Un groupe de piratage soutenu par la Corée du Nord a infecté plus de 30 000 ordinateurs dans plus de 100 pays. Il a aussi dérobé des données provenant de plus de 7 000 portefeuilles de cryptomonnaies, de la police nationale du Japon et du FBI, a indiqué vendredi l’agence de police nationale japonaise.
Les portefeuilles contrôlés par le groupe ont reçu au moins 10,71 millions de dollars d’actifs numériques entre décembre 2025 et juillet 2026. Les agences appellent le groupe WaterPlum, également suivi sous le nom de Contagious Interview.
Comment de faux recruteurs ont atteint 7 000 portefeuilles crypto
WaterPlum se fait passer pour un recruteur dans le domaine de l’intelligence artificielle, des sociétés de cryptomonnaies et des jetons non fongibles. Elle contacte des développeurs sur les réseaux sociaux, les sites d’offres d’emploi et les places de marché de freelances.
« Les acteurs de WaterPlum se font passer pour de futurs employeurs afin de cibler des développeurs de logiciels et des professionnels de l’informatique dans le monde entier, sous prétexte d’offres d’emploi attrayantes », ont déclaré la National Police Agency du Japon et le FBI dans un avis conjoint.
Les candidats sont ensuite invités à passer un entretien technique ou à terminer un test de codage. Le groupe leur demande de télécharger des fichiers depuis des sites de partage de code. Le prétexte est un appel vidéo cassé, ou bien la mission elle-même.
Ces fichiers contiennent des logiciels malveillants. Les programmes recherchent des mots de passe de navigateur, des captures d’écran et des frappes au clavier. Ils récupèrent aussi les clés secrètes qui contrôlent un portefeuille crypto, le logiciel que les personnes utilisent pour conserver de l’argent numérique.
INFO : Des pirates liés à la Corée du Nord ont infecté 30 000+ appareils dans 100+ pays, compromis des données issues de 7 000+ portefeuilles crypto et reçu au moins 10,7 millions de dollars versés sur des portefeuilles qu’ils contrôlaient, selon les autorités japonaises et américaines pic.twitter.com/cnfsYvwBgp
— Solid Intel 📡 (@solidintel_x) 18 septembre 2026
BeInCrypto a rapporté en août l’histoire d’un chercheur qui a passé 22 mois à l’intérieur des serveurs du groupe. Il a cartographié 1 640 victimes dans 57 pays. Le bilan officiel de vendredi est environ 18 fois plus élevé.
Le Japon démantèle sa première ferme de PC portables
La police a également démantelé le premier « laptop farm » (ferme de PC portables) connu du pays. Des aides locales gardaient les ordinateurs chez eux. Des travailleurs nord-coréens à l’étranger les contrôlaient à distance et se faisaient passer pour des résidents japonais afin de décrocher des contrats de freelance.
Ces travailleurs ont envoyé pour plusieurs centaines de millions de yens de crypto à l’étranger, selon les enquêteurs. Les mêmes adresses internet ont relié cette « ferme » aux pirates.
« L’Agence nationale de police (NPA) et le FBI estiment que les acteurs cyber de WaterPlum, ainsi que certains travailleurs informatiques nord-coréens, opèrent sous l’égide de la 313e unité du Bureau général de l’industrie des munitions, rattachée au Comité central du Parti des travailleurs de Corée. »
Un Nord-Coréen présumé a postulé en mai 2025 à un poste d’ingénieur auprès de l’opérateur japonais d’échange bitFlyer, en utilisant un CV volé. Les intervieweurs ont remarqué qu’il refusait de se relocaliser et qu’il exigeait un paiement en crypto. Il semblait lire les réponses sur un second écran, et il n’a pas été embauché.
Les campagnes précédentes s’appuyaient sur des appels vidéo de recrutement en deepfake pour joindre les cadres. Désormais, les enquêteurs indiquent aux ingénieurs d’exécuter le code du recruteur dans un bac à sable, une zone de test hermétique, isolée de fichiers réels.