Des pirates nord-coréens vident 7 000 portefeuilles crypto : ce qu’il faut vérifier face aux offres d’emploi et aux tests de code

Sept agences de quatre pays ont publié le 18 septembre 2026 une alerte commune, et elle contient un constat qui concerne toute personne conservant elle-même ses clés : un groupe offensif nord-coréen a infecté, au moyen de fausses offres d’emploi, au moins 30 000 machines dans plus de 100 pays et siphonné les soldes ou les identifiants de plus de 7 000 portefeuilles crypto. Parmi les signataires figurent l’Agence nationale de la police japonaise et le FBI, aux côtés du service de renseignement extérieur allemand, le Bundesnachrichtendienst, et de l’Office fédéral de protection de la Constitution.

La réponse courte à la question de ce qu’il convient de faire tient en une phrase : gardez la machine sur laquelle vous exécutez du code venu d’ailleurs strictement séparée de celle qui abrite vos clés. Le reste de cet article explique pourquoi cette séparation précise fonctionne, quelles familles de logiciels malveillants les agences nomment et à quoi se reconnaît l’appât avant toute ouverture.

Ce que l’alerte commune du 18 septembre 2026 établit

Les agences suivent le groupe sous le nom de « WaterPlum ». Dans le secteur de la sécurité, le même groupe est le plus souvent désigné par « Contagious Interview », d’après sa méthode : l’entretien d’embauche qui contamine. Ce document pèse plus lourd que l’appréciation d’un prestataire isolé, puisqu’il s’agit d’un constat concerté de sept autorités publiques.

Les signataires sont l’Agence nationale de la police japonaise, le Bureau national de cybersécurité du Japon, le FBI, le Department of Defense Cyber Crime Center américain, l’Australian Cyber Security Centre de l’Australian Signals Directorate ainsi que, pour l’Allemagne, le Bundesnachrichtendienst et l’Office fédéral de protection de la Constitution. La cosignature de deux services allemands explique pourquoi cette alerte ne reste pas cantonnée à l’autre bout du monde : les agences recensent expressément des victimes en Europe également.

Les chiffres de l’alerte portent sur la période allant approximativement de décembre 2025 à juillet 2026. Au cours de ces huit mois, la police japonaise a établi qu’au moins 30 000 ordinateurs répartis dans plus de 100 pays avaient été compromis. Des soldes ou des identifiants ont quitté plus de 7 000 portefeuilles crypto. Les agences chiffrent cette fuite à 1,7 milliard de yens au minimum, soit 10,71 millions de dollars. Selon l’appréciation concordante de la police japonaise et du FBI, le groupe et une partie des informaticiens nord-coréens relèvent du 313e bureau général du département de l’industrie de l’armement auprès du comité central du Parti du travail de Corée.

Rapportée aux grandes intrusions sur les plateformes de ces dernières années, la somme reste modeste. Elle se répartit toutefois sur plus de 7 000 victimes distinctes, et c’est là que réside la différence. Les entreprises disposent d’assurances et de réserves ; ici, la perte frappe des particuliers, et personne ne la rembourse. Pour situer l’ordre de grandeur : le bitcoin cotait environ 81 500 dollars le 19 septembre 2026 à 18 h 45 UTC, d’après CoinGecko. La somme détournée équivaut donc à quelque 130 bitcoins.

WaterPlum et « Contagious Interview » : le déroulé de l’attaque par le test de code

À l’origine, il n’y a aucune faille dans votre portefeuille. À l’origine, il y a un message aimable. Les acteurs se présentent comme des recruteurs et agissent au nom d’entreprises réelles des secteurs de l’intelligence artificielle, des cryptomonnaies et des jetons non fongibles. Ils abordent les développeuses et les développeurs de façon ciblée via les réseaux sociaux, les sites d’emploi, les plateformes de missions et les places de marché pour indépendants.

L’entrée en matière par la fausse candidature

Qui répond traverse un processus de recrutement qui paraît d’abord tout à fait normal. Il y a un examen du curriculum vitae, un entretien vidéo, des retours courtois. Les agences décrivent le recours, pour certains de ces entretiens, à des logiciels de substitution de visage assistés par intelligence artificielle. Au bout de quelques minutes, les acteurs coupent leur caméra et demandent à leur interlocuteur d’en faire autant, en invoquant de prétendus problèmes de réseau.

L’instant où le logiciel malveillant démarre

Au fil de la procédure, les acteurs exigent un entretien technique ou un exercice de programmation. Ils invitent alors les candidats à télécharger et à exécuter des fichiers hébergés sur des plateformes de développement courantes et dans des dépôts de code. Le prétexte est formulé de manière anodine : soit le fichier fait partie de l’exercice, soit il doit corriger un prétendu défaut de la visioconférence. À l’instant où ce code démarre, l’appareil est ouvert.

BeaverTail, InvisibleFerret et OtterCookie : les logiciels malveillants cités par les agences

L’alerte nomme cinq familles de logiciels malveillants dissimulées dans des paquets manipulés du gestionnaire NPM. NPM est le gestionnaire de paquets standard de l’environnement JavaScript Node.js, par lequel les développeurs intègrent des bibliothèques de code tierces.

BeaverTail est un logiciel malveillant écrit en JavaScript et caché dans des paquets NPM. InvisibleFerret est une porte dérobée écrite en Python vers la machine de la victime. OtterCookie est un cheval de Troie d’accès à distance qui collecte en même temps des données. OtterCandy combine ses fonctions avec celles d’une autre famille. StoatWaffle, enfin, est un programme modulaire pour Node.js qui réunit chargeur, collecteur d’identifiants et cheval de Troie d’accès à distance.

StoatWaffle mérite une attention particulière parce qu’il emprunte une voie à laquelle presque personne ne pense. Il se déguise en répertoire de projet à thématique blockchain et y dépose un fichier de configuration manipulé destiné à l’éditeur Visual Studio Code. Dès que le dossier est ouvert et classé comme digne de confiance, le code démarre de lui-même. L’ouverture d’un dossier suffit donc, sans que quiconque exécute sciemment un programme.

Après le premier accès, les attaquants maintiennent la liaison ouverte au moyen de chevaux de Troie d’accès à distance, collectent des données à l’aide de logiciels spécialisés et les acheminent vers une adresse de commande sur le réseau, depuis laquelle ils administrent les appareils infectés.

Phrase de récupération et mots de passe du navigateur : ce que les attaquants dérobent réellement

Les agences énumèrent ce que visent les acteurs, et la liste dépasse largement les fichiers de portefeuille. Sont dérobés les identifiants enregistrés dans le navigateur, autrement dit les noms d’utilisateur et les mots de passe. S’y ajoutent le contenu du presse-papiers, les frappes de clavier enregistrées et des captures d’écran.

Pour les détenteurs de cryptomonnaies, le point décisif vient ensuite : les données de portefeuille, y compris les clés privées et la phrase de récupération. Cette phrase est la suite de douze ou vingt-quatre mots, le plus souvent, à partir de laquelle l’ensemble des clés d’un portefeuille peut être reconstitué. Qui la possède possède les jetons, quel que soit l’appareil sur lequel le portefeuille fonctionnait à l’origine.

Viennent enfin des fichiers quelconques jugés intéressants, expressément les photographies de pièces d’identité telles que permis de conduire et passeports. Ces images ne sont pas une prise accessoire. Les agences décrivent l’usage ultérieur des documents dérobés pour se faire passer pour la victime et accepter des missions en son nom. Le préjudice ne s’arrête donc pas au solde.

Pourquoi la méthode atteint aussi les détenteurs sans métier de développeur

Au premier regard, l’alerte semble ne concerner que les développeurs. La police japonaise désigne comme cibles principales les concepteurs web, les ingénieurs et les spécialistes des cryptomonnaies, de la blockchain et du Web3. Qui n’écrit pas une ligne de code pourrait donc classer l’affaire.

Ce raisonnement est trop court, pour deux raisons. La première tient à l’ampleur de la notion : le groupe cible comprend expressément les travailleurs du web indépendants. En Allemagne, cela représente des dizaines de milliers de travailleurs autonomes qui acceptent des projets via des plateformes internationales et utilisent souvent l’appareil même sur lequel se trouve leur portefeuille.

La seconde raison pèse davantage. Les attaquants ne s’arrêtent pas à la machine individuelle. Les agences décrivent comment une infection réussie ouvre la voie vers l’organisation pour laquelle la personne touchée travaille. De là sont siphonnés secrets industriels, identifiants et avoirs en cryptomonnaies d’employeurs, de clients et de partenaires contractuels. Si votre prestataire est compromis, vous êtes concerné sans avoir jamais rédigé la moindre candidature.

Cette chaîne indirecte est celle-là même qui joue en cas d’interfaces compromises. Qui travaille avec les interfaces de programmation des plateformes devrait donc vérifier régulièrement quels droits portent réellement ses propres clés API.

Exécuter du code étranger : comment ouvrir un exercice de test sans danger

Les agences formulent une recommandation claire, et volontairement absolue : n’exécutez pas de code provenant de tiers inconnus sur une machine qui gère des avoirs en cryptomonnaies ou des données personnelles. Le code inconnu se lance exclusivement dans un bac à sable ou une machine virtuelle. Une machine virtuelle est un ordinateur cloisonné à l’intérieur de votre ordinateur ; ce qui s’y produit n’atteint pas votre système réel.

Avant l’exécution, les agences conseillent en outre d’examiner le code à la recherche de passages obscurcis ou illisibles. Là où un exercice de recrutement contient des suites de caractères que personne ne peut lire, l’exercice lui-même constitue l’attaque.

Pour vos jetons, il en découle la séparation déjà évoquée plus haut : les clés appartiennent à un appareil sur lequel aucun code étranger ne s’exécute jamais. Un portefeuille matériel résout cela de la manière la plus rigoureuse, puisque la clé privée ne quitte jamais l’appareil et que chaque transaction doit y être confirmée. Notre comparatif des portefeuilles matériels montre en quoi les modèles diffèrent.

Les chaînes de caractères que les agences signalent expressément

L’alerte cite des éléments de commande précis appelant une vigilance particulière. Sont mentionnés « curl », « base64 », « -enc », « mshta », « iwr-uri » et « hidden ». S’ils apparaissent dans un script que quelqu’un vous envoie au cours d’un recrutement, ne l’exécutez pas tant que vous n’en comprenez pas intégralement le comportement. Ces éléments téléchargent généralement du code supplémentaire, le dissimulent ou le lancent de façon invisible.

Visual Studio Code en mode restreint : l’interrupteur contre le démarrage automatique

Contre StoatWaffle, les agences citent une contre-mesure très concrète. N’ouvrez pas du tout les projets inconnus dans l’éditeur Visual Studio Code, ou ouvrez-les exclusivement en mode restreint. Ce mode empêche l’exécution, au démarrage, des commandes contenues dans le fichier « .vscode/tasks.json ».

Vous accédez à ce mode par la question vous demandant si vous faites confiance à l’auteur des fichiers de ce dossier. Répondez non et vous restez en mode restreint. Le fichier « .vscode/tasks.json » peut ensuite être examiné à tête reposée, afin de voir s’il télécharge ou lance d’autres fichiers. La dernière indication des agences sur ce point est importante : n’ouvrez jamais de projet inconnu depuis un dossier ou un chemin que vous aviez autrefois marqué comme digne de confiance. La décision de confiance continuerait sinon de s’appliquer, sans que personne soit interrogé de nouveau.

Fermes d’ordinateurs portables et informaticiens nord-coréens : pourquoi les donneurs d’ordre doivent veiller

La seconde partie de l’alerte traite d’une pratique qui touche directement les entreprises et les donneurs d’ordre européens. Des informaticiens nord-coréens se font recruter sous une fausse identité pour des projets et travaillent par l’intermédiaire de ce que l’on appelle des fermes d’ordinateurs portables. Il s’agit de lieux, souvent les logements privés de complices, où se trouvent physiquement les machines des entreprises, pilotées à distance depuis l’étranger. Au Japon, les autorités indiquent avoir identifié et démantelé une telle ferme pour la première fois.

Pour les donneurs d’ordre, l’alerte contient une phrase d’une portée considérable : le versement de rémunérations à des informaticiens nord-coréens, ou le soutien à leur approvisionnement en devises, peut contrevenir au droit national et aux sanctions visant la Corée du Nord. Qui attribue des missions devrait donc examiner aussi les sous-traitants et préciser contractuellement qui exécute effectivement le travail.

Une méthode voisine montre avec quelle rapidité on peut se retrouver, sans le vouloir, dans un rôle qui relève du droit pénal : dans les offres d’emploi crypto où votre propre compte bancaire doit servir à des paiements de tiers, le blanchiment commence dès la légèreté.

Soupçon d’infection : dans quel ordre procéder

Pour le cas où un antivirus se déclenche ou bien où vous soupçonnez une infection, les agences fixent un ordre d’intervention. Il est utile de le connaître avant que la situation ne survienne.

Déconnectez d’abord immédiatement l’appareil concerné d’internet, afin que la liaison vers l’extérieur soit rompue. Ensuite s’applique une hypothèse inconfortable mais juste : même si le logiciel malveillant a été détecté et supprimé, vous devez partir du principe que des données, y compris les informations de portefeuille, ont déjà fui. Créez donc un nouveau portefeuille sur un appareil distinct, transférez-y l’intégralité des avoirs et conservez hors ligne la nouvelle phrase de récupération.

Parce qu’un logiciel malveillant non détecté peut subsister sur la machine concernée, les agences sauvegardent ensuite les données importantes et réinstallent entièrement le système d’exploitation. Un passage de l’antivirus ne remplace pas cette étape. Pour les entreprises, l’alerte recommande en outre des outils de détection et de réponse sur les terminaux, qui surveillent les comportements suspects sur les appareils.

L’ordre compte : déconnecter d’abord, sauver les avoirs ensuite, nettoyer enfin. Qui réinstalle le système en premier risque de perdre des identifiants dont il aurait encore eu besoin pour le sauvetage.

Jetons dérobés et administration fiscale : ce qu’il faut clarifier

Lorsque des jetons quittent un portefeuille privé, une question se pose en Allemagne, et elle n’a pas de réponse confortable : la perte peut-elle être déduite fiscalement ? Un vol ne constitue pas une cession au sens de l’article 23 de la loi allemande relative à l’impôt sur le revenu, de sorte qu’il n’y a pas d’opération de cession privée. La question de savoir si et dans quelles conditions une perte peut malgré tout être prise en compte est controversée et dépend de chaque situation. Tranchez-la avec un conseiller fiscal avant d’inscrire quoi que ce soit dans votre déclaration.

Indépendamment de cela, une règle pratique s’applique : il vous faut une documentation sans lacune. Elle comprend la date de la sortie des fonds, les identifiants de transaction, les données d’acquisition des avoirs concernés et la plainte pénale. Qui suit ses avoirs au moyen d’un outil de portefeuille et de fiscalité dispose déjà de cet historique. Nous avons décrit plus en détail le traitement fiscal des avoirs perdus à partir de l’exemple d’un portefeuille matériel égaré.

À quoi reconnaître une fausse offre d’emploi avant le premier clic

L’alerte contient une liste d’observations venue du sens inverse : une plateforme crypto japonaise a reçu en mai 2025 une candidature à un poste de développeur, a repéré les anomalies et n’a pas recruté le candidat. Aucun dommage n’est survenu. Les caractéristiques sont transposables.

Le curriculum vitae a d’abord attiré l’attention : une palette de compétences inhabituellement large, avec plus de dix éléments pour chacune des rubriques langages de programmation, technologies blockchain et services en nuage. S’y ajoutaient des études dans une université européenne, suivies d’étapes rapidement changeantes dans diverses villes d’Europe et d’Asie. Lors de l’entretien vidéo, les compétences linguistiques ne correspondaient pas au parcours revendiqué ; les questions simples recevaient une réponse, mais le candidat n’avait rien à dire sur la plupart des compétences déclarées. L’accès au formulaire de candidature s’est fait via un service de réseau privé virtuel.

À partir d’autres entretiens, les agences citent des motifs supplémentaires : des prétextes lorsqu’une rencontre en personne est proposée, le souhait d’être payé en cryptomonnaie, des regards fréquents vers un second écran, des voix occasionnelles en arrière-plan et des gels répétés de l’image ou du son. Constitue également un signal le fait qu’une rémunération doive être versée sur un compte ouvert à un autre nom.

À l’inverse, la vérification la plus simple vaut pour vous en tant que candidat : une entreprise sérieuse n’exige pas, à un stade précoce du recrutement, l’exécution de fichiers étrangers sur votre machine personnelle. Là où cela se produit malgré tout, l’exercice a sa place dans une machine virtuelle, ou bien nulle part près de votre appareil.

Vérifier la méthode WaterPlum : ce qu’il faut retenir

1. Séparez vos appareils, dès aujourd’hui. Sur la machine où vous ouvrez du code étranger, des exercices de recrutement ou des projets inconnus, aucune clé n’a sa place. La solution propre est un appareil dédié à la conservation, dont la clé privée ne quitte jamais le matériel ; les différences figurent dans notre comparatif des portefeuilles matériels.
2. Vérifiez votre documentation avant d’en avoir besoin. Données d’acquisition, identifiants de transaction et durées de détention déterminent, en cas de sinistre, ce que vous pourrez réellement démontrer à l’administration fiscale. Un coup d’œil aux outils fiscaux crypto montre lequel tient cet historique à votre place.
3. Traitez toute offre d’emploi non sollicitée comme une surface d’attaque. Recoupez l’entreprise et l’interlocuteur de façon indépendante, refusez d’exécuter des fichiers étrangers et ouvrez les projets inconnus en mode restreint. Le cas de la méthode de l’agent financier montre à quelle vitesse une prétendue offre d’emploi crypto entraîne des conséquences juridiques.

Les agences concluent leur alerte par une remarque qui nomme clairement la durée de vie de telles listes : les techniques décrites sont des exemples, et les acteurs font continuellement évoluer leurs méthodes. La séparation entre la machine de travail et la machine qui porte les clés survit à cette évolution, parce qu’elle ne dépend d’aucun logiciel malveillant en particulier.

L’alerte complète du 18 septembre 2026 est disponible sous forme de document auprès de l’Internet Crime Complaint Center du FBI. L’Office fédéral de protection de la Constitution avait déjà publié auparavant son propre avis de sécurité consacré aux informaticiens nord-coréens.

(Au 19 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)