La Corée du Nord utilise des entretiens d'embauche falsifiés pour voler près de 11 millions de dollars américains à plus de 7 000 portefeuilles crypto. Une campagne d'attaque informatique supposément liée à la Corée du Nord a volé des fonds ou des informations d'accès à plus de 7 000 portefeuilles crypto, transférant environ 1,7 milliard de yens, soit l'équivalent de 10,71 millions de dollars américains, vers la Corée du Nord. Ces informations ont été publiées dans une alerte conjointe de sept agences de sécurité et de renseignement du Japon, des États-Unis, d'Australie et d'Allemagne. Ce groupe est désigné par la Police nationale japonaise sous le nom de WaterPlum, tandis que la communauté de la cybersécurité le connaît généralement sous le nom de Contagious Interview. Entre décembre 2025 et juillet 2026, la campagne a infecté au moins 30 000 appareils dans plus de 100 pays, ciblant principalement des développeurs, des ingénieurs et du personnel travaillant dans les domaines du crypto, de la blockchain et du Web3. La méthode courante consiste à se faire passer pour des entreprises d'IA, de crypto ou de NFT, à contacter des candidats via les réseaux sociaux et les plateformes de recrutement, puis à organiser des entretiens techniques. Les victimes sont ensuite invitées à télécharger un fichier pour un test ou pour « corriger une erreur » lors d'un appel vidéo, mais ces fichiers contiennent des logiciels malveillants tels que BeaverTail, InvisibleFerret et StoatWaffle. Les enquêteurs ont également découvert que le groupe utilise la technologie de remplacement facial par IA lors des entretiens et exploite des « fermes d'ordinateurs portables » pour dissimuler l'emplacement réel du personnel nord-coréen. Le Japon a indiqué avoir démantelé une ferme d'ordinateurs portables sur son territoire, le premier cas confirmé dans ce pays. Le FBI et les autorités japonaises estiment que WaterPlum ainsi que certains réseaux de travail informatique à distance de la Corée du Nord sont liés à un même organisme au sein du système industriel de défense du pays, ce qui suggère que les recrutements falsifiés et le vol de crypto peuvent faire partie d'une même campagne organisée.