Un groupe de hackers soutenu par la Corée du Nord a infecté plus de 30 000 ordinateurs dans plus de 100 pays. Il a également dérobé les données de plus de 7 000 wallets crypto, ont annoncé vendredi l’Agence nationale de police japonaise et le FBI.
Les wallets contrôlés par le groupe ont reçu au moins 10,71 millions de dollars en actifs numériques entre décembre 2025 et juillet 2026. Les agences ont baptisé le groupe WaterPlum, également suivi sous le nom de Contagious Interview.
Comment de faux recruteurs ont ciblé 7 000 wallets crypto
WaterPlum se fait passer pour un chasseur de têtes opérant dans l’intelligence artificielle, la crypto et les entreprises dédiées aux jetons non fongibles. Le groupe approche les développeurs sur les réseaux sociaux, les sites d’emploi et les plateformes de freelance.
« Les membres de WaterPlum se font passer pour des employeurs potentiels afin de cibler des développeurs de logiciels et des professionnels de l’informatique à travers le monde sous prétexte d’opportunités de carrière attractives », peut-on lire dans le communiqué publié conjointement par l’Agence nationale de police japonaise et le FBI.
Les candidats sont ensuite invités à passer un entretien technique ou à réaliser un test de codage. Le groupe leur demande alors de télécharger des fichiers depuis des plateformes de partage de code. Le prétexte est soit un appel vidéo interrompu, soit la tâche en elle-même.
Ces fichiers contiennent des malwares. Les programmes recherchent les mots de passe du navigateur, prennent des captures d’écran et enregistrent les frappes clavier. Ils volent également les clés secrètes qui contrôlent un wallet crypto, le logiciel que les utilisateurs utilisent pour stocker leurs fonds numériques.
BeInCrypto rapportait en août le cas d’un chercheur qui avait passé 22 mois à l’intérieur des serveurs du groupe. Il a identifié 1 640 victimes dans 57 pays. Le chiffre officiel communiqué vendredi est donc environ 18 fois supérieur.
Le Japon démantèle sa première ferme de laptops
La police a également fermé la première ferme de laptops connue du pays. Des complices locaux hébergeaient les ordinateurs chez eux. Des travailleurs nord-coréens basés à l’étranger les contrôlaient à distance et se faisaient passer pour des résidents japonais afin d’obtenir des contrats en freelance.
Selon les enquêteurs, ces travailleurs ont envoyé plusieurs centaines de millions de yens en crypto à l’étranger. Les mêmes adresses internet reliaient cette ferme aux hackers.
« La NPA et le FBI estiment que les cyberacteurs de WaterPlum ainsi que certains travailleurs IT nord-coréens opèrent sous la supervision du Bureau général 313 du Département de l’industrie des munitions, subordonné au Comité central du Parti des travailleurs de Corée. »
Un des suspects nord-coréens a postulé à un poste d’ingénieur chez l’exchange japonais bitFlyer en mai 2025 à l’aide d’un CV volé. Les recruteurs ont remarqué qu’il refusait de déménager et réclamait un paiement en crypto. Il semblait également lire ses réponses sur un second écran, si bien qu’il n’a pas été retenu.
Des campagnes précédentes utilisaient des appels vidéo de recrutement deepfake pour approcher des cadres. Aujourd’hui, les enquêteurs recommandent aux ingénieurs d’exécuter le code des recruteurs dans un environnement de type « sandbox », une zone de test isolée des fichiers réels.
