Vos développeurs reçoivent des offres d'emploi de recruteurs inconnus sur LinkedIn. Ils passent un entretien, exécutent un test technique — et la machine de l'entreprise est compromise. Ce vecteur d'attaque, utilisé massivement par les groupes APT nord-coréens depuis 2023, atteint en 2026 une échelle industrielle que la plupart des équipes sécurité n'ont pas encore intégrée dans leur modèle de menace.

Le recrutement comme surface d'attaque : un angle mort collectif

Depuis des années, la sécurité offensive s'est concentrée sur les vecteurs techniques : vulnérabilités logicielles, phishing de masse, compromission de la chaîne d'approvisionnement via des dépendances logicielles. Les équipes de sécurité défensives ont suivi la même logique : EDR, SIEM, filtrage réseau, gestion des patches. Ce qu'on a largement sous-estimé, c'est la surface d'attaque que représente le processus de recrutement lui-même.

Le recrutement est, par nature, une interaction de confiance asymétrique. Un candidat à l'emploi fait confiance à un recruteur par défaut — c'est le biais fondamental que les APT ont appris à exploiter. La victime, pressée de décrocher un contrat bien rémunéré, baisse sa garde. Elle exécute du code sans le lire, installe des outils "de test" sans les vérifier, clone des dépôts GitHub sans analyser les dépendances. Et elle le fait souvent sur sa machine professionnelle, celle qui a accès au VPN, aux dépôts de code propriétaires, aux secrets de production.

Ce vecteur est d'autant plus efficace qu'il bypass la plupart des contrôles de sécurité existants. Il n'y a pas de pièce jointe malveillante filtrée par le gateway email. Pas de lien phishing détecté par le proxy web. Pas de CVE exploitée détectable par les signatures IDS. L'exécution du malware est volontaire — c'est la victime elle-même qui tape npm install ou python setup.py. Depuis le point de vue des outils de détection, c'est une action légitime d'un utilisateur légitime.

Les chiffres 2026 confirment l'ampleur du phénomène. WaterPlum seul a infecté 30 000 appareils dans 100 pays entre décembre 2025 et juillet 2026. D'autres groupes nord-coréens actifs sur des vecteurs similaires — Lazarus Group, Kimsuky, Sapphire Sleet — ont mené des campagnes parallèles ciblant des profils similaires. Le volume total de compromissions liées à ce type de vecteur sur la période 2024-2026 est probablement supérieur à 100 000 appareils à l'échelle mondiale.

Anatomie de la campagne "Contagious Interview" : comment ça fonctionne vraiment

La campagne "Contagious Interview", attribuée au groupe WaterPlum et documentée pour la première fois par des chercheurs de Group-IB et CrowdStrike en 2023, fonctionne selon une architecture opérationnelle qui s'est sophistiquée à chaque itération.

La phase de ciblage repose sur une veille active des profils publics. Les opérateurs nord-coréens surveillent GitHub (contributeurs actifs sur des projets crypto/DeFi, mainteneurs de bibliothèques npm populaires), LinkedIn (profils développeurs avec la mention "open to work" ou des publications sur la recherche d'emploi), et des communautés Discord spécialisées en développement blockchain, IA et sécurité. Le ciblage est précis : on ne cherche pas n'importe quel développeur, mais des profils ayant potentiellement accès à des actifs de valeur — wallets crypto, dépôts de code propriétaires, systèmes de production dans des fintechs ou exchanges.

La phase de contact utilise des profils soigneusement construits. Les opérateurs maintiennent des dizaines de fausses identités avec des historiques LinkedIn crédibles (parfois plusieurs années d'existence), des photos de profil générées par IA ou volées, et un réseau de connexions factices pour augmenter la crédibilité. Les sociétés présentées comme employeurs sont soit complètement fictives avec des sites web créés pour l'occasion, soit des clones convaincants de vraies entreprises dans le secteur crypto ou IA.

La phase d'infection exploite le contexte du processus d'embauche pour normaliser l'exécution de code. Les scénarios documentés sont variés et évoluent : test technique avec un projet à cloner et à faire tourner en local ; diagnostic d'un problème de vidéoconférence (la victime est invitée à télécharger un outil "propriétaire" pour résoudre un problème audio/vidéo) ; collaboration sur un projet Visual Studio Code partagé via un espace de travail distant ; installation d'une dépendance spécifique pour reproduire un bug à corriger dans le cadre du test. Dans chacun de ces scénarios, la charge malveillante est dissimulée dans du code qui ressemble à première vue à du code légitime.

La sophistication de la dissimulation a considérablement progressé en 2025-2026. BeaverTail — le malware JavaScript d'entrée de jeu de WaterPlum — est publié sur npm sous des noms de packages qui imitent des bibliothèques légitimes avec de légères variations (typosquatting) : là où un développeur dirait d'installer react-devtools, le faux recruteur suggère react-dev-tools ou react-devtools-extension. Les packages contiennent des centaines de lignes de code fonctionnel légitimes, avec quelques dizaines de lignes malveillantes dissimulées au milieu ou dans un fichier de configuration apparemment anodin.

Le profil des cibles prioritaires en 2026

La stratégie de ciblage WaterPlum, et plus largement des groupes nord-coréens en 2026, révèle une analyse fine de la valeur des différents profils de victimes dans l'économie numérique actuelle.

Les développeurs d'applications décentralisées (dApps) et les ingénieurs de protocoles DeFi sont les cibles les plus recherchées. Un développeur avec accès aux clés de déploiement d'un contrat intelligent (smart contract) sur Ethereum ou Solana représente un accès potentiel à des fonds verrouillés pouvant atteindre des dizaines ou des centaines de millions de dollars. Les compromissions de bridges et de protocoles DeFi via des clés privées volées à des développeurs — Ronin Network (620 M$ en 2022), Harmony Horizon Bridge (100 M$ en 2022), Bybit (1,5 milliard en 2025) — illustrent le ROI exceptionnel de ce type de ciblage.

Les ingénieurs en IA et en machine learning constituent la deuxième catégorie prioritaire. L'enjeu n'est pas uniquement financier : les modèles d'IA propriétaires, les jeux de données d'entraînement et les architectures de fine-tuning représentent des actifs intellectuels de valeur considérable, et leur vol permet à la RPDC de réduire son écart technologique dans ce domaine sans financer sa propre R&D. Un chercheur chez une startup d'IA avec accès au dépôt de code principal est une cible de choix.

Les employés de plateformes d'échange de cryptomonnaies (exchanges) représentent le troisième profil prioritaire, non pas pour leurs actifs personnels mais pour leur accès aux systèmes de production. Un développeur backend d'une exchange avec des droits de déploiement ou un accès aux clés de hot wallet représente un vecteur d'accès à des fonds institutionnels bien supérieurs aux portefeuilles personnels.

En 2026, les opérateurs de WaterPlum ont ajouté une nouvelle catégorie : les professionnels travaillant sur des projets liés à l'infrastructure critique et à la défense. Le FBI a documenté des tentatives de ciblage de sous-traitants de défense, d'ingénieurs travaillant sur des systèmes SCADA/OT, et de consultants en cybersécurité spécialisés en red team — cette dernière catégorie présentant l'intérêt supplémentaire de fournir potentiellement accès à l'outillage offensif utilisé par les consultants.

L'arsenal technique : cinq malwares pour un contrôle total

La chaîne d'infection WaterPlum documentée par le FBI et les chercheurs de CrowdStrike, SentinelOne et Group-IB en 2026 comprend cinq familles de malwares distincts, organisées en couches fonctionnelles complémentaires.

BeaverTail est le vecteur d'infection initial, écrit en JavaScript et distribué principalement via des packages npm malveillants. Il est multiplateforme par conception (fonctionne partout où Node.js est installé), ce qui explique son efficacité sur macOS et Linux, systèmes utilisés par la très grande majorité des développeurs ciblés. Sa fonction principale est de télécharger et d'exécuter les charges utiles de second niveau, et de procéder à une collecte initiale d'informations sur l'environnement (OS, variables d'environnement, liste des processus, présence d'un wallet crypto). Il est particulièrement difficile à détecter car son code de base est fonctionnel et certaines versions publiées sur npm ont accumulé plusieurs centaines de téléchargements légitimes avant d'être retirées.

InvisibleFerret est le backdoor de persistance, écrit en Python. Sa compilation avec PyInstaller en exécutable standalone lui permet de fonctionner sans interpréteur Python sur la machine cible. Il implémente un mécanisme de persistance adapté à chaque OS (LaunchAgent sur macOS, entrée Run dans la registre Windows, service systemd sur Linux), et communique avec son C2 via des canaux chiffrés. Il permet à l'attaquant un accès distant complet à la machine : shell distant, transfert de fichiers, capture d'écran, keylogging.

OtterCookie est le composant infostealer spécialisé en vol de cryptomonnaies. Il cible spécifiquement les fichiers de portefeuilles (fichiers .json de seed phrase, fichiers keystore Ethereum, fichiers wallet.dat Bitcoin), les extensions de navigateur de type crypto wallet (MetaMask, Coinbase Wallet, Phantom), et les variables d'environnement contenant des clés privées — une pratique courante et dangereuse chez les développeurs qui utilisent leurs propres wallets dans les environnements de test. OtterCookie est également capable de voler les cookies de session des navigateurs, permettant la prise de contrôle de comptes sans connaître le mot de passe.

OtterCandy étend les capacités d'OtterCookie avec des fonctionnalités RAT additionnelles : surveillance des presse-papiers (clipboard hijacking pour substituer des adresses crypto lors des copier-coller), interception de credentials de navigateur, et capacités d'exfiltration de fichiers avec filtrage par extension (recherche prioritaire de .pem, .key, .p12, .env, .json contenant des secrets).

StoatWaffle est le composant le plus récent de l'arsenal, documenté pour la première fois en 2025. Il est livré via des projets Visual Studio Code malveillants partagés dans des espaces de travail distants. Son architecture modulaire Node.js lui permet de télécharger et d'exécuter des modules additionnels selon le profil de la victime et les instructions de l'opérateur, transformant chaque infection en une plateforme d'attaque personnalisable.

Les limites des défenses traditionnelles face à ce vecteur

Ce vecteur d'attaque est particulièrement difficile à contrer avec les approches de sécurité traditionnelles, et il est utile d'être honnête sur pourquoi.

Les solutions de filtrage email sont inefficaces : le contact initial se fait sur LinkedIn, Discord ou des plateformes de freelancing tierces. Il n'y a pas de pièce jointe malveillante, pas de lien phishing à filtrer. L'attaquant communique via des canaux jugés légitimes par les équipes de sécurité.

Les solutions EDR ont des capacités de détection variables sur ce vecteur. L'exécution de npm install ou python setup.py est une action tout à fait légitime sur un poste de développeur — les EDR ne peuvent pas bloquer ces commandes sans perturber massivement la productivité des équipes. La détection repose sur des règles comportementales (npm qui lance des connexions réseau inhabituelles, processus Python qui accède aux fichiers de configuration de wallets) qui peuvent avoir un taux de faux positifs élevé dans des environnements de développement actifs.

La détection réseau est également complexifiée par les techniques LOTS (Living Off Trusted Sites) utilisées par WaterPlum : les communications C2 transitent via des services cloud légitimes (GitHub Gists, Notion, Slack webhooks) dont le trafic est généralement autorisé et non inspecté. Un analyste SOC voyant une connexion vers api.github.com depuis un poste de développeur n'a aucune raison de la considérer comme suspecte sans contexte additionnel.

La sensibilisation traditionnelle aux phishing n'adresse pas ce vecteur. Les formations classiques apprennent aux utilisateurs à identifier des emails suspects, des URL douteuses, des pièces jointes inattendues. Elles ne couvrent pas le scénario "entretien d'embauche avec un recruteur LinkedIn qui vous demande de cloner un dépôt GitHub pour un test technique".

Ce que vous pouvez faire concrètement

Malgré les limites des défenses automatisées, plusieurs mesures organisationnelles et techniques peuvent réduire significativement le risque.

La première mesure, et la plus efficace, est la création d'une procédure claire pour les tests techniques lors de recrutements et missions freelance. La règle doit être simple et absolue : tout code fourni dans le cadre d'un entretien ou d'un test de recrutement doit être exécuté dans un environnement isolé — machine virtuelle dédiée, sandbox cloud, conteneur Docker jetable — jamais sur une machine ayant accès au réseau d'entreprise, aux dépôts propriétaires, ou aux credentials de production. Cette procédure doit être écrite, communiquée à tous les développeurs, et intégrée dans la politique de sécurité.

La deuxième mesure concerne la sensibilisation spécifique à ce vecteur. Il ne s'agit pas d'un phishing classique — les développeurs ciblés sont souvent expérimentés et ne tombent pas dans des pièges grossiers. La formation doit couvrir des scénarios réalistes : "Voici un profil LinkedIn avec ces caractéristiques, voici les signaux d'alerte, voici comment vérifier l'identité d'un recruteur." La démonstration de deepfakes vidéo en temps réel, de plus en plus accessible, doit faire partie de cette sensibilisation.

La troisième mesure est technique : le déploiement de règles EDR spécifiques pour détecter les comportements post-infection de BeaverTail et ses successeurs. Rechercher des processus npm ou node.js initiant des connexions vers des endpoints de services cloud non répertoriés dans la liste blanche des projets de l'équipe. Alerter sur tout accès aux fichiers de configuration de wallets crypto, aux fichiers .pem/.key hors des répertoires de gestion d'infrastructure documentés, et aux variables d'environnement contenant les patterns de clés privées cryptographiques.

La quatrième mesure est organisationnelle : mettre en place une gestion stricte des accès basée sur le principe du moindre privilège pour les postes de développeurs. Un développeur travaillant sur le frontend de l'application n'a pas besoin d'accès aux clés de production. Un ingénieur faisant de la R&D n'a pas besoin d'accès aux systèmes de déploiement. La segmentation des accès limite le blast radius si un poste de développeur est compromis.

Mon avis d'expert

Ce qui me frappe dans la campagne WaterPlum, ce n'est pas la sophistication technique — les malwares utilisés sont efficaces mais pas révolutionnaires. Ce qui est remarquable, c'est la compréhension fine du comportement humain des développeurs, de leurs habitudes de travail, de leurs angles morts culturels. Les développeurs sont formés à faire confiance au code open source, à exécuter des scripts pour démarrer des projets, à résoudre des problèmes techniques sans méfiance. WaterPlum a conçu son attaque pour fonctionner dans ce contexte précis.

La leçon à retenir pour les RSSI : le vecteur humain n'est pas seulement l'utilisateur lambda qui clique sur une pièce jointe. C'est votre développeur senior, votre architecte cloud, votre ingénieur en sécurité — des profils techniquement sophistiqués dont la sophistication technique précisément peut être retournée contre eux. Le modèle de menace doit intégrer le processus de recrutement comme surface d'attaque, avec les mêmes exigences de contrôle que les autres vecteurs documentés.

Conclusion

L'ingénierie sociale appliquée au recrutement n'est pas une curiosité académique — c'est une campagne opérationnelle à grande échelle financée par un État, déployée contre vos équipes techniques dès aujourd'hui. La bonne nouvelle, c'est que les contre-mesures les plus efficaces ne sont pas technologiques : elles sont organisationnelles et culturelles. Une procédure claire, une sensibilisation spécifique, et une politique de moindre privilège bien appliquée réduisent considérablement la surface d'attaque, même face à des adversaires de niveau étatique.

Si vos développeurs cherchent activement un emploi ou des missions freelance en ce moment, la conversation avec votre équipe ne peut pas attendre.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique et de votre exposition réelle à ce type de vecteur.

Prendre contact