WaterPlum ועובדי ה־IT המתחזים מצפון קוריאה: שני איומים מאותה יחידה

WaterPlum — המוכרת גם בשם Contagious Interview — ופעילות ההתחזות של עובדי IT צפון־קוריאנים במשרות מרחוק קשורות ביותר משימוש בפיתויים סביב תעסוקה. לפי הערכת משטרת יפן וה־FBI, גורמי WaterPlum וחלק מעובדי ה־IT הצפון־קוריאנים פועלים תחת הלשכה הכללית 313, המשתייכת למחלקת תעשיית החימוש הכפופה לוועד המרכזי של מפלגת הפועלים של קוריאה.5

מדובר בשתי פעילויות שונות אך משלימות. WaterPlum משתמשת במגייסים פיקטיביים כדי לפגוע במחפשי עבודה, לאסוף מידע רגיש ולגנוב מטבעות קריפטוגרפיים. תרמית עובדי ה־IT, לעומתה, נשענת על זהויות כוזבות והסתרת מיקום כדי להשיג משרות מרחוק לגיטימיות — וכך לייצר הכנסות, ולעתים גם למקם גורם בעל גישה בתוך ארגון יעד.517

שבע הסוכנויות שפרסמו את האזהרה ב־18 בספטמבר

את אזהרת הסייבר המשותפת מ־18 בספטמבר פרסמו שבע סוכנויות מיפן, ארצות הברית, אוסטרליה וגרמניה:1

1. הסוכנות הלאומית למשטרה של יפן (NPA)
2. המשרד הלאומי לאבטחת סייבר של יפן (NCO)
3. הבולשת הפדרלית של ארצות הברית (FBI)
4. מרכז פשעי הסייבר של משרד ההגנה האמריקאי (DC3)
5. מרכז אבטחת הסייבר האוסטרלי, במסגרת מנהלת האותות האוסטרלית (ASD’s ACSC)
6. שירות הביון הפדרלי של גרמניה (BND)
7. המשרד הפדרלי הגרמני להגנת החוקה (BfV)

בהערכה מזוהה קבוצת הסייבר WaterPlum, ומצוין הקשר שלה למבצע הידוע בשם Contagious Interview.1

כך עבדה תרמית המגייסים

WaterPlum התחזתה למגייסים או למעסיקים פוטנציאליים ופנתה לאנשי IT — ובהם מעצבי אתרים, מהנדסים ואנשי קריפטו, בלוקצ'יין ו־Web3.14

הפיתויים נראו כמו שלבים שגרתיים בגיוס לתפקיד טכנולוגי: מטלת תכנות לכאורה, או בקשה במהלך ראיון וידאו להתקין "תיקון" לבעיית ועידה. בפועל, הקבצים וההוראות נועדו להחדיר נוזקה למכשיר של מחפש העבודה.15

כך הופכת אינטראקציית גיוס רגילה לערוץ חדירה. במקום לנסות לפרוץ ישירות לארגון, המפעילים מנצלים את האמון ואת תחושת הדחיפות סביב הזדמנות תעסוקתית מבטיחה.

היקף הפגיעה

לפי ההערכה, מדצמבר 2025 ועד יולי 2026 הדביקה WaterPlum לפחות 30,000 מכשירים ביותר מ־100 מדינות. כספים או פרטי גישה הקשורים ליותר מ־7,000 ארנקי קריפטו נפגעו, והפעילות קיבלה כ־10.71 מיליון דולר במטבעות קריפטוגרפיים.14

הנתונים מצביעים על קמפיין ששילב פנייה רחבה לאנשי מקצוע טכנולוגיים עם יעד פיננסי ממוקד. גניבת פרטי גישה משמעותית במיוחד, משום שחשבונות שנפרצו עשויים לאפשר הונאות נוספות גם אם לא מתאפשרת העברה מיידית של כספים.

מדוע עובדי IT בזהות בדויה הם סיכון נפרד — וקשור

בתרמית עובדי ה־IT, המפעילים מסתירים את זהותם ואת מיקומם האמיתי כדי לזכות בחוזי עבודה מרחוק. הנחיות ממשלת ארצות הברית מזהירות כי עובדים צפון־קוריאנים השתמשו במתווכים ובשליחים מצד שלישי, וקוראות לחברות לחזק אימות זהות ולאתר פעילות חשבון חשודה.17

הקשר ל־WaterPlum הוא ארגוני ואסטרטגי, על פי הערכת ה־NPA וה־FBI — ולא הוכחה שכל קורבן נוזקה הופך לחלק מתרמית העובדים, או שכל עובד מתחזה מעורב בפעילות WaterPlum.5 הקשר המעשי הוא ששתי השיטות מנצלות את סביבת העבודה מרחוק:

• WaterPlum תוקפת מועמדים מחוץ לארגון באמצעות התחזות למגייסים וחומרי ריאיון זדוניים.
• עובדי IT מתחזים מנסים להיכנס לארגונים כקבלנים או עובדים לכאורה לגיטימיים, באמצעות מידע כוזב על זהות ומיקום.

האחת מאפשרת פריצה ישירה וגניבת קריפטו; האחרת עלולה לייצר זרם הכנסות ממושך וסיכון של גישה פנימית.

מה מלמד המקרה מניו זילנד

המרכז הלאומי לאבטחת סייבר של ניו זילנד דיווח על חברה ניו זילנדית גדולה שהעסיקה קבלן IT מרחוק תחת זהות בדויה. כשהחברה החלה לחשוד, הקבלן איים לפרסם מידע רגיש.18

המקרה מדגיש שהונאת זהות אינה רק בעיית שכר, ציות או משאבי אנוש. עובד שהתקבל במרמה עשוי לקבל גישה למערכות ארגוניות, נתונים, פרטי גישה או ציוד של החברה עוד לפני שהתרמית מתגלה.

אמצעי ההגנה החשובים למעסיקים

צוותי גיוס, משאבי אנוש, IT, אבטחה ורכש צריכים לתאם ביניהם בקרות לתפקידים טכנולוגיים מרחוק. ממשלת ארצות הברית ממליצה במפורש על אימות זהות מחמיר יותר, לרבות בדיקה קפדנית של מסמכי זיהוי וראיונות פנים אל פנים כאשר הדבר מתאים, וכן על מערכות שמתריעות על מידע חריג בחשבונות.17

צעדים מעשיים כוללים:

• אימות עצמאי: יש לאשר מסמכי זהות, היסטוריית עבודה, ממליצים, פרטי תשלום והמיקום הנטען באמצעות מקורות שאינם מסופקים רק בידי המועמד.
• אימות חי בעל משמעות: יש לקיים ראיונות חיים ולבדוק אי־התאמות בזהות, במיקום או בנוכחות הטכנית; שיחת וידאו לבדה אינה הוכחה מספקת.
• שליטה באספקת ציוד ובהרשאות: אין לשלוח ציוד ארגוני לפני אימות הזהות ותנאי ההעסקה. לאחר הקליטה, יש להחיל ניהול מכשירים והרשאות מינימליות.
• ניטור גישה חריגה: חשוב לבחון שימוש בלתי צפוי בשרתי פרוקסי, חוסר עקביות גאוגרפי בהתחברויות, התנהגות חריגה של שליטה מרחוק ותנועת נתונים לא שגרתית.
• היערכות להסלמה: יש להגדיר מסלול ברור לחקירת אבטחה, שלילת גישה, בדיקה משפטית ומענה לסחיטה במקרה שמתעורר חשד לזהות כוזבת או לגישה פנימית.

השורה התחתונה

WaterPlum מראה שגם ריאיון עבודה יכול לשמש מנגנון להפצת נוזקה. איום עובדי ה־IT המתחזים מראה שתהליך הגיוס עצמו עשוי להיות נתיב חדירה. הייחוס המשותף ללשכה הכללית 313 מחדד את המסר ההגנתי: ארגונים צריכים לאבטח את שני צדי תהליך ההעסקה — להגן על מחפשי עבודה מפני מגייסים מזויפים, ולהגן על מעסיקים מפני חדירה באמצעות זהות בדויה.5