WaterPlum और फर्जी उत्तर कोरियाई IT वर्कर: एक ही ब्यूरो से जुड़े दो खतरे

WaterPlum—जिसे आम तौर पर Contagious Interview भी कहा जाता है—और उत्तर कोरियाई फर्जी रिमोट IT-वर्कर गतिविधियां केवल नौकरी से जुड़े छल का इस्तेमाल करने के कारण ही जुड़ी नहीं हैं। जापान की नेशनल पुलिस एजेंसी (NPA) और अमेरिकी FBI का आकलन है कि WaterPlum के संचालक और कुछ उत्तर कोरियाई IT वर्कर, वर्कर्स पार्टी ऑफ कोरिया की केंद्रीय समिति के अधीन म्यूनिशंस इंडस्ट्री डिपार्टमेंट के 313 जनरल ब्यूरो के तहत काम करते हैं।5

दोनों अभियानों का उद्देश्य अलग है, लेकिन वे एक-दूसरे के पूरक हैं। WaterPlum फर्जी भर्ती प्रक्रिया से नौकरी तलाशने वालों के डिवाइस संक्रमित करता है, संवेदनशील जानकारी हासिल करता है और क्रिप्टोकरेंसी चुराता है। वहीं, फर्जी IT-वर्कर योजना में असली पहचान और स्थान छिपाकर वैध रिमोट नौकरी या कॉन्ट्रैक्ट हासिल करने की कोशिश की जाती है। इससे आय भी होती है और किसी संस्था के भीतर पहुंच मिलने का जोखिम भी बनता है।517

18 सितंबर की चेतावनी: किन सात एजेंसियों ने जारी की

18 सितंबर की संयुक्त साइबर सुरक्षा एडवाइजरी जापान, अमेरिका, ऑस्ट्रेलिया और जर्मनी की इन सात एजेंसियों ने जारी की थी:1

1. जापान की नेशनल पुलिस एजेंसी (NPA)
2. जापान का नेशनल साइबरसिक्योरिटी ऑफिस (NCO)
3. अमेरिका की फेडरल ब्यूरो ऑफ इन्वेस्टिगेशन (FBI)
4. अमेरिकी रक्षा विभाग का साइबर क्राइम सेंटर (DC3)
5. ऑस्ट्रेलियन सिग्नल्स डायरेक्टोरेट का ऑस्ट्रेलियन साइबर सिक्योरिटी सेंटर (ASD’s ACSC)
6. जर्मनी की फेडरल इंटेलिजेंस सर्विस (BND)
7. जर्मनी का फेडरल ऑफिस फॉर द प्रोटेक्शन ऑफ द कॉन्स्टिट्यूशन (BfV)

एडवाइजरी में साइबर समूह का नाम WaterPlum बताया गया है और उसे Contagious Interview नाम से पहचाने जाने वाले अभियान से जोड़ा गया है।1

नकली रिक्रूटर का जाल कैसे काम करता था

WaterPlum ने रिक्रूटर या संभावित नियोक्ता बनकर IT पेशेवरों को निशाना बनाया। इनके लक्ष्यों में वेब डिज़ाइनर, इंजीनियर और क्रिप्टोकरेंसी, ब्लॉकचेन तथा Web3 क्षेत्रों में काम करने वाले लोग शामिल थे।14

लुभावने संदेश तकनीकी भर्ती के सामान्य चरणों जैसे दिखते थे। किसी व्यक्ति को कथित कोडिंग टास्क भेजा जा सकता था या वीडियो इंटरव्यू के दौरान कॉन्फ्रेंसिंग से जुड़ी कथित समस्या को ठीक करने के लिए कोई फाइल या निर्देश दिए जाते थे। असल में यही फाइलें या निर्देश पीड़ित के डिवाइस में मैलवेयर पहुंचाते थे।15

यानी, यह तरीका सीधे किसी कंपनी के नेटवर्क में सेंध लगाने के बजाय नौकरी के अच्छे अवसर से पैदा होने वाले भरोसे और जल्दबाजी का फायदा उठाकर उम्मीदवार के डिवाइस को शुरुआती प्रवेश-बिंदु बनाता था।

30,000 डिवाइस और 7,000 से ज्यादा क्रिप्टो वॉलेट

एडवाइजरी के अनुसार, दिसंबर 2025 से जुलाई 2026 के बीच WaterPlum ने 100 से अधिक देशों में कम-से-कम 30,000 डिवाइस संक्रमित किए। 7,000 से ज्यादा क्रिप्टोकरेंसी वॉलेट से जुड़े फंड या अकाउंट क्रेडेंशियल्स से समझौता हुआ और अभियान को करीब 1.071 करोड़ डॉलर की क्रिप्टोकरेंसी प्राप्त हुई।14

यह आंकड़ा बताता है कि अभियान ने तकनीकी पेशेवरों को बड़े पैमाने पर निशाना बनाया, लेकिन उसका वित्तीय लक्ष्य बहुत स्पष्ट था। क्रेडेंशियल चोरी खास तौर पर गंभीर है, क्योंकि तत्काल धनराशि न निकलने पर भी समझौता किए गए खाते आगे धोखाधड़ी के लिए इस्तेमाल हो सकते हैं।

फर्जी IT वर्कर अलग भी हैं और जुड़े हुए भी

फर्जी IT-वर्कर योजना में संचालक अपनी असली पहचान और लोकेशन छिपाकर रिमोट कॉन्ट्रैक्ट हासिल करते हैं। अमेरिकी सरकारी मार्गदर्शन में चेतावनी दी गई है कि उत्तर कोरियाई IT वर्कर तीसरे पक्ष के प्रॉक्सी और सहयोगियों का उपयोग कर सकते हैं। कंपनियों से पहचान सत्यापन मजबूत करने और संदिग्ध अकाउंट गतिविधि पहचानने को कहा गया है।17

NPA और FBI के आकलन के मुताबिक WaterPlum से संबंध संगठनात्मक और रणनीतिक है। इसका यह अर्थ नहीं है कि हर मैलवेयर पीड़ित फर्जी वर्कर योजना से जुड़ता है, या हर फर्जी वर्कर WaterPlum अभियान का हिस्सा है।5 व्यावहारिक रूप से दोनों रिमोट-वर्क इकोसिस्टम का अलग-अलग तरीके से फायदा उठाते हैं:

• WaterPlum फर्जी रिक्रूटर और नुकसानदेह इंटरव्यू सामग्री के जरिये संगठन के बाहर मौजूद उम्मीदवारों को निशाना बनाता है।
• फर्जी IT वर्कर भ्रामक पहचान और लोकेशन जानकारी के जरिए वैध दिखने वाले कॉन्ट्रैक्टर या कर्मचारी बनकर संगठन के भीतर प्रवेश चाहते हैं।

पहला तरीका सीधे डिवाइस समझौते और क्रिप्टो चोरी की राह बनाता है; दूसरा लंबे समय की आय और अंदरूनी पहुंच का जोखिम पैदा कर सकता है।

न्यूज़ीलैंड का मामला क्या दिखाता है

न्यूज़ीलैंड के नेशनल साइबर सिक्योरिटी सेंटर की रिपोर्टिंग के अनुसार, एक बड़ी न्यूज़ीलैंड कंपनी ने फर्जी पहचान का इस्तेमाल करने वाले रिमोट IT कॉन्ट्रैक्टर को नियुक्त कर लिया था। कंपनी को शक होने पर कॉन्ट्रैक्टर ने संवेदनशील जानकारी सार्वजनिक करने की धमकी दी।18

यह घटना बताती है कि पहचान धोखाधड़ी सिर्फ वेतन-भुगतान या अनुपालन का मामला नहीं है। धोखे से नियुक्त व्यक्ति के पास फर्जीवाड़ा पकड़ में आने से पहले कॉर्पोरेट सिस्टम, डेटा, क्रेडेंशियल्स या कंपनी के उपकरणों तक पहुंच हो सकती है।

नियोक्ताओं के लिए जरूरी सुरक्षा उपाय

रिमोट तकनीकी पदों के लिए भर्ती, HR, IT, सुरक्षा और खरीद टीमों को समन्वित नियंत्रण बनाने चाहिए। अमेरिकी मार्गदर्शन में पहचान-पत्रों की सख्त जांच, जरूरत के अनुसार आमने-सामने इंटरव्यू और अकाउंट में असामान्य जानकारी दर्ज होने पर संकेत देने वाली प्रणालियों जैसी पहचान-सत्यापन प्रक्रियाओं को मजबूत करने की सलाह दी गई है।17

व्यावहारिक कदम ये हो सकते हैं:

• स्वतंत्र रूप से सत्यापन करें। पहचान दस्तावेज, कार्य अनुभव, रेफरेंस, भुगतान विवरण और बताई गई लोकेशन को केवल उम्मीदवार द्वारा दिए गए स्रोतों के आधार पर स्वीकार न करें।
• लाइव सत्यापन को गंभीरता से लें। लाइव इंटरव्यू करें और पहचान, स्थान या तकनीकी उपस्थिति में असंगतियों की जांच करें; केवल वीडियो कॉल को अंतिम प्रमाण न मानें।
• डिवाइस और एक्सेस पर नियंत्रण रखें। पहचान और कार्य-व्यवस्था की पुष्टि से पहले कंपनी का उपकरण न भेजें। ऑनबोर्डिंग के बाद मैनेज्ड-डिवाइस नियंत्रण और न्यूनतम आवश्यक एक्सेस लागू करें।
• असामान्य एक्सेस पर नजर रखें। अनपेक्षित प्रॉक्सी उपयोग, लॉगिन लोकेशन में विसंगति, असामान्य रिमोट-कंट्रोल व्यवहार और असाधारण डेटा ट्रांसफर की समीक्षा करें।
• एस्केलेशन की तैयारी रखें। पहचान या अंदरूनी पहुंच पर संदेह होने पर सुरक्षा जांच, एक्सेस रद्द करने, कानूनी समीक्षा और उगाही की स्थिति से निपटने की स्पष्ट प्रक्रिया हो।

निष्कर्ष

WaterPlum दिखाता है कि नौकरी का इंटरव्यू मैलवेयर पहुंचाने का माध्यम बन सकता है। उससे जुड़ा फर्जी IT-वर्कर खतरा दिखाता है कि नियुक्ति प्रक्रिया संगठन में घुसपैठ का रास्ता भी बन सकती है। 313 जनरल ब्यूरो से साझा संबंध का आकलन एक मुख्य सुरक्षा संदेश देता है: संस्थाओं को भर्ती प्रक्रिया के दोनों छोर सुरक्षित करने होंगे—नौकरी तलाशने वालों को नकली रिक्रूटर से बचाना और नियोक्ताओं को पहचान-आधारित घुसपैठ से।5