WaterPlum et les faux travailleurs IT nord-coréens : deux menaces liées par la même structure

WaterPlum, également connu sous le nom de Contagious Interview, et les opérations de faux travailleurs IT à distance nord-coréens ne se résument pas à une même mise en scène autour de l’emploi. Selon l’évaluation de la police japonaise et du FBI, les acteurs de WaterPlum comme certains travailleurs IT nord-coréens opèrent sous le Bureau général 313, rattaché au département de l’industrie des munitions, lui-même subordonné au Comité central du Parti des travailleurs de Corée.5

Les méthodes sont différentes, mais elles se complètent. WaterPlum se fait passer pour un recruteur afin de compromettre des personnes en recherche d’emploi, de dérober des informations sensibles et des cryptomonnaies. Le dispositif des faux travailleurs, lui, s’appuie sur de fausses identités et la dissimulation de la localisation pour décrocher de véritables missions à distance, générer des revenus et, potentiellement, obtenir un accès interne à l’entreprise qui les embauche.517

Une alerte conjointe de sept agences

L’avis conjoint de cybersécurité publié le 18 septembre a été signé par sept organismes du Japon, des États-Unis, d’Australie et d’Allemagne :1

1. l’Agence nationale de police du Japon (NPA) ;
2. le Bureau national de cybersécurité du Japon (NCO) ;
3. le Federal Bureau of Investigation américain (FBI) ;
4. le Cyber Crime Center du département américain de la Défense (DC3) ;
5. l’Australian Cyber Security Centre, rattaché à l’Australian Signals Directorate (ASD’s ACSC) ;
6. le Service fédéral de renseignement allemand (BND) ;
7. l’Office fédéral allemand de protection de la Constitution (BfV).

L’avis identifie le groupe WaterPlum et son lien avec la campagne généralement appelée Contagious Interview.1

Le faux entretien comme porte d’entrée

WaterPlum ciblait des professionnels de l’informatique, notamment des concepteurs web, ingénieurs et spécialistes des cryptomonnaies, de la blockchain et du Web3, en usurpant l’identité de recruteurs ou d’employeurs potentiels.14

Le piège reprenait les codes ordinaires d’un processus de recrutement technique : exercice de programmation à réaliser ou correctif supposé pour un logiciel de visioconférence pendant un entretien. En réalité, le fichier ou les instructions servaient à installer un logiciel malveillant sur l’appareil du candidat.15

Autrement dit, l’attaque ne vise pas d’abord le système d’une entreprise : elle exploite la confiance, l’urgence et l’espoir suscités par une offre d’emploi crédible.

Au moins 30 000 appareils infectés

Entre décembre 2025 et juillet 2026, WaterPlum a infecté au moins 30 000 appareils dans plus de 100 pays, d’après l’avis. Des fonds ou identifiants associés à plus de 7 000 portefeuilles de cryptomonnaies ont été compromis, et l’opération a reçu environ 10,71 millions de dollars en cryptomonnaies.14

Le vol d’identifiants ne se limite pas à une perte immédiate : des comptes compromis peuvent ensuite être utilisés dans d’autres fraudes, même lorsqu’un transfert de fonds ne peut pas être réalisé sur-le-champ.

Faux travailleurs IT : un risque distinct, mais lié

Le second dispositif consiste à faire embaucher des opérateurs sous une identité et une localisation dissimulées pour des contrats à distance. Les autorités américaines indiquent que des travailleurs IT nord-coréens ont recours à des intermédiaires ou facilitateurs tiers. Elles recommandent aux entreprises de renforcer la vérification d’identité et de repérer les activités suspectes sur les comptes.17

Le lien avec WaterPlum est donc organisationnel et stratégique : il ne signifie pas que chaque victime du logiciel malveillant devient un faux travailleur, ni que chaque faux salarié prend part aux opérations de WaterPlum.5

Dans la pratique, les deux schémas détournent l’écosystème du travail à distance de deux manières :

• WaterPlum attaque les candidats depuis l’extérieur de l’organisation, à l’aide de faux recruteurs et de documents d’entretien malveillants ;
• les faux travailleurs IT cherchent à entrer dans l’organisation comme prestataires ou salariés apparemment légitimes, grâce à des informations d’identité et de localisation trompeuses.

Le premier modèle permet une compromission directe et le vol de cryptomonnaies ; le second peut fournir un revenu durable et créer un risque d’accès interne.

Ce que révèle le cas néo-zélandais

Le National Cyber Security Centre (NCSC) de Nouvelle-Zélande a signalé qu’une grande entreprise du pays avait engagé à distance un prestataire IT utilisant une fausse identité. Lorsque l’entreprise a commencé à douter, le prestataire a menacé de divulguer des informations sensibles.18

Cette affaire illustre un point essentiel : la fraude à l’identité ne relève pas seulement de la paie ou de la conformité. Une personne recrutée frauduleusement peut obtenir l’accès à des systèmes, données, identifiants ou équipements fournis par l’entreprise avant que la tromperie ne soit détectée.

Les protections à mettre en place côté employeur

Les équipes RH, recrutement, informatique, sécurité et achats ont intérêt à traiter l’embauche à distance comme un processus de sécurité partagé. La recommandation américaine appelle notamment à un contrôle rigoureux des pièces d’identité, à des entretiens en personne lorsque cela est pertinent et à des mécanismes de détection des informations anormales dans les comptes.17

Mesures concrètes :

• Vérifier par des canaux indépendants. Contrôler identité, parcours, références, coordonnées de paiement et lieu de travail déclaré au moyen de sources qui ne proviennent pas uniquement du candidat.
• Donner une vraie portée à la vérification en direct. Mener des entretiens en direct et examiner les incohérences d’identité, de localisation ou de présence technique ; un simple appel vidéo ne suffit pas à lui seul.
• Maîtriser les équipements et les droits d’accès. Ne pas expédier de matériel professionnel avant validation de l’identité et des modalités de travail ; appliquer ensuite une gestion centralisée des appareils et le principe du moindre privilège.
• Surveiller les anomalies d’accès. Examiner l’usage inattendu de proxys, les connexions depuis des zones géographiques incohérentes, les comportements inhabituels de contrôle à distance et les transferts de données anormaux.
• Prévoir une procédure d’escalade. Définir à l’avance l’enquête de sécurité, la révocation des accès, l’examen juridique et la réponse à une tentative d’extorsion.

À retenir

WaterPlum montre qu’un entretien d’embauche peut devenir un vecteur d’installation de logiciels malveillants. La fraude aux faux travailleurs IT montre, elle, que l’embauche elle-même peut devenir une voie d’intrusion. Le rattachement commun au Bureau général 313 souligne l’enjeu : sécuriser les deux côtés du recrutement, en protégeant les candidats contre les faux recruteurs et les employeurs contre l’infiltration fondée sur de fausses identités.5