WaterPlum ja Pohjois-Korean vale-IT-työntekijät: kaksi rekrytointiin kytkeytyvää uhkaa

WaterPlum, joka tunnetaan myös nimellä Contagious Interview, ja Pohjois-Korean vilpillinen etä-IT-työntekijöiden toiminta liittyvät toisiinsa muullakin tavoin kuin työpaikkateemaisten huijausten kautta. Japanin poliisin NPA:n ja Yhdysvaltain FBI:n arvion mukaan WaterPlumin toimijat ja osa pohjoiskorealaisista IT-työntekijöistä toimii 313. yleistoimiston alaisuudessa. Se kuuluu Korean työväenpuolueen keskuskomitean alaisen sotatarviketeollisuuden osaston alaisuuteen.5

Kyse on kahdesta eri mutta toisiaan täydentävästä toimintatavasta. WaterPlum pyrkii murtautumaan työnhakijoiden laitteisiin tekaistujen rekrytointikontaktien avulla, keräämään arkaluonteisia tietoja ja varastamaan kryptovaluuttaa. Valehenkilöllisyyksiä käyttävät IT-työntekijät taas hakevat aitoja etätöitä peittämällä identiteettinsä ja sijaintinsa. Näin toiminta voi tuottaa tuloja ja samalla avata pääsyn kohdeorganisaation sisälle.517

Seitsemän viranomaista yhteisen varoituksen takana

Syyskuun 18. päivänä julkaistun yhteisen kyberturvallisuusvaroituksen antoi seitsemän viranomaista Japanista, Yhdysvalloista, Australiasta ja Saksasta:1

1. Japanin kansallinen poliisivirasto NPA
2. Japanin kansallinen kyberturvallisuusvirasto NCO
3. Yhdysvaltain liittovaltion poliisi FBI
4. Yhdysvaltain puolustusministeriön kyberrikoskeskus DC3
5. Australian signaalitiedusteluviraston alainen Australian Cyber Security Centre (ASD’s ACSC)
6. Saksan ulkomaantiedustelupalvelu BND
7. Saksan perustuslain suojeluvirasto BfV

Viranomaiset nimeävät toimijaryhmän WaterPlumiksi ja yhdistävät sen yleisesti Contagious Interview -nimellä tunnettuun kampanjaan.1

Näin valetöihin rekrytointi muuttui haittaohjelmaksi

WaterPlum esiintyi rekrytoijina tai mahdollisina työnantajina. Kohteina olivat IT-ammattilaiset, kuten web-suunnittelijat, ohjelmistoinsinöörit sekä kryptovaluuttojen, lohkoketjujen ja Web3-teknologioiden parissa työskentelevät henkilöt.14

Houkutteet muistuttivat tavallisia teknisen rekrytoinnin vaiheita. Kohteelle voitiin lähettää näennäinen ohjelmointitehtävä tai häntä voitiin pyytää asentamaan videohaastattelun aikana muka videoneuvotteluohjelman korjaus. Todellisuudessa tiedosto tai ohje johti haittaohjelman asentumiseen työnhakijan laitteelle.15

Menetelmä tekee normaalista rekrytointitilanteesta ensipääsyn väylän. Sen sijaan, että hyökkääjät yrittäisivät murtautua suoraan yrityksen järjestelmiin, he hyödyntävät kiinnostavan työpaikan synnyttämää luottamusta ja kiireen tuntua.

Vähintään 30 000 saastunutta laitetta

Viranomaisten arvion mukaan WaterPlum saastutti joulukuun 2025 ja heinäkuun 2026 välisenä aikana vähintään 30 000 laitetta yli 100 maassa. Varoja tai tilitunnuksia vaarantui yli 7 000 kryptolompakkoon liittyen, ja operaation arvioidaan vastaanottaneen noin 10,71 miljoonaa Yhdysvaltain dollaria kryptovaluuttana.14

Luvut kuvaavat kampanjaa, jossa teknisiä ammattilaisia kohdistettiin laajasti mutta rahallista hyötyä tavoiteltiin tarkasti. Tilitunnusten varkaus on erityisen vakavaa, sillä vaarantuneita tilejä voidaan käyttää myöhempään petokseen, vaikka välitöntä varainsiirtoa ei onnistuttaisikaan tekemään.

Vale-IT-työntekijä on eri uhka – ja silti samaa kokonaisuutta

Vilpillinen IT-työntekijämalli perustuu siihen, että toimijat salaavat todellisen henkilöllisyytensä ja sijaintinsa saadakseen etätyösopimuksia. Yhdysvaltain viranomaisohjeistuksen mukaan pohjoiskorealaiset IT-työntekijät ovat käyttäneet apunaan ulkopuolisia välittäjiä ja järjestelyhenkilöitä. Yrityksiä kehotetaan vahvistamaan henkilöllisyyden todentamista ja havaitsemaan epäilyttävää tilitoimintaa.17

WaterPlum-yhteys on NPA:n ja FBI:n arvion mukaan organisatorinen ja strateginen. Se ei tarkoita, että jokainen haittaohjelman uhri päätyisi osaksi työntekijähuijausta tai että jokainen vilpillisesti palkattu työntekijä osallistuisi WaterPlumin operaatioihin.5 Käytännön yhteys on kuitenkin selvä: molemmat hyödyntävät etätyön ekosysteemiä.

• WaterPlum kohdistaa hyökkäyksensä organisaation ulkopuolella oleviin työnhakijoihin valerekrytoijien ja haitallisten haastattelumateriaalien avulla.
• Valehenkilöllisyyttä käyttävät IT-työntekijät pyrkivät organisaatioihin näennäisesti laillisina alihankkijoina tai työntekijöinä peittämällä henkilöllisyys- ja sijaintitietonsa.

Ensimmäinen malli tuottaa suoran murtautumisen ja kryptovaluuttavarkauden. Jälkimmäinen voi luoda pidempikestoisen tulovirran sekä sisäpiiriin pääsyn riskin.

Uuden-Seelannin tapaus havainnollistaa riskiä

Uuden-Seelannin National Cyber Security Centren toimintaa käsittelevän raportoinnin mukaan suuri uusiseelantilainen yritys palkkasi etä-IT-urakoitsijan, joka käytti väärennettyä henkilöllisyyttä. Kun yritys alkoi epäillä työntekijää, urakoitsija uhkasi julkaista arkaluonteisia tietoja.18

Tapaus osoittaa, ettei henkilöllisyyspetos ole vain palkanmaksun tai hallinnollisen vaatimustenmukaisuuden ongelma. Vilpillisesti palkattu työntekijä voi ehtiä saada pääsyn yrityksen järjestelmiin, tietoihin, tunnuksiin tai työnantajan toimittamiin laitteisiin ennen kuin petos paljastuu.

Työnantajan tärkeimmät suojatoimet

Rekrytoinnin, henkilöstöhallinnon, IT:n, tietoturvan ja hankinnan kannattaa sopia yhteisistä kontrolleista etäteknisiin tehtäviin. Yhdysvaltain viranomaisohjeistus korostaa henkilöllisyyden todentamisen vahvistamista: henkilöllisyysasiakirjat on tarkistettava huolellisesti, kasvokkaisia haastatteluja on käytettävä tilanteen mukaan ja tileillä esiintyviä poikkeavia tietoja on kyettävä tunnistamaan.17

Käytännössä tämä tarkoittaa esimerkiksi seuraavaa:

• Varmista tiedot riippumattomasti. Tarkista henkilöllisyysasiakirjat, työhistoria, suosittelijat, maksutiedot ja ilmoitettu sijainti lähteistä, jotka eivät ole vain hakijan itsensä toimittamia.
• Tee reaaliaikaisesta todentamisesta aidosti hyödyllistä. Käytä suoria haastatteluja ja selvitä henkilöllisyyden, sijainnin tai teknisen työskentely-ympäristön ristiriidat. Pelkkä videopuhelu ei yksin todista henkilöllisyyttä.
• Hallitse laitteiden toimitus ja käyttöoikeudet. Älä lähetä yrityslaitteita ennen kuin henkilöllisyys ja työjärjestelyt on varmistettu. Ota käyttöön hallitut laitteet ja vähimmän käyttöoikeuden periaate työn alkaessa.
• Tarkkaile poikkeavaa pääsyä. Selvitä odottamaton välityspalvelinten käyttö, ristiriitaiset kirjautumissijainnit, epätavallinen etähallinta ja poikkeava tiedonsiirto.
• Varaudu eskalointiin. Määritä toimintamalli tietoturvatutkinnalle, käyttöoikeuksien poistamiselle, juridiselle arvioinnille ja kiristyksen hallinnalle, jos henkilöllisyyteen tai sisäpiiripääsyyn liittyvä epäily herää.

Keskeinen johtopäätös

WaterPlum osoittaa, että työhaastattelua voidaan käyttää haittaohjelman jakelukanavana. Vale-IT-työntekijöiden toiminta puolestaan osoittaa, että rekrytointi voi muodostua myös tunkeutumisreitiksi. Yhteinen 313. yleistoimiston attribuutio tiivistää puolustuksen ydinasian: organisaatioiden on suojattava työsuhdeprosessin molemmat puolet – työnhakijat valerekrytoijilta ja työnantajat identiteettiin perustuvaa soluttautumista vastaan.5