Un faux entretien d’embauche sur LinkedIn a fini par coûter à une entreprise 11,8 millions de dollars US après qu’un prétendu recruteur a conduit un employé basé à Singapour directement dans un piège de malware. L’arnaque à l’emploi crypto à Singapour s’est déroulée en plusieurs étapes qui semblaient routinières au départ — un message LinkedIn, quelques appels vidéo, un test de codage — avant de se transformer en une compromission complète de l’infrastructure de l’entreprise et un vol de cryptomonnaies, selon la Police de Singapour et la Cyber Security Agency of Singapore.
Summary
Points clés à retenir
- Une victime a été approchée sur LinkedIn par un escroc se faisant passer pour un recruteur d’une entreprise liée aux cryptomonnaies, puis guidée à travers un faux processus d’entretien.
- Un domaine usurpé et une évaluation technique piégée ont installé un malware sur l’appareil fourni par l’entreprise à la victime, à son insu.
- Le malware a récolté un jeton de session, permettant aux attaquants de contourner l’authentification multifacteur et de pénétrer dans le dépôt de code Bitbucket de la victime.
- Depuis Bitbucket, les attaquants ont modifié les instructions de déploiement, accédé aux serveurs internes de l’entreprise et contourné les contrôles de transaction pour voler 11,8 millions de dollars US en cryptomonnaies.
- Les autorités singapouriennes n’ont pas relié l’attaque à la Corée du Nord ni à aucun autre groupe de pirates nommé.
Une arnaque à l’emploi crypto à Singapour entraîne une perte de 11,8 millions de dollars
L’arnaque a commencé par un message qui ressemblait à une proposition de recrutement ordinaire. La SPF et la CSA ont indiqué que la victime avait d’abord été contactée sur LinkedIn par une personne affirmant recruter pour une entreprise liée aux cryptomonnaies, lançant un processus d’entretien qui a fini par donner à des tiers un accès à l’employeur de la victime.
Un entretien LinkedIn qui n’en était pas un
Une fois la conversation sortie de LinkedIn, le faux recruteur est passé à l’e-mail en utilisant un domaine usurpé conçu pour ressembler de très près à l’adresse de la véritable entreprise. La victime a ensuite passé plusieurs entretiens sur Google Meet — mais, fait notable, la personne qui les menait gardait sa caméra éteinte en permanence. Au fil du processus, la cible a été dirigée vers un site web usurpé et invitée à réaliser une évaluation technique de codage sur un appareil fourni par l’entreprise. Cette évaluation a discrètement installé un logiciel malveillant sur la machine, et la victime n’avait aucune idée que l’appareil avait été compromis.
Le malware contourne la MFA pour atteindre Bitbucket et les serveurs de l’entreprise
Une fois installé, le malware a récolté le jeton de session de la victime — une donnée qui a permis aux attaquants de contourner complètement l’authentification multifacteur. Ce contournement de l’authentification multifacteur a ouvert la porte au compte Bitbucket de la victime, qui était directement lié au dépôt de code de l’employeur. Comme Bitbucket est largement utilisé par les équipes de développement pour stocker, gérer et collaborer sur le code source, un seul compte employé compromis disposant des bonnes autorisations peut exposer bien plus qu’un simple appareil individuel.
À partir de là, l’intrusion a rapidement pris de l’ampleur. La SPF et la CSA ont indiqué que les attaquants avaient modifié les instructions de déploiement automatisé des logiciels de l’entreprise après avoir pénétré dans le compte Bitbucket, puis utilisé ce point d’appui pour accéder à distance aux serveurs internes de l’entreprise — transformant ce qui avait commencé comme une tentative de hameçonnage via une fausse offre d’emploi en une véritable attaque de compromission Bitbucket contre l’infrastructure de l’entreprise.
Le coup final est venu des identifiants collectés en cours de route. Ces identifiants volés ont permis aux attaquants de contourner les limites de transaction et les contrôles d’approbation destinés à encadrer les transferts de cryptomonnaies, et ils ont utilisé cet accès pour déplacer des fonds hors de l’entreprise. Le préjudice total : des pertes de 11,8 millions de dollars US, ont confirmé les autorités.
Un scénario bien connu dans l’industrie crypto
Il ne s’agit pas d’une technique isolée. Les attaques liées au recrutement s’appuient régulièrement sur des plateformes de confiance — LinkedIn, Telegram, Google Meet, Slack — pour rendre le premier contact crédible avant de pousser les cibles vers des fichiers ou logiciels malveillants. C’est précisément ce qui rend ce type d’arnaque de recrutement en cryptomonnaies si efficace : il exploite la confiance professionnelle plutôt qu’une faiblesse technique au point d’entrée.
En avril, une campagne de malware Obsidian a utilisé LinkedIn et Telegram pour approcher des professionnels de la crypto et de la finance, les convainquant d’installer des plugins malveillants pour la véritable application de prise de notes Obsidian. Elastic Security Labs a identifié le malware comme PHANTOMPULSE, notant qu’il utilisait trois réseaux blockchain pour recevoir des commandes et maintenir sa persistance. Durant la même période, le service de portefeuille Zerion a révélé un incident de sécurité de 100 000 $ résultant d’une campagne prolongée d’ingénierie sociale attribuée à des attaquants nord-coréens, des chercheurs de Security Alliance reliant la campagne à 164 domaines malveillants utilisés pour infiltrer des entreprises crypto via Slack et LinkedIn. Zerion a indiqué que les attaquants avaient ciblé le volet humain de ses opérations plutôt que de s’attaquer directement à la technologie de son portefeuille.
Le groupe nord-coréen UNC4899 et d’autres attaques basées sur de faux recruteurs
Les autorités singapouriennes n’ont pas attribué la perte de 11,8 millions de dollars US à la Corée du Nord ni à aucun autre groupe de pirates. Mais les tactiques rappellent un schéma déjà utilisé par des acteurs liés à la Corée du Nord. Google Cloud et Wiz ont rapporté en 2025 qu’un groupe connu sous le nom d’UNC4899, ou TraderTraitor, avait approché des employés d’entreprises crypto via LinkedIn et Telegram en se faisant passer pour des recruteurs, persuadant certains d’exécuter des conteneurs Docker malveillants qui déployaient des téléchargeurs et des portes dérobées. Dans au moins un cas, Google a indiqué que le groupe avait désactivé l’authentification multifacteur sur un compte Google Cloud privilégié pour atteindre des services liés aux portefeuilles. Le groupe serait actif depuis 2020, avec un fort ciblage des entreprises de crypto et de blockchain.
Les environnements de développement continuent d’apparaître comme le maillon faible dans ces affaires. Une campagne TrapDoor découverte en mai a compromis des jetons GitHub, des clés SSH et des identifiants cloud en plus des données de portefeuilles de cryptomonnaies — permettant aux acteurs malveillants d’obtenir plusieurs formes d’accès système à partir d’un seul poste de développeur compromis. Une campagne de faux entretiens en décembre 2024, quant à elle, a approché des professionnels du Web3 via LinkedIn, Telegram et des plateformes de freelance, les orientant ensuite vers une tâche vidéo où un prétendu problème de microphone ou de caméra les a amenés à exécuter des commandes ouvrant leurs appareils aux attaquants. L’enquêtrice on-chain Taylor Monahan a indiqué à l’époque que l’exécution de ces commandes pouvait donner aux attaquants un accès général à un appareil, créant des opportunités de voler des données, de surveiller l’activité ou de compromettre des portefeuilles crypto.
Comment les autorités singapouriennes recommandent aux entreprises de réagir
À la suite de l’incident, la SPF et la CSA ont exhorté les entreprises et les particuliers — en particulier dans la tech et la crypto — à vérifier l’identité des recruteurs et des entreprises qu’ils prétendent représenter avant d’ouvrir des fichiers, sites web ou logiciels liés à des offres d’emploi. Il a également été demandé aux entreprises de protéger les clés d’API et les identifiants internes, de renforcer l’authentification multifacteur et de sécuriser les dépôts de code et les chaînes de déploiement en particulier, car l’accès à ces systèmes peut permettre à un seul appareil compromis d’atteindre l’infrastructure de l’entreprise dans son ensemble.
Isoler, révoquer, réinitialiser
Pour les entreprises qui soupçonnent qu’une violation a déjà eu lieu, les agences recommandent d’isoler immédiatement les appareils ou systèmes concernés, de révoquer les sessions actives et de réinitialiser les identifiants sans délai. Les journaux d’accès doivent être examinés pour détecter des signes indiquant que les attaquants ont atteint d’autres comptes ou infrastructures, et les équipes doivent vérifier si des dépôts, serveurs ou flux d’approbation ont été modifiés pendant la compromission. Les équipes de sécurité internes ou des prestataires externes doivent être mobilisés immédiatement pour déterminer quels comptes ont été exposés et si des modifications non autorisées ont suivi l’intrusion initiale.
Pour les particuliers, les conseils sont plus simples mais tout aussi clairs : traiter les offres de recrutement non sollicitées avec prudence, vérifier indépendamment à la fois le recruteur et l’entreprise, et rester vigilant chaque fois qu’un processus d’entretien demande aux candidats de télécharger des fichiers, d’exécuter du code inconnu ou d’utiliser des sites web provenant de sources non vérifiées.
FAQ
Comment les attaquants ont-ils initialement compromis l’appareil de la victime ?
Les attaquants se sont fait passer pour des recruteurs sur LinkedIn et ont utilisé des domaines usurpés et un faux site d’entretien pour déployer un malware lors d’une évaluation technique sur un appareil de l’entreprise.
Quelle fonctionnalité de sécurité les attaquants ont-ils contournée pour accéder au compte Bitbucket de l’entreprise ?
Les attaquants ont récolté des jetons de session via le malware pour contourner l’authentification multifacteur et accéder au dépôt Bitbucket.
Quels conseils les autorités singapouriennes donnent-elles pour prévenir des arnaques de recrutement similaires ?
Les autorités recommandent de vérifier l’identité des recruteurs, de sécuriser les clés d’API et les dépôts de code, d’isoler immédiatement les appareils compromis, de révoquer les sessions et de réinitialiser les identifiants.
L’attaque est-elle attribuée à un groupe de pirates connu ?
Les autorités singapouriennes n’ont pas attribué cette attaque spécifique à la Corée du Nord ni à aucun autre groupe de pirates.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Comment les attaquants ont-ils initialement compromis l’appareil de la victime ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les attaquants se sont fait passer pour des recruteurs sur LinkedIn et ont utilisé des domaines usurpés et un faux site d’entretien pour déployer un malware lors d’une évaluation technique sur un appareil de l’entreprise. »}},{« @type »: »Question », »name »: »Quelle fonctionnalité de sécurité les attaquants ont-ils contournée pour accéder au compte Bitbucket de l’entreprise ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les attaquants ont récolté des jetons de session via le malware pour contourner l’authentification multifacteur et accéder au dépôt Bitbucket. »}},{« @type »: »Question », »name »: »Quels conseils les autorités singapouriennes donnent-elles pour prévenir des arnaques de recrutement similaires ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les autorités recommandent de vérifier l’identité des recruteurs, de sécuriser les clés d’API et les dépôts de code, d’isoler immédiatement les appareils compromis, de révoquer les sessions et de réinitialiser les identifiants. »}},{« @type »: »Question », »name »: »L’attaque est-elle attribuée à un groupe de pirates connu ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les autorités singapouriennes n’ont pas attribué cette attaque spécifique à la Corée du Nord ni à aucun autre groupe de pirates. »}}]}
Article produit avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.
