De faux entretiens d'embauche dans le secteur informatique aident la Corée du Nord à dérober des millions en cryptomonnaies

De faux entretiens d’embauche utilisés comme appât

Une campagne de cyberattaques nord-coréenne déguisée en recrutement légitime dans le secteur technologique a infecté plus de 30 000 ordinateurs dans au moins 100 pays, volant des milliers de portefeuilles de cryptomonnaies et des millions de dollars pour financer les programmes d'armement de Pyongyang, ont averti les forces de l'ordre de six pays.

Dans un avis de sécurité conjoint publié le 18 septembre, l’Agence nationale de police japonaise (NPA) et le (FBI), ainsi que des agences de cybersécurité et de renseignement d’Australie et d’Allemagne, ont détaillé les opérations mondiales d’un acteur malveillant connu sous le nom de « Waterplum », également suivi à l’échelle internationale sous le nom de « Contagious Interview ».

Les autorités estiment que Waterplum et les informaticiens nord-coréens qui lui sont associés opèrent sous la supervision directe du Bureau 313 du Département de l'industrie des munitions du Parti des travailleurs de Corée, qui gère la recherche militaire et la production d'armes de la Corée du Nord.

Selon les enquêteurs japonais, Waterplum ciblait des développeurs de logiciels, des concepteurs de sites web et des spécialistes des cryptomonnaies sur des plateformes d’emploi et les réseaux sociaux en se faisant passer pour des recruteurs issus d’entreprises légitimes spécialisées dans l’intelligence artificielle, la blockchain et le recrutement dans le secteur technologique.

Au cours de faux entretiens techniques ou de tests de programmation, les candidats ciblés recevaient pour instruction de télécharger un logiciel malveillant déguisé en test de programmation ou en outil de dépannage pour les visioconférences. Une fois exécuté, le code déployait des chevaux de Troie de type « porte dérobée » et des logiciels malveillants destinés à voler des informations, permettant ainsi aux pirates de récupérer des documents d’identité et des clés privées de cryptomonnaies.

Entre fin 2025 et juillet 2026, cette campagne a compromis au moins 30 000 appareils à travers le monde, compromettant plus de 7 000 portefeuilles de cryptomonnaies et acheminant au moins 1,7 milliard de yens (10,71 millions de dollars) d’actifs numériques vers des portefeuilles contrôlés par la Corée du Nord, ont déclaré les autorités.

Des « fermes d’ordinateurs portables » découvertes au Japon

L’enquête a également mis en lumière le rôle de « facilitateurs nationaux » qui ont aidé des agents nord-coréens à contourner la vérification de localisation et à décrocher des emplois informatiques externalisés au sein d’entreprises japonaises et américaines.

Pour la première fois dans l’histoire des forces de l’ordre japonaises, la police a saisi et démantelé une « ferme d’ordinateurs portables » locale qui permettait à des informaticiens nord-coréens travaillant à distance d’opérer sous des adresses IP locales. Les autorités ont noté que les informaticiens illégaux opérant via ces stratagèmes avaient transféré à l’étranger des actifs cryptographiques d’une valeur de plusieurs centaines de millions de yens.

Les agences de sécurité internationales ont exhorté les entreprises technologiques et les travailleurs indépendants à faire preuve de prudence lors des entretiens en ligne, à éviter d’exécuter du code non vérifié en dehors d’environnements sandbox isolés, et à utiliser des contrôles de restriction de l’espace de travail lors de l’ouverture de dépôts de code non fiables.