lazarus frappe en premier. Un environnement de démo mal isolé, connecté au même domaine Active Directory que votre production, c'est une autoroute. Ça paraît évident écrit noir sur blanc. Ce n'est manifestement pas évident dans la pratique.

Troisième implication, et c'est là que ça devient un sujet de souveraineté : les outils que vous utilisez pour orchestrer ces processus — gestion des identités, vérification documentaire, contrôle des accès temporaires — doivent être sous votre maîtrise réelle. Pas hébergés dans une région dont vous ne connaissez pas la juridiction, pas dépendants d'un SLA dont vous n'avez jamais lu les annexes sur la coopération avec des autorités étrangères.

Nous avons suffisamment d'acteurs européens capables de couvrir ces besoins — gestion des identités, vérification d'identité à distance, IAM souverain — pour ne pas externaliser cette brique critique vers des plateformes dont la gouvernance vous échappe. Ce n'est pas du protectionnisme. C'est de la cohérence opérationnelle.

La vraie question que personne ne pose en CODIR

Lorsqu'une attaque de type Lazarus aboutit, le post-mortem pointe invariablement vers une faille technique. Un patch manquant, une règle SIEM mal calibrée, un endpoint non couvert. C'est rassurant parce que c'est actionnable. Mais c'est souvent faux.

La vraie question est : pourquoi cet individu avait-il accès à ce système ? Qui a validé cet accès ? Avec quelles informations ? Et qui, dans votre organisation, est responsable de revoir ces accès de manière systématique ?

Les entreprises européennes de défense et de leur chaîne de valeur élargie qui ont survécu sans incident majeur en 2025-2026 ne sont pas celles qui avaient les meilleurs outils de détection. Ce sont celles qui avaient des processus de gouvernance des accès documentés, testés, et défendables devant un auditeur. C'est une discipline organisationnelle avant d'être une discipline technique.

Ce que nous devons exiger, collectivement

En tant que communauté de DSI et RSSI européens, nous devons arrêter de traiter la sécurité de la chaîne RH comme un sujet périphérique. Elle est centrale. Elle est le nouveau périmètre.

Cela implique d'investir dans des processus inter-équipes — IT, RH, juridique, achats — qui partagent une vision commune du risque d'accès. Pas une réunion annuelle de sensibilisation. Un processus opérationnel, avec des déclencheurs, des responsabilités claires, et des outils partagés.

Cela implique aussi de réclamer, auprès de nos directions, des budgets de vérification et de gouvernance des identités qui ne soient pas traités comme des coûts résiduels. Une identité mal vérifiée peut coûter infiniment plus cher qu'une faille technique corrigée par un patch.

Lazarus ne faiblit pas. Ses méthodes s'affinent. Et la défense européenne — au sens large, y compris ses sous-traitants de troisième rang — reste une cible prioritaire. Nous avons les compétences pour répondre. Ce qui nous manque parfois, c'est la volonté de traiter nos processus RH avec le même sérieux que nos firewalls.

Commencez par là. Maintenant.