L'arnaque aux faux recruteurs WaterPlum a touché 30 000 appareils, alertent les alliés

Le 18 septembre 2026, des agences de cybersécurité et de maintien de l'ordre des États-Unis, du Japon, de l'Australie et de l'Allemagne ont publié un avis conjoint attribuant une vague d'attaques de faux recruteurs à WaterPlum, un groupe lié à la Corée du Nord plus connu dans le secteur de la sécurité sous le nom de « Contagious Interview ». L'avis indique que la campagne, menée approximativement de décembre 2025 à juillet 2026, a compromis environ 30 000 appareils dans plus de 100 pays.

Comment fonctionne la campagne

Les opérateurs de WaterPlum se font passer pour des recruteurs d'entreprises d'IA, de cryptomonnaies ou de NFT, en approchant des développeurs de logiciels et des professionnels de l'informatique via les réseaux sociaux, les sites d'offres d'emploi et les places de marché pour freelances. Après la mise en place d'un entretien technique ou d'un test de codage, les candidats sont invités à télécharger un projet ou un « correctif » pour un problème d'appel — des fichiers qui, une fois exécutés, diffusent en réalité un logiciel malveillant. L'avis relie le groupe à plus de 7 000 portefeuilles de cryptomonnaies compromis et à environ 10,7 millions de dollars transférés vers la Corée du Nord.

Pourquoi cela concerne le recrutement, pas seulement les équipes de sécurité

La campagne cible spécifiquement l'étape de l'entretien et de l'intégration, une partie du processus que la plupart des entreprises considèrent comme à faible risque. Les agences estiment que les opérateurs de WaterPlum et certains travailleurs informatiques nord-coréens qui cherchent séparément des contrats à distance opèrent sous la même organisation liée à l'armée, en se fondant en partie sur des infrastructures partagées.

Mesures pratiques pour les MSP et les équipes de recrutement

• N'exécutez jamais de code fourni par un recruteur sur des systèmes de production ou sur des machines contenant des portefeuilles de cryptomonnaies.
• Utilisez un bac à sable isolé et jetable pour tout test de codage à faire à la maison ou tout exercice d'entretien.
• Activez un mode d'exécution restreint dans l'éditeur pour tout espace de travail non fiable ouvert pendant un entretien.
• Appliquez la même diligence en matière d'identité et de paiement aux freelances contactés par démarchage à froid qu'aux nouveaux employés.

La valeur essentielle de l'avis pour les responsables du recrutement et les responsables techniques est simple : traitez l'étape de l'entretien elle-même comme faisant partie de la surface d'attaque, et non comme une formalité qui précède l'application des contrôles de sécurité.

Sources : ACSC — Avis WaterPlum / Contagious Interview, IC3/FBI — avis conjoint de cybersécurité (PDF).