Faux Entretien Linkedin Mène Au Vol De 11,8 Millions

Imaginez recevoir un message privé sur LinkedIn. Le ton est professionnel, l’offre alléchante, et la personne en face se présente comme recruteur d’une société crypto en pleine expansion. Quelques échanges plus tard, vous vous retrouvez face à un écran Google Meet, caméra éteinte de l’autre côté, puis on vous demande de réaliser un test technique. Vous téléchargez un fichier. Quelques jours plus tard, votre entreprise a perdu 11,8 millions de dollars en cryptomonnaies. Ce n’est pas un scénario de film. C’est exactement ce qui s’est produit à Singapour, et l’histoire mérite d’être racontée dans ses moindres détails.

Comment un faux recruteur a transformé un entretien en braquage numérique

Tout commence par un simple contact sur le réseau professionnel le plus utilisé au monde. Un individu se fait passer pour un chasseur de têtes travaillant pour une entreprise liée aux cryptomonnaies. Le message est soigné, le profil LinkedIn paraît crédible, et l’échange se poursuit rapidement par e-mail. Le domaine utilisé imite presque parfaitement celui d’une société légitime. Rien d’anormal à première vue. Beaucoup de développeurs reçoivent ce type de sollicitations chaque semaine.

La victime, un développeur travaillant pour une société qui manipule des fonds en crypto, accepte de participer à plusieurs entretiens. Tous se déroulent sur Google Meet. À chaque fois, l’interlocuteur garde sa caméra éteinte. Un détail qui aurait dû alerter, mais qui, dans le contexte d’un recrutement international, peut facilement passer pour une précaution ou un problème technique. Puis arrive l’étape fatale : un test de programmation à réaliser sur un site web fourni par le soi-disant recruteur.

Le développeur utilise son ordinateur professionnel. Il télécharge ce qu’il croit être un environnement de test. En réalité, il installe un logiciel malveillant conçu pour une seule chose : dérober un jeton de session Bitbucket. Pas de phrase de récupération volée, pas de wallet vidé immédiatement. Juste un jeton de session déjà authentifié. Avec cet élément, les attaquants peuvent reprendre une connexion active sans déclencher la moindre demande d’authentification multifacteur.

De Bitbucket aux serveurs internes : la progression silencieuse

Une fois à l’intérieur du dépôt de code, les pirates ne se sont pas contentés de regarder. Ils ont modifié les instructions de déploiement automatisé. Ces scripts, qui servent normalement à mettre à jour les logiciels de l’entreprise de manière contrôlée, sont devenus leur passerelle. En altérant la chaîne de déploiement, ils ont obtenu un accès à distance aux serveurs internes de la société.

Sur ces serveurs, ils ont récupéré de nouveaux identifiants. L’attaque a alors progressé jusqu’aux systèmes financiers. Les contrôles internes, les plafonds de transaction et les procédures d’approbation ont été contournés. Les transferts en cryptomonnaies ont suivi. Le montant final s’élève à 11,8 millions de dollars américains, soit environ 15,1 millions de dollars singapouriens. Une somme colossale, dérobée sans jamais toucher directement un wallet personnel de la victime.

Ce qui frappe dans cette affaire, c’est l’absence totale de faille blockchain. Aucun smart contract n’a été exploité. Aucun protocole n’a été cassé. La vulnérabilité se trouvait entièrement du côté humain et organisationnel : un ordinateur professionnel connecté aux systèmes critiques, utilisé pour un test technique provenant d’une source non vérifiée.

Un mode opératoire déjà connu sous le nom de Contagious Interview

Ce type d’attaque n’est pas apparu du jour au lendemain. Depuis la fin de l’année 2023, une campagne baptisée Contagious Interview a été documentée par plusieurs équipes de cybersécurité. Elle repose sur des faux entretiens d’embauche, des tests techniques piégés et des malwares spécifiquement conçus pour les développeurs. Parmi les outils identifiés figurent BeaverTail et InvisibleFerret, ainsi que des paquets npm malveillants.

Le schéma est toujours le même. Le recruteur contacte la cible sur LinkedIn ou par e-mail. Il multiplie les entretiens pour instaurer une relation de confiance. Puis il demande un test technique qui nécessite le téléchargement d’un fichier ou l’installation d’un package. Une fois le malware en place, il cherche des jetons de session, des clés API, des credentials de dépôts de code ou des accès aux infrastructures cloud.

L’attaque n’a exploité aucune faille dans une blockchain. Les pirates ont dérobé un jeton de session Bitbucket, modifié la chaîne de déploiement logiciel de la société puis contourné ses contrôles internes pour transférer des cryptos.

Dans le cas singapourien, la cible n’était pas le portefeuille personnel du développeur. C’était l’entreprise elle-même. En compromettant un salarié disposant d’un accès aux dépôts de code et aux systèmes de déploiement, les attaquants ont pu remonter jusqu’aux fonds de la société. C’est une stratégie d’infiltration bien plus sophistiquée que le simple vol de seed phrase.

Pourquoi les groupes liés à la Corée du Nord sont souvent cités

Les opérations de type Contagious Interview sont régulièrement attribuées à des groupes d’acteurs étatiques nord-coréens. Ces équipes ont déjà été créditées de plus de deux milliards de dollars de vols en cryptomonnaies au cours de l’année 2025. Leur méthode préférée consiste à cibler les développeurs, les ingénieurs et les employés disposant d’accès privilégiés aux infrastructures crypto.

Dans l’affaire de Singapour, les autorités n’ont pas formellement incriminé Pyongyang. Rien ne permet, à ce stade, de pointer du doigt un acteur précis. Pourtant, le mode opératoire, le choix de la cible et la sophistication de l’attaque correspondent point par point aux campagnes déjà documentées. La Corée du Nord a multiplié ces dernières années les tentatives de recrutement fictif pour compromettre des entreprises du secteur.

Il faut garder à l’esprit que ces groupes n’agissent pas uniquement pour le profit personnel. Les fonds volés servent souvent à financer des programmes étatiques. Cela explique pourquoi les montants sont parfois extrêmement élevés et pourquoi les attaques sont menées avec une patience et une organisation dignes de services de renseignement.

Les recommandations concrètes des autorités singapouriennes

La police de Singapour et l’agence nationale de cybersécurité ont rapidement communiqué sur cette affaire. Leur message est clair. Tout recruteur doit être vérifié par les canaux officiels de l’entreprise concernée. Aucun téléchargement provenant d’un site inconnu ne doit être accepté. Et surtout, un test technique ne doit jamais être exécuté sur une machine professionnelle connectée aux systèmes internes.

Pour les entreprises, les conseils vont plus loin. Il faut protéger les clés API avec le plus grand soin, renforcer l’authentification multifacteur sur tous les outils critiques, surveiller en permanence les dépôts de code et cloisonner strictement les procédures de déploiement. En cas de doute, l’appareil suspect doit être isolé immédiatement, toutes les sessions actives révoquées, les identifiants changés et les journaux d’accès examinés en détail.

Pourquoi une machine virtuelle et un wallet matériel changent tout

L’une des conclusions les plus importantes de cette affaire est simple : une machine virtuelle isolée et un wallet crypto matériel auraient largement suffi à neutraliser ce vecteur d’attaque. En isolant complètement l’environnement de test, le malware n’aurait jamais pu atteindre le jeton de session Bitbucket de l’entreprise. En séparant les accès financiers des machines de développement, les transferts auraient été impossibles même en cas de compromission.

Trop d’entreprises continuent de laisser leurs développeurs travailler sur des machines connectées à la fois aux dépôts de code, aux outils de déploiement et parfois même aux systèmes de trésorerie. C’est une faille structurelle. Le moindre faux pas d’un salarié, même de bonne foi, peut alors ouvrir la porte à une catastrophe financière.

Les wallets matériels, de leur côté, ajoutent une couche de protection physique. Même si un attaquant parvient à obtenir des identifiants, il ne peut pas signer de transaction sans l’approbation manuelle sur l’appareil. C’est une barrière simple, mais redoutablement efficace contre ce type d’intrusion progressive.

Le facteur humain reste la première ligne de défense

On a tendance à chercher des solutions techniques complexes face à des attaques sophistiquées. Pourtant, dans cette affaire comme dans tant d’autres, c’est le facteur humain qui a fait basculer la situation. Un développeur a accepté de télécharger un fichier provenant d’une source non vérifiée. Il a utilisé son ordinateur professionnel pour le faire. Et il a participé à plusieurs entretiens sans jamais voir le visage de son interlocuteur.

Ces détails peuvent paraître mineurs isolément. Ensemble, ils forment une chaîne de vulnérabilités. Les pirates le savent parfaitement. Ils misent sur la fatigue, sur la pression du recrutement, sur le désir de décrocher un nouveau poste. Ils multiplient les interactions pour baisser la garde de leur cible. Et une fois la confiance installée, le malware passe presque inaperçu.

Former les équipes techniques aux techniques d’ingénierie sociale devient donc aussi important que de sécuriser les serveurs. Un salarié conscient des risques liés aux faux entretiens d’embauche est bien plus difficile à tromper qu’un firewall mal configuré.

Ce que cette attaque révèle sur l’état de la cybersécurité crypto

Le secteur des cryptomonnaies a longtemps mis l’accent sur la sécurité des protocoles. Les audits de smart contracts, les programmes de bug bounty et les mécanismes de consensus font l’objet d’une attention constante. C’est une bonne chose. Mais cette obsession a parfois occulté les risques plus classiques, ceux qui touchent les entreprises elles-mêmes plutôt que les blockchains.

Un jeton de session volé sur un ordinateur professionnel peut faire plus de dégâts qu’une faille de contrat intelligent. Une modification discrète d’un pipeline de déploiement peut ouvrir un accès permanent aux fonds. Dans un univers où les entreprises gèrent des millions, voire des milliards de dollars en crypto, la sécurité opérationnelle doit être traitée avec le même sérieux que la sécurité on-chain.

L’affaire de Singapour rappelle que les pirates ne cherchent plus uniquement à vider les wallets des particuliers. Ils ciblent désormais les infrastructures des entreprises, les outils de développement et les chaînes d’approvisionnement logicielle. C’est une évolution majeure du paysage des menaces.

Les signaux d’alerte que tout développeur devrait connaître

Certains éléments auraient pu mettre la puce à l’oreille de la victime. La caméra systématiquement éteinte pendant les entretiens. Le domaine e-mail qui imite un nom légitime sans être strictement identique. La demande de réaliser un test technique sur un site externe plutôt que sur une plateforme reconnue. Le fait de devoir télécharger un fichier exécutable ou un package non audité.

Ces signaux ne sont pas toujours évidents. Mais pris ensemble, ils forment un tableau cohérent. Les recruteurs légitimes acceptent généralement de montrer leur visage. Ils utilisent des domaines officiels. Ils proposent des tests sur des plateformes connues comme HackerRank, Codility ou des environnements fournis par l’entreprise elle-même. Ils ne demandent jamais d’installer un logiciel provenant d’une source obscure.

Développer un réflexe de méfiance constructive face à toute offre trop belle ou trop pressante reste l’une des meilleures protections. Prendre le temps de vérifier l’identité de l’entreprise, de contacter le service des ressources humaines par un canal indépendant et de refuser tout téléchargement suspect peut éviter des catastrophes.

Ce que les entreprises doivent changer dans leurs processus de recrutement

Les sociétés du secteur crypto ont une responsabilité particulière. Elles doivent former leurs équipes aux risques liés aux faux entretiens. Elles doivent aussi revoir leurs propres processus de recrutement pour ne pas devenir, involontairement, des complices de ces attaques. Demander à un candidat d’exécuter un test technique sur sa machine professionnelle est une pratique dangereuse, même lorsqu’elle est proposée de bonne foi.

La solution la plus simple consiste à fournir un environnement isolé, une machine virtuelle ou un conteneur jetable, pour tous les tests techniques. Les candidats n’ont ainsi jamais besoin de télécharger quoi que ce soit sur leur propre matériel. Les entreprises évitent de créer un précédent dangereux, et les candidats sont protégés contre d’éventuels malwares.

Il est également temps de revoir les permissions accordées aux développeurs. Un accès permanent aux pipelines de déploiement et aux systèmes financiers sur la même machine n’est plus acceptable. Le principe du moindre privilège doit s’appliquer strictement. Chaque accès doit être justifié, limité dans le temps et surveillé.

Une leçon qui dépasse largement le cas de Singapour

Cette affaire n’est pas isolée. Elle s’inscrit dans une tendance plus large où les attaquants ciblent les humains plutôt que les protocoles. Les montants en jeu dans le secteur crypto rendent ces opérations extrêmement rentables. Tant que les entreprises continueront de sous-estimer le risque d’ingénierie sociale appliqué au recrutement, ces scénarios se reproduiront.

Le vol de 11,8 millions de dollars n’est pas seulement une perte financière pour une société. C’est un signal d’alarme pour l’ensemble de l’écosystème. Chaque développeur, chaque responsable technique, chaque dirigeant d’entreprise crypto devrait se poser la question : mon organisation serait-elle capable de résister à un faux entretien d’embauche bien mené ?

La réponse, dans bien des cas, est encore non. Et c’est précisément ce que les pirates attendent.

Vers une culture de la méfiance raisonnée

Il ne s’agit pas de devenir paranoïaque. Il s’agit d’adopter une posture de vigilance permanente. Vérifier systématiquement les interlocuteurs. Isoler les environnements de test. Séparer les accès critiques. Former les équipes. Surveiller les dépôts de code. Révoquer rapidement les sessions suspectes. Ces gestes, mis bout à bout, forment une défense en profondeur bien plus efficace que n’importe quel antivirus miracle.

L’affaire de Singapour montre qu’un simple message LinkedIn peut, en quelques étapes bien orchestrées, mener jusqu’aux coffres d’une entreprise. Elle montre aussi que les solutions existent. Elles sont souvent simples, parfois peu coûteuses, mais elles demandent de la discipline et une prise de conscience collective.

Dans un secteur où les fortunes se font et se défont en quelques blocs de transaction, la sécurité ne peut plus être un sujet secondaire. Elle doit devenir un réflexe, à tous les niveaux de l’organisation. Sinon, le prochain faux entretien d’embauche pourrait bien coûter encore plus cher.

Les autorités singapouriennes ont joué leur rôle en communiquant clairement sur les risques. Il appartient désormais à chaque acteur de l’écosystème de tirer les leçons de cette histoire. Parce que derrière les 11,8 millions de dollars disparus se cache une réalité plus large : les pirates n’ont plus besoin de casser une blockchain. Il leur suffit parfois de convaincre un développeur de télécharger un fichier.

Et dans un monde où le recrutement se fait de plus en plus à distance, cette porte d’entrée restera ouverte tant que les bonnes pratiques ne seront pas généralisées. La vigilance commence dès le premier message privé reçu sur LinkedIn.