Amazon a bloqué 1 800 candidats nord-coréens grâce à l'IA
Amazon a empêché plus de 1 800 candidats nord-coréens présumés d'intégrer l'entreprise depuis avril 2024, a écrit son directeur de la sécurité, Stephen Schmidt, dans un post LinkedIn le 18 décembre 2025. Selon lui, ces candidatures ont augmenté de 27 % d'un trimestre à l'autre cette année, et un modèle d'IA examine les profils avant que des personnes ne vérifient les identités. Pour toute entreprise qui recrute des ingénieurs à distance, ce cas montre quels signaux trahissent les faux candidats et où le filtrage échoue encore.
Pourquoi des informaticiens nord-coréens postulent à des emplois à distance aux États-Unis
Le problème auquel Amazon fait face est une fraude visant le recrutement à distance. Son directeur de la sécurité, Stephen Schmidt, écrit que des ressortissants nord-coréens tentent depuis des années de décrocher des postes informatiques à distance dans des entreprises du monde entier, en particulier aux États-Unis.
« Leur objectif est généralement simple : se faire embaucher, se faire payer et renvoyer les salaires pour financer les programmes d'armement du régime. » Stephen Schmidt, directeur de la sécurité d'Amazon, sur LinkedIn
Le coût ne se limite pas aux salaires. The Register rapporte que la plupart des entreprises du Fortune 500 se sont fait piéger, que l'escroquerie a coûté des dizaines de millions de dollars aux entreprises américaines, et que certains fraudeurs utilisent leur accès interne pour voler du code source avant de faire chanter leur employeur. Tom's Hardware note que CrowdStrike a enquêté sur plus de 320 incidents l'an dernier et que plus de 240 entreprises ont été victimes du système de fermes d'ordinateurs portables qui y est lié.
Comment Amazon filtre les candidats avec l'IA et des humains
La réponse d'Amazon est un contrôle en deux temps : un modèle signale les candidatures suspectes, des personnes les confirment. « Nos détections combinent un filtrage par IA et une vérification humaine », écrit Schmidt.
Le modèle examine trois types de signaux. Selon Schmidt, il « analyse les liens avec près de 200 établissements à haut risque, les anomalies entre candidatures et les incohérences géographiques ». Côté humain, les identités sont ensuite vérifiées par des contrôles d'antécédents, la vérification des diplômes et des entretiens structurés. L'IA réduit le champ ; une personne tranche.
Les signaux que le filtrage surveille au quotidien
Au quotidien, les signaux sont de petits détails qui s'additionnent. Schmidt écrit qu'un numéro de téléphone américain formaté avec « +1 » plutôt que « 1 », ou des diplômes d'écoles qui ne proposent pas la spécialité annoncée, peuvent être de forts indices lorsqu'ils s'ajoutent à d'autres. Tom's Hardware cite aussi des dates d'inscription qui ne correspondent pas au calendrier universitaire.
Après l'embauche, le comportement au travail compte aussi. Schmidt a expliqué à Bloomberg que la latence de frappe trahit les fraudeurs, car un salarié qui tape depuis l'étranger via un ordinateur situé aux États-Unis présente un délai mesurable.
Ce que le filtrage a intercepté depuis avril 2024
Le résultat mesuré est le nombre de candidats bloqués. Amazon affirme avoir empêché plus de 1 800 candidats nord-coréens présumés d'intégrer ses effectifs depuis avril 2024, et avoir détecté 27 % de candidatures liées à la Corée du Nord de plus d'un trimestre à l'autre cette année.
Le filtrage n'est pas infaillible, et Amazon le reconnaît. IT Pro, citant Bloomberg, rapporte qu'un imposteur, un faux prestataire en développement de systèmes, est passé entre les mailles. Les équipes de sécurité l'ont repéré grâce à sa latence de frappe : un télétravailleur basé aux États-Unis enregistre généralement ses frappes en quelques millisecondes, alors que la latence de celui-ci dépassait 110 millisecondes.
Comment la fraude évolue
Schmidt décrit une fraude qui s'adapte à mesure que les entreprises la repèrent. Les agents usurpent désormais l'identité de vrais ingénieurs logiciels, souvent en détournant des comptes LinkedIn inactifs avec des identifiants volés, et Amazon a découvert des réseaux où des personnes cèdent leur compte contre rémunération.
Ils travaillent aussi avec des complices aux États-Unis qui gèrent des fermes d'ordinateurs portables : l'ordinateur de l'entreprise reste à une adresse américaine pendant que le salarié s'y connecte depuis l'étranger. Schmidt prévient que ces groupes ciblent de plus en plus les postes en IA et en apprentissage automatique. The Register, citant Okta, ajoute que les fraudeurs passent des entretiens dans la finance, la santé, l'administration publique et les services professionnels, pas seulement dans l'informatique.
Ce que cela change pour les entreprises qui recrutent des ingénieurs à distance
Pour toute entreprise qui recrute à distance, la tâche que remplit le système d'Amazon consiste à écarter les candidats frauduleux avant qu'ils n'atteignent la paie et les systèmes internes. Nul besoin de l'échelle d'Amazon pour en reprendre une partie. Les conseils de Schmidt aux autres entreprises sont précis.
- Interroger les bases de recrutement à la recherche d'indicateurs communs : motifs récurrents dans les CV, les e-mails, les numéros de téléphone et les parcours scolaires.
- Vérifier l'identité à plusieurs étapes du recrutement, pas seulement au moment de l'offre.
- Surveiller les accès à distance inhabituels et le matériel non autorisé après l'arrivée d'une recrue.
- Signaler les informaticiens nord-coréens présumés au FBI ou aux forces de l'ordre locales.
Amazon n'a donné aucun chiffre sur le coût du programme ni sur le nombre d'heures de recrutement économisées.
Questions et réponses
Combien de candidats nord-coréens Amazon a-t-il bloqués ?
Amazon affirme avoir bloqué plus de 1 800 candidats nord-coréens présumés depuis avril 2024. Schmidt indique aussi que les candidatures liées à la Corée du Nord ont augmenté de 27 % d'un trimestre à l'autre cette année.
Comment Amazon détecte-t-il les faux candidats ?
Un modèle d'IA recherche dans les candidatures des liens avec près de 200 établissements à haut risque, des anomalies entre candidatures et des incohérences géographiques. Des personnes confirment ensuite les identités par des contrôles d'antécédents, la vérification des diplômes et des entretiens structurés.
Un faux informaticien nord-coréen a-t-il été embauché chez Amazon ?
Oui. Un faux prestataire est passé et a été démasqué lorsque les équipes de sécurité ont remarqué une latence de frappe de plus de 110 millisecondes, bien au-delà des quelques millisecondes habituelles pour un télétravailleur basé aux États-Unis.
Le regard de MOZGII
Comment nous le construirions
Un filtrage comme celui d'Amazon fonctionne parce qu'il coupe le travail en deux. Le modèle lit chaque candidature et désigne les quelques-unes qui semblent anormales ; une personne décide de la suite. Nous garderions cette séparation. Les données dont le modèle a besoin sont déjà dans un logiciel de recrutement : CV, domaines d'e-mail, formats de téléphone, écoles et dates, et l'historique des candidatures passées. La seconde source est ce qui se passe après l'embauche, par exemple d'où se connecte un ordinateur et à quelle vitesse arrivent les frappes.
Nous le construirions comme une étape de notation dans le logiciel de suivi des candidatures, chaque alerte affichant ses raisons en clair, pour qu'un recruteur voie pourquoi un candidat a été arrêté. Ce sont les équipes de sécurité, et non le modèle, qui confirmeraient l'identité par un entretien en direct et un contrôle des documents. Chaque décision serait journalisée, car un vrai candidat rejeté est un problème d'équité et un problème juridique, pas seulement un recrutement manqué.
Le système flancherait à deux endroits. Les attaquants apprennent les signaux et les modifient, si bien qu'une liste de règles figée devient obsolète en quelques mois. Et un modèle qui s'appuie sur la géographie peut pénaliser des candidats honnêtes qui voyagent ou utilisent un VPN. L'indicateur que nous suivrions est la part des candidats signalés que la vérification humaine confirme comme frauduleux : si elle baisse, le modèle signale les mauvaises personnes.
Ensuite, nous relierions les contrôles du recrutement à la surveillance des appareils pendant les premières semaines d'un poste, puisque le seul raté d'Amazon a été rattrapé par le délai de frappe, pas par le filtrage.
Sources
D’où viennent les faits de cet article.
- 01Over 1,800 North Korean applicants flood Amazon — suspected illicit applicants blocked by the company since April 2024 | Tom's HardwareTom's Hardwaretomshardware.com
- 02Amazon blocked 1,800 suspected DPRK job applicantstheregister.com
- 03Amazon CSO Stephen Schmidt says the company has rejected more than 1,800 fake North Korean job applicants in 18 months – but one managed to slip through the net | IT ProChannel ProITProITProitpro.com