Falešný nábor i falešní zaměstnanci: jak spolu souvisejí operace WaterPlum

WaterPlum, známý také jako Contagious Interview, a podvodné najímání vzdálených IT pracovníků z KLDR nejsou totožné operace. Podle hodnocení japonské Národní policejní agentury (NPA) a amerického FBI však WaterPlum i někteří severokorejští IT pracovníci působí pod 313. generálním byrem. To spadá pod Oddělení muničního průmyslu, podřízené ústřednímu výboru Korejské strany práce.5

Společný organizační rámec pomáhá vysvětlit, proč jde o dvě navzájem se doplňující hrozby pro digitální pracovní trh:

• WaterPlum útočí zvenčí na uchazeče o práci. Vydává se za náboráře, doručuje malware, sbírá citlivé údaje a krade kryptoměny.
• Falešní IT pracovníci se naopak snaží dostat dovnitř firem: pod skrytou identitou a s maskovanou polohou získávají legitimní vzdálené zakázky či pracovní místa. Přinášejí tak příjmy a zároveň mohou získat přístup do interních systémů.517

Neznamená to, že každý napadený uchazeč je součástí schématu falešných pracovníků nebo že každý takový pracovník se účastní kampaně WaterPlum. Pro zaměstnavatele i uchazeče je ale důsledek stejný: nábor se stal významnou vstupní branou pro kybernetické útoky.

Sedm institucí za varováním z 18. září

Společné kyberbezpečnostní varování vydalo sedm institucí z Japonska, USA, Austrálie a Německa:1

1. japonská Národní policejní agentura (NPA),
2. japonský Národní úřad pro kybernetickou bezpečnost (NCO),
3. americký Federální úřad pro vyšetřování (FBI),
4. americké Kybernetické centrum pro boj s kriminalitou při ministerstvu obrany (DC3),
5. Australské centrum kybernetické bezpečnosti v rámci Australského ředitelství signálového zpravodajství (ASD’s ACSC),
6. německá Spolková zpravodajská služba (BND),
7. německý Spolkový úřad pro ochranu ústavy (BfV).

Instituce v něm označily aktéra jako WaterPlum a spojily jej s kampaní běžně nazývanou Contagious Interview.1

Jak falešný pohovor promění počítač v napadené zařízení

Operátoři WaterPlum se vydávali za náboráře nebo budoucí zaměstnavatele a cílili na IT odborníky — včetně webdesignérů, inženýrů a lidí z oborů kryptoměn, blockchainu a Web3.14

Návnady vypadaly jako zcela běžná součást technického výběrového řízení. Cíl mohl obdržet údajný programátorský úkol nebo během videopohovoru výzvu k instalaci domnělé opravy konferenčního nástroje. Soubor či instrukce ale ve skutečnosti vedly k instalaci malwaru.15

Právě v tom spočívá síla této taktiky. Útočník nemusí nejdříve prolomit zabezpečení konkrétní firmy; využije důvěru, časový tlak a očekávání uchazeče, který nechce promarnit slibnou pracovní nabídku.

Nejméně 30 000 infikovaných zařízení a 10,71 milionu dolarů v kryptoměnách

Podle poradního dokumentu WaterPlum v období od prosince 2025 do července 2026 infikoval nejméně 30 000 zařízení ve více než 100 zemích. Útočníci získali prostředky nebo přístupové údaje související s více než 7 000 kryptoměnovými peněženkami a operace obdržela přibližně 10,71 milionu dolarů v kryptoměnách.14

Nejde jen o bezprostředně odcizené peníze. Ukradené přihlašovací údaje mohou otevřít cestu k dalším podvodům, i když se útočníkovi nepodaří převést aktiva okamžitě.

Falešný zaměstnanec je jiný typ průniku

Schéma falešných IT pracovníků stojí na utajení skutečné identity a místa, odkud člověk pracuje. Americké ministerstvo zahraničí varovalo, že severokorejští IT pracovníci využívají zprostředkovatele a třetí osoby. Firmám doporučuje posilovat ověřování identity a vyhledávat podezřelé účty či neobvyklé údaje v nich.17

Zatímco WaterPlum pošle škodlivý soubor kandidátovi, falešný pracovník může získat firemní účet, přístup k datům, přihlašovacím údajům nebo služebnímu zařízení. Riziko proto není pouze mzdové či administrativní — může jít o dlouhodobý problém s interním přístupem.

Co ukázal případ z Nového Zélandu

Novozélandské Národní centrum kybernetické bezpečnosti popsalo případ velké tamní firmy, která najala vzdáleného IT kontraktora pod falešnou identitou. Když firma začala mít o identitě pracovníka pochybnosti, kontraktor pohrozil zveřejněním citlivých informací.18

Případ ukazuje, že podvodně najatý pracovník může ještě před odhalením získat přístup do firemního prostředí. Následné vydírání pak může proměnit problém s ověřením identity v bezpečnostní incident.

Jaká opatření by měli zaměstnavatelé zavést

Nábor, HR, IT, bezpečnostní týmy i nákup by měly u vzdálených technických rolí postupovat koordinovaně. Americká doporučení výslovně uvádějí důkladnou kontrolu identifikačních dokladů, případně osobní pohovory, a systémy pro zachycení anomálních údajů v účtech.17

Prakticky to znamená zejména:

• Ověřovat nezávisle. Kontrolovat doklady, pracovní historii, reference, platební údaje i deklarované místo pobytu přes zdroje, které neposkytl jen sám uchazeč.
• Brát živé ověření vážně. Videohovor sám o sobě není definitivním důkazem identity. Je třeba řešit rozpory v identitě, lokalitě a technických okolnostech připojení.
• Řídit vydávání zařízení a přístupy. Firemní techniku neposílat před ověřením identity a pracovního uspořádání. Po nástupu používat spravovaná zařízení a přidělovat pouze nezbytná oprávnění.
• Sledovat neobvyklé chování. Varovným signálem může být neočekávané použití proxy, nesoulad země přihlášení, nestandardní vzdálené ovládání nebo neobvyklé přesuny dat.
• Mít připravený eskalační postup. Firma potřebuje předem vědět, kdo provede bezpečnostní šetření, jak rychle odebere přístupy a jak bude postupovat při možném vydírání.

Hlavní závěr

WaterPlum ukazuje, že i pracovní pohovor může být mechanismem pro doručení malwaru. Podvodní vzdálení IT pracovníci zase ukazují, že samotné přijetí zaměstnance může vytvořit cestu k průniku do firmy. Propojení obou aktivit přes 313. generální byro zdůrazňuje základní pravidlo: bezpečnost je potřeba řešit po obou stranách náboru — chránit uchazeče před falešnými náboráři a zaměstnavatele před infiltrací skrze falešnou identitu.5