Cybercriminalité Nord-Coréenne
Une équipe nord-coréenne se faisant passer pour des recruteurs afin de compromettre des développeurs a réussi à siphonner des fonds ou des identifiants de plus de 7 000 portefeuilles de cryptomonnaie, transférant environ 10,71 millions de dollars vers Pyongyang, selon un avis conjoint publié le 18 septembre par sept agences de quatre pays.
Identification du Groupe
Ce groupe, désigné par l’Agence nationale de la police du Japon sous le nom de WaterPlum et connu dans le secteur de la sécurité sous le nom de Contagious Interview, a infecté au moins 30 000 appareils dans plus de 100 pays entre décembre 2025 et juillet 2026. Les cibles étaient principalement des concepteurs web, des ingénieurs et des spécialistes travaillant dans les domaines de la cryptomonnaie, de la blockchain et du Web3.
« L’ANP et le FBI estiment que WaterPlum et certains travailleurs informatiques à distance de la Corée du Nord relèvent du Bureau général 313 du Département de l’industrie des munitions, qui dépend du comité central du Parti des travailleurs. »
Méthodes d’Opération
Les deux opérations ont également utilisé les mêmes adresses IP pour atteindre des fermes d’ordinateurs portables, utiliser des services de crowdsourcing et postuler à des emplois, ce qui est considéré par les agences comme une preuve que les deux constituent une seule et même opération. Les acteurs se présentent comme des entreprises d’IA, de cryptomonnaie ou de NFT, approchant les développeurs via les réseaux sociaux, les sites d’emploi et les plateformes de freelance, puis organisant des entretiens techniques ou des tâches de codage.
Les candidats sont invités à télécharger des fichiers depuis des plateformes de développeurs, soit pour terminer la mission, soit pour corriger un prétendu défaut dans l’appel vidéo. L’avis mentionne cinq familles de logiciels malveillants transportés dans ces paquets, parmi lesquels BeaverTail, InvisibleFerret et StoatWaffle, ce dernier se cachant dans des dépôts à thème blockchain.
Comportement des Opérateurs
L’avis consigne également les observations des enquêteurs concernant l’équipe elle-même. Les membres ont utilisé un logiciel de changement de visage par IA lors des entretiens avant de couper la vidéo et de demander au candidat de faire de même, blâmant la connexion. Ils ont pratiqué la prononciation japonaise à l’aide d’outils de synthèse vocale, ont travaillé de manière constante sur des niveaux de traduction automatique gratuits et d’IA, et pendant les vacances célébrées en Corée du Nord, ils ont joué à des jeux et regardé des vidéos de football au lieu de mener leurs opérations habituelles.
Démantèlement et Conséquences
Les autorités japonaises ont également identifié et démantelé une ferme d’ordinateurs portables gérée par un facilitateur national, marquant le premier cas de ce type dans le pays, et trouvant des preuves que plusieurs centaines de millions de yens en cryptomonnaie avaient été transférés à l’étranger. Une ferme d’ordinateurs portables est généralement la maison d’un facilitateur, où des ordinateurs de travail sont gérés à distance par des travailleurs informatiques en Corée du Nord, en Chine ou en Russie.
Un échange de cryptomonnaie japonais a refusé un candidat en mai 2025 dont le CV revendiquait des compétences incroyablement larges et dont l’anglais ne correspondait pas au dossier. D’autres signes incluent le refus de se rencontrer en personne, la demande d’être payé en cryptomonnaie, et le fait de jeter des coups d’œil répétés à un deuxième écran.
Impact Global
Ce vol s’inscrit dans une campagne beaucoup plus vaste. CertiK a attribué 60 % de toutes les pertes dues au vol de cryptomonnaie en 2025, soit environ 2,06 milliards de dollars, à des groupes liés à la Corée du Nord, et le piratage de 285 millions de dollars de Drift Protocol en avril a suivi six mois d’attaques menées par des individus se faisant passer pour une société de trading quantitatif.
