WaterPlum og falske nordkoreanske IT-arbejdere: To trusler fra samme bureau

WaterPlum – også kendt som Contagious Interview – og Nordkoreas svindel med fjernarbejdende IT-folk hænger sammen på mere end blot deres udnyttelse af jobmarkedet. Japanske og amerikanske myndigheder vurderer, at WaterPlum-aktører og nogle nordkoreanske IT-arbejdere opererer under 313. Generalbureau, som hører under Våbenindustriafdelingen og er underlagt centralkomiteen i Koreas Arbejderparti.5

Deres funktioner er forskellige, men supplerer hinanden. WaterPlum bruger falsk rekruttering til at kompromittere jobsøgende, stjæle følsomme oplysninger og tage kryptovaluta. IT-arbejderordningen bruger falske identiteter og skjult geografisk placering til at få reelle fjernjobs, hvilket både kan skaffe indtægter og give adgang indefra i en målorganisation.517

Advarslen den 18. september: Syv myndigheder stod bag

Den fælles cybersikkerhedsadvarsel af 18. september blev udsendt af syv myndigheder fra Japan, USA, Australien og Tyskland:1

1. Japans nationale politimyndighed, National Police Agency (NPA)
2. Japans nationale cybersikkerhedskontor, National Cybersecurity Office (NCO)
3. USA's føderale politi, Federal Bureau of Investigation (FBI)
4. USA's forsvarsministeriums Cyber Crime Center (DC3)
5. Australian Signals Directorates Australian Cyber Security Centre (ASD's ACSC)
6. Tysklands føderale efterretningstjeneste, Bundesnachrichtendienst (BND)
7. Tysklands forbundskontor til beskyttelse af forfatningen, Bundesamt für Verfassungsschutz (BfV)

Myndighedernes vurdering nævner WaterPlum som aktørgruppen og knytter den til kampagnen, der almindeligvis kaldes Contagious Interview.1

Sådan fungerede den falske rekruttering

WaterPlum udgav sig for at være rekrutteringsfolk eller potentielle arbejdsgivere og gik efter IT-fagfolk, herunder webdesignere, ingeniører og personer, der arbejder med kryptovaluta, blockchain og Web3.14

Lokkemidlerne lignede almindelige trin i en teknisk ansættelsesproces. Et mål kunne modtage en angivelig kodeopgave eller under et videointerview blive bedt om at installere en påstået rettelse til videokonferencen. I stedet leverede filer eller instruktioner malware til den jobsøgendes enhed.15

Metoden gør en ellers rutinepræget ansættelsesdialog til en indgang for angreb. I stedet for at forsøge at bryde direkte ind i en virksomhed udnytter aktørerne den tillid og tidspres, der kan følge med en attraktiv jobmulighed.

Omfang og konsekvenser

Ifølge advarslen inficerede WaterPlum fra december 2025 til juli 2026 mindst 30.000 enheder i over 100 lande. Midler eller kontooplysninger knyttet til mere end 7.000 kryptowallets blev kompromitteret, og operationen modtog cirka 10,71 mio. dollar i kryptovaluta.14

Tallene beskriver en kampagne med bred målretning mod tekniske faggrupper og et klart økonomisk formål. Tyveri af loginoplysninger kan have særligt alvorlige følger, fordi kompromitterede konti kan bruges til yderligere svindel – også når en øjeblikkelig overførsel ikke er mulig.

Falske IT-arbejdere: En særskilt, men beslægtet risiko

Ordningen med falske IT-arbejdere bygger på, at operatører skjuler deres reelle identitet og placering for at få fjernkontrakter. Amerikansk myndighedsvejledning advarer om, at nordkoreanske IT-arbejdere har benyttet tredjepartsproxyer og formidlere, og opfordrer virksomheder til at styrke identitetskontrollen og opdage mistænkelig kontoaktivitet.17

Forbindelsen til WaterPlum er ifølge NPA's og FBI's vurdering organisatorisk og strategisk. Det er ikke i sig selv bevis for, at alle malwareofre bliver en del af IT-arbejderordningen, eller at enhver falsk IT-arbejder deltager i WaterPlum-operationer.5 Den praktiske sammenhæng er, at begge udnytter økosystemet omkring fjernarbejde:

• WaterPlum rammer kandidater udefra med falske rekrutteringsprofiler og skadeligt materiale til jobsamtaler.
• Falske IT-arbejdere forsøger at komme ind i organisationer som tilsyneladende legitime konsulenter eller ansatte ved at skjule eller forfalske identitet og placering.

Den ene metode giver direkte kompromittering og kryptotyveri; den anden kan skabe en mere langsigtet indtægtskilde og risiko for adgang indefra.

Hvad sagen fra New Zealand viser

New Zealands National Cyber Security Centre beskrev en stor virksomhed i landet, som ansatte en fjernarbejdende IT-konsulent under falsk identitet. Da virksomheden blev mistænksom, truede konsulenten med at offentliggøre følsomme oplysninger.18

Sagen understreger, at identitetssvindel ikke kun er et spørgsmål om løn eller compliance. En svigagtigt ansat kan nå at få adgang til virksomhedssystemer, data, loginoplysninger eller udleveret udstyr, før bedraget opdages.

De vigtigste værn for arbejdsgivere

Rekruttering, HR, IT, sikkerhed og indkøb bør koordinere kontroller for tekniske fjernroller. Amerikansk myndighedsvejledning fremhæver stærkere identitetskontrol, herunder grundig gennemgang af identitetsdokumenter og fysiske samtaler, hvor det er passende, samt systemer der markerer unormale oplysninger i konti.17

I praksis omfatter det blandt andet:

• Verificér uafhængigt. Bekræft identitetsdokumenter, erhvervserfaring, referencer, betalingsoplysninger og oplyst placering via kilder, som ikke kun kommer fra ansøgeren.
• Gør live-kontrol reel. Brug samtaler i realtid, og undersøg uoverensstemmelser i identitet, placering eller teknisk tilstedeværelse. Et videokald alene er ikke afgørende bevis.
• Styr udlevering af udstyr og adgang. Undgå at sende virksomhedens udstyr, før identitet og arbejdsforhold er bekræftet. Brug administrerede enheder og mindste nødvendige adgang efter ansættelse.
• Hold øje med unormal adgang. Gennemgå uventet brug af proxyer, modstridende login-geografi, usædvanlig fjernstyring og atypisk dataflytning.
• Vær klar til eskalering. Hav en fast proces for sikkerhedsundersøgelse, lukning af adgang, juridisk vurdering og håndtering af afpresning, hvis der opstår mistanke om identitetssvindel eller insideradgang.

Hovedpointen

WaterPlum viser, at et jobinterview kan bruges til at levere malware. Den beslægtede trussel fra falske IT-arbejdere viser, at selve ansættelsen også kan være en vej ind i virksomheden. Den fælles tilskrivning til 313. Generalbureau peger på den centrale forsvarsopgave: Organisationer skal sikre begge sider af ansættelsesprocessen – beskytte jobsøgende mod falske rekrutteringsfolk og beskytte arbejdsgivere mod infiltration gennem falske identiteter.5