Campagne Contagious Interview : comment le groupe nord-coréen WaterPlum cible les développeurs via de fausses offres d'emploi

Plus de 30 000 ordinateurs infectés dans une centaine de pays, environ 10,7 millions de dollars américains dérobés en cryptomonnaies : l’ampleur de la campagne Contagious Interview est sans précédent pour une opération ciblant des individus plutôt que des entreprises. Ce 18 septembre 2026, les autorités du Japon, des États-Unis, de l’Australie et de l’Allemagne ont conjointement attribué cette vaste campagne à un groupe de cyberespionnage nord-coréen désigné sous le nom WaterPlum, rattaché au 313e Bureau général du Département de l’industrie munitionnaire de la Corée du Nord. Derrière ce nom de code se cache une machine de guerre économique : l’opération est présentée comme un moyen de générer des revenus pour l’État, et non comme une simple cybercriminalité.

Cette attaque par offre d’emploi fictive cesse d’être une simple alerte pour devenir un cas d’école pour la cybersécurité des professionnels du numérique, en particulier en France où le télétravail et les plateformes de freelancing sont très développés. Nous vous proposons une analyse complète de la menace, des familles de maliciels utilisées, des liens avec le système de travailleurs informatiques nord-coréens, et des mesures concrètes pour vous protéger, que vous soyez développeur, recruteur ou responsable sécurité.

WaterPlum et la campagne Contagious Interview : une attribution multilatérale inédite

L’avis de cybersécurité conjoint, publié sous les sceaux de la National Police Agency et du National Cybersecurity Office japonais, du FBI et du Cyber Crime Center du département de la Défense américain, de l’Australian Cyber Security Centre et des services allemands BND et BfV, est un événement rare. Il officialise ce que les experts soupçonnaient depuis plusieurs mois : la campagne Contagious Interview est pilotée par un groupe étatique nord-coréen, et non par des cybercriminels ordinaires.

Le rôle du 313e Bureau général

WaterPlum opère sous l’autorité du 313e Bureau général du Département de l’industrie munitionnaire de la Corée du Nord. Ce département supervise la production d’armements, ce qui ancre clairement l’opération dans une logique de financement du régime. Le vol de cryptomonnaies et le pillage de données sensibles ne sont donc pas des délits crapuleux, mais des actes de soutien à un programme militaire.

« Le fait que le groupe soit directement rattaché à l’industrie munitionnaire change la donne en matière de conformité et de sanctions. Les entreprises qui interagissent avec des prestataires informatiques sans vérification rigoureuse s’exposent à des risques juridiques considérables », explique un responsable de l’ANSSI cité dans le rapport.

Des cibles humaines, pas des entreprises

La particularité de Contagious Interview réside dans le choix des victimes : ce sont des individus, des développeurs, des webdesigners, des spécialistes blockchain et des professionnels de l’intelligence artificielle. Les opérateurs de WaterPlum se font passer pour des recruteurs d’entreprises fictives ou de start-up crédibles dans les secteurs porteurs (IA, cryptomonnaies, NFT). Ils contactent leurs cibles via les réseaux sociaux professionnels (LinkedIn, Slack), les plateformes de freelancing (Malt, Upwork) ou les forums techniques.

La phase cruciale est l’entretien technique. Le candidat reçoit un test de codage ou une demande de dépannage d’un problème de visioconférence. En réalité, l’exécution de ce test livre un maliciel directement sur la machine de la victime.

Les cinq familles de maliciels déployées par WaterPlum

Les agences ont identifié cinq souches de maliciels distinctes, toutes conçues pour s’emparer à distance des données sensibles. Le tableau ci-dessous les résume.

Ces maliciels sont souvent livrés via des packages npm malveillants hébergés sur GitHub ou Bitbucket. L’utilisateur est invité à exécuter une commande telle que npm install ou à lancer un script contenant des instructions obscures.

Mode opératoire : du test technique à la compromission totale

1. Le recruteur (pirate) envoie un lien vers un dépôt contenant un test de codage ou un correctif pour un problème de visioconférence.
2. La victime télécharge le projet et exécute le code (souvent en local, sans isolation).
3. Le package npm malveillant installe BeaverTail ou InvisibleFerret.
4. Le maliciel dérobe les identifiants, le presse-papier (contenant parfois des clés privées de wallets), les frappes clavier, les copies d’écran, les phrases de récupération de portefeuilles, les documents d’identité et le code source.
5. Les données exfiltrées sont envoyées aux serveurs de commande et de contrôle (C2) de WaterPlum.

La police japonaise a recensé environ 7 000 cas de portefeuilles de cryptomonnaies compromis entre décembre 2025 et juillet 2026, période d’activité la plus intense de la campagne.

À retenir : Selon le rapport conjoint, le total des préjudices avoisine 1,7 milliard de yens (environ 10,7 millions de dollars). Une estimation probablement sous-évaluée, car de nombreuses victimes n’ont pas encore déclaré l’incident.

Le lien organique avec le système de travailleurs IT nord-coréens

L’avis conjoint établit un parallèle direct entre Contagious Interview et le programme nord-coréen de travailleurs informatiques délocalisés. Ces opérateurs utilisent des identités volées et des serveurs privés virtuels (VPN) pour dissimuler leur localisation réelle (Corée du Nord, Chine, Russie, Afrique, Asie du Sud-Est). Des « fermes d’ordinateurs portables » (laptop farms) installées chez des complices fournissent des adresses IP plausibles dans les pays où ils postulent.

Lorsque les relations contractuelles tournent mal, ces travailleurs n’hésitent pas à pratiquer l’extorsion, la défiguration de sites web ou la publication de code source volé. Les enquêteurs japonais ont démantelé une ferme d’ordinateurs portables sur leur territoire et ont retracé plusieurs centaines de millions de yens vers l’étranger.

Implications pour les entreprises françaises

La France, comme d’autres pays membres de l’Union européenne, est concernée par ce schéma. Les entreprises qui recrutent des développeurs en remote, notamment dans les secteurs de la blockchain et de l’IA, doivent redoubler de vigilance. Le non-respect des obligations de vérification d’identité peut entraîner des sanctions pour contournement des régimes de sanctions internationales (notamment les résolutions du Conseil de sécurité de l’ONU contre la Corée du Nord).

• Avant toute embauche : exiger une pièce d’identité officielle, vérifier l’adresse IP lors des entretiens vidéo, utiliser des outils de vérification d’identité biométrique.
• Pendant le contrat : surveiller les signes d’alerte comme le refus de se montrer en visioconférence, les micro coupsures fréquentes, l’utilisation de logiciels de maquillage facial.
• Après une suspicion : suspendre immédiatement l’accès, isoler les postes, et contacter les autorités compétentes (ANSSI, police judiciaire).

Conseils pratiques pour les développeurs et les entreprises

Les agences de cybersécurité des quatre pays ont diffusé des recommandations précises, que nous reprenons ici en les adaptant au contexte français.

Pour les développeurs

• N’exécutez jamais de code non fiable sur votre machine de production. Utilisez toujours une machine virtuelle isolée ou un environnement conteneurisé (Docker) pour tester des projets inconnus.
• Méfiez-vous des commandes suspectes : curl, base64, -enc, mshta, Invoke-WebRequest sont autant d’indices de malveillance.
• Ouvrez les projets dans Visual Studio Code en mode restreint (Restricted Mode). Inspectez systématiquement le fichier .vscode/tasks.json avant toute exécution.
• En cas d’infection avérée, considérez tous vos identifiants comme compromis. Effectuez une rotation des mots de passe et des clés de portefeuille depuis un appareil sain, puis réinstallez complètement le système d’exploitation.

Pour les recruteurs et RSSI

• Vérifiez l’adresse IP du candidat : elle doit correspondre au pays déclaré. Utilisez des services de géolocalisation et d’historique IP.
• Exigez des entretiens en visioconférence avec caméra allumée. Soyez attentif aux incohérences : refus récurrent, utilisation de filtres ou de fonds d’écran trop parfaits, décalage labial.
• Mettez en place des clauses contractuelles interdisant le recours à des sous-traitants non vérifiés et imposant des audits de sécurité.
• Appliquez le principe du moindre privilège : les développeurs externes ne doivent avoir accès qu’aux ressources strictement nécessaires à leur mission.

Exemple concret : un développeur français piégé

Imaginons un développeur web freelance parisien, spécialisé en React. Il reçoit une offre alléchante sur une plateforme de freelancing pour un projet de création d’une plateforme NFT. Le « recruteur » lui envoie un dépôt GitHub avec un squelette d’application et lui demande de le cloner et de lancer la commande npm install && npm start. Le package ethers-helper (un hommage à la bibliothèque Ethers.js) contient en réalité BeaverTail. Dès l’exécution, les identifiants du développeur sont aspirés, ainsi que les clés de son wallet MetaMask. En quelques minutes, son portefeuille Ethereum est vidé de ses 3 ETH. Ce sinistre réel, rapporté par la communauté, illustre la sophistication de l’attaque.

« Nous avons observé que les pirates ciblent désormais les développeurs avec une précision chirurgicale. Ils connaissent les outils, les bibliothèques et les habitudes de travail », témoigne un expert de l’incident response chez une société de cybersécurité française.

La réponse des autorités et les perspectives

L’attribution conjointe ouvre la voie à des actions diplomatiques et juridiques. Le ministère japonais des Affaires étrangères a annoncé vouloir « renforcer ses efforts avec ses alliés et les pays partageant les mêmes idées, ainsi qu’avec le secteur privé ». Les États-Unis ont déjà émis une alerte du département d’État en juillet 2026, et le ministère de la Justice a engagé des poursuites contre des facilitateurs de fermes d’ordinateurs portables.

• Quel impact pour les plateformes de code ? npm et GitHub devraient renforcer la modération des packages suspects. Les autorités pourraient exiger une vérification renforcée des dépôts.
• Quelles suites judiciaires en Europe ? Le Parquet national financier français et l’Office anti-cybercriminalité pourraient être saisis si des victimes françaises se manifestent.
• Vers des sanctions ? Il est probable que des désignations individuelles de membres de WaterPlum interviennent dans les semaines à venir, élargissant le régime de sanctions.

Conclusion : une menace structurelle qui exige une vigilance collective

La campagne Contagious Interview orchestrée par le groupe WaterPlum n’est pas une simple escroquerie en ligne. C’est une opération de renseignement et de financement d’un État, qui exploite la confiance et la soif d’opportunités des professionnels du numérique. Le fait que quatre grandes nations aient uni leurs voix pour l’attribuer officiellement témoigne de sa gravité.

En France, où le télétravail et l’économie des plateformes sont en plein essor, chaque développeur, chaque recruteur, chaque RSSI doit intégrer cette menace dans sa pratique quotidienne. Ne jamais exécuter de code non vérifié, toujours isoler les tests, vérifier l’identité des interlocuteurs : ces gestes simples peuvent vous épargner des pertes financières et des fuites de données catastrophiques.

Les autorités françaises, via l’ANSSI et la direction générale de la sécurité intérieure, suivent de près l’évolution de WaterPlum. Des guides spécifiques pour les entreprises du numérique seront probablement publiés. En attendant, restez sceptique face aux offres trop alléchantes, et n’oubliez pas que derrière un recrutement peut parfois se cacher un adversaire d’État.