Le groupe nord-coréen WaterPlum a infecté plus de 30 000 appareils via de faux entretiens d'embauche

Une alerte conjointe publiée le 19 septembre 2026 par les autorités du Japon, des États-Unis, de l'Australie et de l'Allemagne détaille les activités du groupe nord-coréen WaterPlum, qui aurait infecté plus de 30 000 appareils dans plus de 100 pays entre décembre 2025 et juillet 2026 en piégeant des candidats à l'embauche dans les secteurs de l'intelligence artificielle, des cryptomonnaies et des NFT, selon BleepingComputer.

Comment WaterPlum piège ses victimes

Le mode opératoire, connu sous le nom de campagne « Contagious Interview », consiste à faire poser sa candidature à la victime pour un poste fictif, puis à lui faire réaliser un entretien technique impliquant l'installation d'un paquet npm ou d'un projet Visual Studio Code piégé. Selon l'alerte, les attaquants utilisaient aussi un logiciel de trucage facial par IA pendant les entretiens vidéo, avant de couper leur caméra sous divers prétextes. Une fois exécuté, le code installe une chaîne de logiciels malveillants baptisés BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle, conçus pour voler identifiants et cryptomonnaies.

Quel bilan chiffré ?

Selon les autorités, WaterPlum a infecté plus de 30 000 appareils dans plus de 100 pays et vidé plus de 7 000 portefeuilles de cryptomonnaies, pour un montant total d'environ 10,71 millions de dollars, soit 1,7 milliard de yens, transféré vers la Corée du Nord. Ces chiffres proviennent de l'avis conjoint des autorités et n'ont pas été vérifiés de manière indépendante par KLYNLABS.

Une traque qui s'organise à l'échelle internationale

L'agence nationale de police du Japon annonce avoir démantelé, pour la première fois selon l'avis, une « ferme d'ordinateurs portables » nord-coréenne sur son territoire — une pratique consistant à héberger localement du matériel utilisé à distance par des opérateurs nord-coréens pour brouiller l'origine des attaques. WaterPlum serait rattaché au 313e Bureau général, une entité liée au département de l'Industrie des munitions de Pyongyang, selon les autorités citées par BleepingComputer.

Source

D'après BleepingComputer, 19 septembre 2026.