Faux employés TI à distance : ce que le démantèlement des « fermes de portables » apprend aux PME
Le 13 octobre 2026, le département de la Justice des États-Unis a annoncé une opération contre les faux employés TI à distance au service de la Corée du Nord : 14 personnes inculpées, deux arrestations et la saisie d’environ 187 portables et boîtiers KVM dans des « fermes de portables » au Texas. Ici, pas de pirate qui force la porte : les fraudeurs ont été embauchés, ont reçu un portable de l’entreprise et ont touché un salaire, parfois pendant des années.
Le même jour, le FBI a publié un avis (I-101326-PSA) qui décrit comment le stratagème évolue et vise les « entreprises occidentales ». Les victimes nommées sont américaines, mais toute PME qui embauche des pigistes ou des employés TI 100 % à distance devrait lire ce qui suit : rien n’empêche des faux employés TI à distance de postuler chez vous.
L’opération en chiffres
14
personnes inculpées en Ohio, dont 2 Américains arrêtés
70+
entreprises employeuses touchées de 2019 à 2025
~187
portables et boîtiers KVM saisis
40+
résidences perquisitionnées au Texas (21-25 sept.)
~3 M$ US
de revenus générés par les faux employés
85-90 %
des revenus captés par le régime, selon le FBI
Selon l’acte d’accusation, de 2019 à juillet 2025, les faux employés ont obtenu des postes à distance dans plus de 70 entreprises (santé, communications, soutien en cybersécurité, commerce de détail, fabrication) avec des identités volées ou fabriquées. Le Trésor américain estime que ce type de stratagème a rapporté plus de 800 millions de dollars américains au régime au cours de l’exercice 2024, selon le procureur Ryan Raybould cité par CBS Texas.
Comment fonctionne une « ferme de portables »
L’entreprise envoie le portable de son nouvel employé à une adresse aux États-Unis. Un complice payé le branche chez lui, installe un logiciel d’accès à distance ou un boîtier KVM sur IP, et le laisse allumé. Le « travailleur », à l’étranger, s’y connecte et semble travailler depuis l’adresse déclarée. Selon le FBI, les réseaux paient désormais des complices pour passer des entrevues à leur place, faire vérifier des identités ou prêter leurs comptes professionnels, et sous-traitent parfois tout le travail à des pigistes au Pakistan, en Inde ou au Nigeria. Après un congédiement, certains ont menacé d’anciens gestionnaires ou exigé une rançon contre des données volées.
Faux employés TI à distance : l’entonnoir d’embauche et ses signaux
Le FBI insiste : aucun signal isolé ne suffit, car chacun peut avoir une explication banale. C’est leur accumulation, d’une étape à l’autre, qui doit déclencher une vérification.
🚩 Signaux à surveiller
- Profil professionnel « emprunté » : des années d’historique, mais une personne différente
- Adresse, numéro ou compte bancaire qui change souvent
- Nom, photo et historique professionnel qui ne concordent pas tout à fait
✅ Vérification simple
- Vérifier les références par un numéro trouvé vous-même, pas celui du CV
- Comparer l’historique du profil avec le CV et l’entrevue
🚩 Signaux à surveiller
- Caméra qui « ne marche pas », image figée ou décalée
- Une autre personne que celle des entrevues précédentes
- Réponses qui semblent dictées ou lues
✅ Vérification simple
- Au moins une entrevue en direct, caméra ouverte, avec questions imprévues
- Si possible, une rencontre en personne avant l’embauche
🚩 Signaux à surveiller
- Pièces d’identité de mauvaise qualité ou incohérentes
- Paie demandée vers un compte au nom d’un tiers ou une plateforme de paiement étrangère
✅ Vérification simple
- Vérifier plusieurs pièces d’identité, en direct (le FBI recommande cette friction)
- Paie uniquement dans un compte au nom de l’employé
🚩 Signaux à surveiller
- Adresse de livraison différente de l’adresse de résidence déclarée
- Demande d’envoi « chez un ami » ou « temporairement » ailleurs
✅ Vérification simple
- Livrer à l’adresse vérifiée, ou remise en personne
- Portable géré : configuration verrouillée avant l’envoi
🚩 Signaux à surveiller
- Logiciels de prise de contrôle à distance (AnyDesk, TeamViewer, RustDesk, Chrome Remote Desktop…)
- Boîtiers KVM sur IP (TinyPilot, PiKVM, GL.iNet) ou carte de capture vidéo vue comme une « webcam »
- Travail sous-traité en douce : qualité ou style qui changent du jour au lendemain
✅ Vérification simple
- Bloquer les outils d’accès à distance non approuvés
- Alerte sur tout nouveau périphérique USB ou logiciel installé
- Connexions vérifiées : pays, horaires, appareil
« Identité en profondeur » : 4 couches plutôt qu’un seul filtre
Le principe recommandé par le FBI, appliqué à une PME (de l’extérieur vers l’intérieur)
Couche 1 · Embauche
Vérification d’identité en direct, références contactées par vous, au moins une entrevue caméra ouverte. Le RH et le TI se parlent avant la première journée.
Couche 2 · Appareil
Portable géré, outils d’accès à distance non approuvés bloqués, inventaire des périphériques USB.
Couche 3 · Accès
Authentification multifacteur, accès conditionnel (pays, appareil conforme), moindre privilège : un nouveau pigiste n’a pas besoin de tout le SharePoint.
Couche 4 · Surveillance
Une surveillance proactive de vos systèmes aide à repérer : connexion depuis un pays inattendu, nouveau logiciel de prise de contrôle, volume de téléchargement anormal.
⚖️ Attention aux filtres trop brutaux
Le FBI avertit que des contrôles trop agressifs (listes de noms à bannir, exclusion selon l’origine) écartent des candidats légitimes et pénalisent les victimes de vol d’identité. Au Québec, la Charte des droits et libertés de la personne interdit d’ailleurs la discrimination fondée notamment sur l’origine ethnique ou nationale. La bonne approche : vérifier l’identité et le comportement de tous les candidats et employés à distance, de la même façon.
Si vous avez un doute sur un employé ou un pigiste à distance
- Ne pas confronter ni congédier sur un coup de tête. Coordonnez d’abord TI, RH et direction : le FBI rapporte des menaces et de l’extorsion après des congédiements.
- Préserver les traces : journaux de connexion, liste des logiciels installés, courriels, paiements.
- Couper les accès de façon coordonnée, tous en même temps : compte Microsoft 365, VPN, outils infonuagiques, jetons d’accès, partages de fichiers.
- Signaler au Centre antifraude du Canada et à votre service de police, et prévenir votre assureur cyber si vous en avez un.
Les outils de prise de contrôle à distance au cœur de ce stratagème sont les mêmes que ceux détournés par les fraudeurs ailleurs : voyez notre arbre de décision sur les logiciels d’accès à distance détournés. Côté arrivée des nouveaux employés, l’accueil structuré de la première semaine est aussi le bon moment pour vérifier les accès. NeoTech peut configurer l’accès conditionnel et la gestion des appareils dans vos services Microsoft 365, et nos services de cybersécurité incluent la surveillance proactive de vos systèmes.
Réservez votre Bilan cyber gratuit
Lors du Bilan cyber gratuit, on passe en revue avec vous les accès de vos employés et pigistes à distance, les logiciels de prise de contrôle installés et votre processus d’arrivée et de départ.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Département de la Justice des États-Unis — Coordinated Actions to Combat North Korean Remote IT Worker Schemes (13 octobre 2026) (en anglais)
- FBI / IC3 — North Korean IT Workers Expanding Use of Facilitators, Broadening Recruitment (I-101326-PSA, 13 octobre 2026) (en anglais)
- CyberScoop — DOJ charges 14 over a sprawling North Korean remote work scheme (13 octobre 2026) (en anglais)
- CBS Texas — North Texas federal officials promise indictments after busting alleged North Korean « laptop farms » (13 octobre 2026) (en anglais)
Photo : Mikhail Nilov, Pexels (licence Pexels).