Voir la table des matières Ne plus voir la table des matières
Un CV impeccable, une dizaine de langages maîtrisés, un profil parfait pour le poste. Puis la caméra qui reste éteinte pendant l’entretien, et une connexion soudain capricieuse. Le 18 septembre 2026, sept organismes de police, de cybersécurité et de renseignement du Japon, des États-Unis, d’Australie et d’Allemagne ont publié une alerte conjointe qui met un nom sur cette mise en scène : WaterPlum, alias Contagious Interview.
Le groupe n’attaque ni une blockchain ni un protocole. Il attaque des développeurs, un par un, en se faisant passer pour un recruteur d’entreprise d’intelligence artificielle, de crypto ou de NFT. Le butin de la campagne documentée par les quatre pays tient en trois chiffres : 30 000 appareils infectés dans plus de 100 pays, plus de 7 000 portefeuilles vidés, et 1,7 milliard de yens, soit 10,71 millions de dollars, transférés vers la Corée du Nord entre décembre 2025 et juillet 2026.
La sécurité d’un actif numérique se joue rarement là où on l’attend. Un protocole peut être audité ligne à ligne, une clé privée reste dans un fichier sur la machine de quelqu’un, et cette machine appartient souvent à un indépendant qui cherche du travail. Comment un entretien d’embauche est-il devenu le vecteur de vol le plus rentable du secteur ?
Le script en trois actes du faux recruteur
La mécanique est décrite en détail dans le document publié par la police japonaise, le FBI et leurs homologues australiens et allemands. Un recruteur approche un développeur indépendant sur une plateforme de freelance ou un réseau professionnel, propose un poste crédible, puis un entretien technique. L’étape suivante paraît anodine : télécharger un projet et le faire tourner en local pour résoudre un prétendu bug.
Le paquet contient un logiciel malveillant. Une fois exécuté, il ouvre une porte dérobée et part chercher les identifiants de navigateur, le contenu du presse-papiers, les frappes clavier, les clés privées, les phrases de récupération et les documents, en prenant au passage des captures d’écran. Rien de tout cela n’exige une prouesse technique : c’est la victime elle-même qui lance le programme.
Les acteurs de WaterPlum ont infecté au moins 30 000 appareils dans plus de 100 pays et exfiltré des fonds ou des identifiants depuis plus de 7 000 portefeuilles de cryptomonnaies.
Alerte conjointe des autorités japonaises, américaines, australiennes et allemandes, publiée le 18 septembre 2026
Les enquêteurs décrivent aussi un raffinement récent. Les opérateurs utilisent des logiciels d’échange de visage par intelligence artificielle pendant les entretiens vidéo, puis coupent la caméra en invoquant un problème réseau dès que le rendu devient instable. Le faux visage tient quelques minutes, pas une heure, et c’est précisément là que les recruteurs attentifs repèrent quelque chose.
Cinq familles de logiciels malveillants, un même objectif
L’alerte rattache cinq familles de malwares aux opérations du groupe. Leur point commun tient au mode de livraison : un paquet que le développeur installe de sa propre main, jamais une intrusion forcée.
- BeaverTail, un code JavaScript dissimulé dans des paquets npm ;
- InvisibleFerret, une porte dérobée écrite en Python ;
- OtterCookie, un cheval de Troie d’accès à distance doublé d’un voleur d’informations ;
- OtterCandy, qui combine les capacités des deux précédents ;
- StoatWaffle, un malware modulaire en Node.js livré par des projets Visual Studio Code piégés, dont les fichiers de configuration s’exécutent dès que le dossier est ouvert et approuvé.
Le dernier mérite une attention particulière. Ouvrir un dossier dans un éditeur de code passe pour un geste neutre, et l’approbation d’un espace de travail suffit à déclencher l’exécution. Le secteur a déjà connu ce type de vecteur avec une compromission de l’écosystème npm l’an dernier.
Le vol ne s’arrête pas aux portefeuilles. Les attaquants se servent des machines infectées pour rebondir vers les réseaux des employeurs et des clients, ce qui transforme un vol de cryptomonnaies en opération d’espionnage et de captation de propriété intellectuelle.
La ferme d’ordinateurs portables démantelée au Japon
La police nationale japonaise annonce avoir identifié et démantelé sur son territoire, pour la première fois, une laptop farm. Un intermédiaire local y héberge des ordinateurs loués à des travailleurs informatiques nord-coréens, qui les pilotent à distance pour se faire passer pour des employés basés au Japon. Plusieurs centaines de millions de yens ont transité par ce canal vers l’étranger.
La plateforme japonaise bitFlyer a échappé de peu au même piège. En mai 2025, un candidat à un poste d’ingénieur se disait né en Malaisie et installé en Finlande, avec une dizaine de langages et de technologies blockchain à son actif. Son anglais ne collait pas avec le parcours annoncé, la candidature a été écartée, et aucun dommage n’a été constaté. Un entretien vidéo a suffi là où aucun antivirus n’aurait servi.
Ce que les agences appellent l’attribution publique
Le document relève d’une doctrine précise, l’attribution publique, qui consiste à nommer publiquement les groupes et les services responsables d’une cyberattaque dans l’espoir d’en décourager de nouvelles. Nommer WaterPlum n’immobilise aucun serveur, ne gèle aucun fonds, et ne récupère pas un centime des 10,71 millions de dollars partis vers Pyongyang.
Ce que l’attribution change, c’est le coût de l’infiltration. Le FBI et la police japonaise estiment que les opérateurs de WaterPlum et une partie des travailleurs informatiques nord-coréens dépendent du 313e Bureau général, rattaché au département de l’industrie des munitions, celui qui pilote la recherche et la production d’armement du régime. Les deux activités partagent des adresses IP, et les papiers d’identité volés lors des attaques servent ensuite à décrocher des emplois.
Ce mécanisme circulaire explique la constance de la campagne. Voler des cryptomonnaies finance le régime, infiltrer les entreprises occidentales fournit les identités qui permettront le prochain vol, et les deux branches remontent à la même filière. Le secteur avait déjà mesuré cette endurance avec le vol de 1,5 milliard chez Bybit en février 2025.
Les signaux qui ont sauvé bitFlyer
Les agences concluent leur alerte par une série de signaux d’alerte destinés aux recruteurs et aux développeurs indépendants. Le tableau ci-dessous reprend les quatre plus discriminants et ce que chacun permet de vérifier concrètement.
| Signal observé | Ce qu’il peut révéler | Vérification possible |
|---|---|---|
| Caméra coupée après quelques minutes | Échange de visage par intelligence artificielle | Reprendre l’entretien à une autre date et à une autre heure |
| Regard constamment dirigé vers un second écran | Réponses lues en direct par un tiers | Poser une question hors script sur un projet cité |
| Paiement réclamé en cryptomonnaies sur un compte tiers | Identité empruntée à une victime précédente | Exiger un compte au nom du candidat |
| Numéro de téléphone jamais décroché | Coordonnées fabriquées pour la candidature | Appeler le numéro pendant l’entretien |
Une recommandation vise directement les développeurs : ne jamais exécuter un code inconnu hors d’un environnement isolé, et inspecter les fichiers reçus à la recherche de commandes qui iraient télécharger une charge supplémentaire. La règle est connue, elle cède devant une offre d’emploi crédible.
Le maillon faible n’est plus la blockchain
Les 10,71 millions de dollars de WaterPlum pèsent peu face aux montants des grands piratages de plateformes. Leur mode d’acquisition, lui, dit quelque chose de plus dérangeant : aucune faille de protocole n’a été exploitée, aucun pont inter-chaînes n’a cédé, aucun contrat intelligent n’était en cause. Sept mille personnes ont ouvert la porte elles-mêmes.
La leçon dépasse largement la crypto, et rejoint les ressorts de l’ingénierie sociale que le secteur documente depuis des années. Un patrimoine numérique se protège par des habitudes plus que par des outils, et la manière de conserver ses clés compte autant que le choix des actifs détenus. Une clé privée stockée sur la machine de travail est exposée à tout ce qui s’exécute sur cette machine.
Sept organismes de quatre pays ont mis huit mois à reconstituer le parcours de cet argent, et ils y sont parvenus. Pyongyang, de son côté, changera l’emballage avant la fin de l’année : nouveaux noms de malwares, nouvelles entreprises usurpées, même scénario en trois actes. La question qui reste ouverte est de savoir combien de temps les recruteurs et les développeurs garderont en mémoire le détail qui a sauvé bitFlyer, un accent qui ne collait pas au CV.
