كيف يرتبط «واتربلوم» بعمليات عمال تقنية المعلومات الوهميين في كوريا الشمالية؟

تتصل مجموعة «واتربلوم» (WaterPlum)، المعروفة أيضاً باسم «المقابلة المُعدية» (Contagious Interview)، بعمليات توظيف عمال تقنية معلومات عن بُعد بهويات مزيفة في كوريا الشمالية، لكنهما ليسا العملية نفسها. فبحسب تقييم الشرطة الوطنية اليابانية ومكتب التحقيقات الفدرالي الأميركي، يعمل عناصر «واتربلوم» وبعض عمال تقنية المعلومات الكوريين الشماليين تحت مكتب 313، التابع لـإدارة صناعة الذخائر والخاضع للجنة المركزية لحزب العمال الكوري.5

الفرق العملي مهم: تستخدم «واتربلوم» عروض العمل الوهمية لاختراق أجهزة الباحثين عن وظائف وسرقة المعلومات والعملات المشفرة؛ بينما تسعى عملية العمال الوهميين إلى الحصول على وظائف حقيقية عن بُعد بهويات ومواقع مخفية، بما يوفر دخلاً ويخلق احتمال وصول داخلي إلى أنظمة جهة العمل.517

سبع جهات أصدرت التحذير المشترك في 18 سبتمبر

صدر التحذير السيبراني المشترك عن سبع جهات من اليابان والولايات المتحدة وأستراليا وألمانيا:1

1. وكالة الشرطة الوطنية اليابانية (NPA).
2. المكتب الوطني للأمن السيبراني في اليابان (NCO).
3. مكتب التحقيقات الفدرالي الأميركي (FBI).
4. مركز الجرائم الإلكترونية التابع لوزارة الدفاع الأميركية (DC3).
5. المركز الأسترالي للأمن السيبراني، التابع لمديرية الإشارات الأسترالية (ASD’s ACSC).
6. جهاز الاستخبارات الفدرالي الألماني (BND).
7. المكتب الفدرالي الألماني لحماية الدستور (BfV).

وسمّى التحذير المجموعة «واتربلوم»، وربطها بالحملة المعروفة باسم «المقابلة المُعدية».1

كيف تحولت مقابلة العمل إلى مدخل للبرمجيات الخبيثة؟

انتحل عناصر «واتربلوم» صفة موظفي توظيف أو أصحاب عمل محتملين، واستهدفوا مختصين في التقنية، منهم مصممو الويب والمهندسون والعاملون في العملات المشفرة والبلوك تشين وWeb3.14

كانت الطعوم تبدو كأنها خطوة عادية في التقديم لوظيفة تقنية: اختبار برمجة يُفترض تنفيذه، أو طلب تثبيت «إصلاح» لمشكلة في برنامج مؤتمرات الفيديو أثناء المقابلة. لكن الملف أو التعليمات كانا يقودان إلى تثبيت برمجيات خبيثة على جهاز الباحث عن عمل.15

بهذا الأسلوب، يستغل المهاجمون الثقة والاستعجال اللذين تصاحبان فرصة عمل واعدة، بدلاً من محاولة اختراق شركة ما مباشرة من الخارج.

30 ألف جهاز وأكثر من 7 آلاف محفظة

يشير التقييم إلى أن «واتربلوم» أصابت ما لا يقل عن 30 ألف جهاز في أكثر من 100 دولة خلال الفترة من ديسمبر 2025 إلى يوليو 2026. كما تعرضت أموال أو بيانات اعتماد مرتبطة بأكثر من 7 آلاف محفظة عملات مشفرة للاختراق، وتلقت العملية نحو 10.71 مليون دولار من العملات المشفرة.14

ولا تقتصر خطورة سرقة بيانات الاعتماد على التحويل المالي الفوري؛ إذ قد تسمح الحسابات المخترقة بتنفيذ عمليات احتيال لاحقة أو التوسع في الوصول إلى خدمات وأصول رقمية أخرى.

لماذا يشكل العمال الوهميون خطراً مختلفاً لكنه مرتبط؟

يعتمد مخطط العمال الوهميين على إخفاء الهوية والموقع الحقيقيين للفوز بعقود عمل عن بُعد. وتدعو الإرشادات الحكومية الشركات إلى تشديد التحقق من الهوية ورصد نشاط الحسابات المشبوه، مع التحذير من استخدام وسطاء أو وكلاء من أطراف ثالثة.17

والصلة بين المخططين، وفق تقييم الشرطة اليابانية وFBI، تنظيمية واستراتيجية؛ وليست دليلاً على أن كل ضحية برمجية خبيثة تتحول إلى جزء من مخطط العمال، أو أن كل عامل محتال يشارك في عمليات «واتربلوم».5 لكن المسارين يستغلان بيئة العمل عن بُعد من جهتين:

• «واتربلوم» تستهدف المرشحين من خارج المؤسسة عبر مجندين مزيفين ومواد مقابلات ضارة.
• العمال الوهميون يحاولون دخول المؤسسة كموظفين أو متعاقدين يبدون شرعيين، مستخدمين هوية أو موقعاً مضللاً.

الأول يحقق اختراقاً مباشراً وسرقة للعملات المشفرة، والثاني قد يوفر تدفقاً مالياً مستمراً وفرصة وصول داخلي أطول أمداً.

ما الذي تكشفه حالة نيوزيلندا؟

ذكرت تقارير عن المركز الوطني للأمن السيبراني في نيوزيلندا أن شركة نيوزيلندية كبيرة وظفت متعاقداً تقنياً عن بُعد بهوية مزيفة. وعندما ساورت الشركة الشكوك، هدد المتعاقد بنشر معلومات حساسة.18

توضح هذه الواقعة أن انتحال الهوية ليس مسألة رواتب أو امتثال إداري فحسب. فقد يحصل العامل الذي تم توظيفه احتيالياً، قبل اكتشاف الأمر، على وصول إلى أنظمة الشركة أو بياناتها أو بيانات اعتمادها أو أجهزتها التي تصدرها للموظفين.

ضوابط ينبغي أن تركز عليها الشركات

يتطلب الحد من الخطر تنسيقاً بين فرق التوظيف والموارد البشرية وتقنية المعلومات والأمن والمشتريات، خصوصاً في الوظائف التقنية عن بُعد. وتوصي الإرشادات الأميركية بتعزيز التحقق من الهوية، بما في ذلك التدقيق الصارم في وثائق الهوية وإجراء مقابلات حضورية عندما يكون ذلك مناسباً، إلى جانب أنظمة تنبه إلى البيانات غير المعتادة في الحسابات.17

إجراءات عملية أساسية:

• تحقق من مصادر مستقلة: راجع وثائق الهوية والسجل المهني والمراجع وبيانات الدفع والموقع المعلن عبر قنوات لا يسيطر عليها المتقدم وحده.
• اجعل التحقق المباشر ذا معنى: لا تعامل مكالمة الفيديو وحدها كدليل قاطع؛ تحقق من أي تناقض في الهوية أو الموقع أو الحضور التقني للمتقدم.
• اضبط تسليم الأجهزة والصلاحيات: لا تشحن أجهزة الشركة قبل التحقق من الهوية وترتيبات العمل، وطبّق إدارة مركزية للأجهزة ومبدأ أقل الصلاحيات بعد التعيين.
• راقب مؤشرات الوصول غير الطبيعي: مثل الاستخدام غير المتوقع لخوادم الوسيط، وتناقض جغرافيا تسجيل الدخول، وسلوك التحكم عن بُعد غير المعتاد، وحركة البيانات الشاذة.
• جهّز مسار تصعيد واضحاً: يتضمن التحقيق الأمني وسحب الصلاحيات والمراجعة القانونية وخطة التعامل مع الابتزاز عند ظهور شبهة تتعلق بالهوية أو الوصول الداخلي.

الخلاصة

تثبت «واتربلوم» أن مقابلة العمل قد تتحول إلى وسيلة لتسليم البرمجيات الخبيثة. ويثبت تهديد العمال الوهميين أن عملية التوظيف نفسها قد تصبح مساراً للتسلل إلى الشركة. والربط المنسوب إلى مكتب 313 يبرز أولوية دفاعية مزدوجة: حماية الباحثين عن عمل من المجندين المزيفين، وحماية جهات العمل من التسلل القائم على انتحال الهوية.5