WaterPlum dan Pekerja TI Palsu Korea Utara: Dua Ancaman dari Satu Biro

WaterPlum—yang juga dikenal sebagai Contagious Interview—dan operasi pekerja TI jarak jauh palsu dari Korea Utara terhubung bukan semata karena sama-sama memanfaatkan dunia kerja. Penilaian dari otoritas Jepang dan Amerika Serikat menyebut aktor WaterPlum serta sebagian pekerja TI Korea Utara beroperasi di bawah 313 General Bureau. Biro ini berada dalam Munitions Industry Department, yang tunduk kepada Komite Sentral Partai Pekerja Korea.5

Keduanya menjalankan fungsi yang berbeda, tetapi saling melengkapi. WaterPlum memakai rekrutmen palsu untuk membobol perangkat pencari kerja, mencuri data sensitif, dan mengambil aset kripto. Sementara itu, skema pekerja TI palsu menggunakan identitas serta lokasi yang disamarkan untuk mendapatkan pekerjaan remote yang sah—menghasilkan pendapatan dan berpotensi memberi akses orang dalam ke organisasi target.517

Siapa saja yang menerbitkan peringatan 18 September?

Peringatan keamanan siber bersama pada 18 September diterbitkan oleh tujuh lembaga dari Jepang, Amerika Serikat, Australia, dan Jerman:1

1. National Police Agency Jepang (NPA)
2. National Cybersecurity Office Jepang (NCO)
3. Federal Bureau of Investigation AS (FBI)
4. Department of Defense Cyber Crime Center AS (DC3)
5. Australian Cyber Security Centre milik Australian Signals Directorate (ASD’s ACSC)
6. Federal Intelligence Service Jerman (BND)
7. Federal Office for the Protection of the Constitution Jerman (BfV)

Peringatan tersebut menyebut WaterPlum sebagai kelompok pelaku siber dan mengaitkannya dengan kampanye yang umum disebut Contagious Interview.1

Modus rekruter palsu: wawancara kerja menjadi jalur infeksi

WaterPlum menyamar sebagai rekruter atau calon pemberi kerja, lalu membidik profesional TI, termasuk desainer web, engineer, serta pekerja di bidang kripto, blockchain, dan Web3.14

Umpannya dibuat menyerupai tahap normal dalam rekrutmen teknis. Korban dapat menerima tugas coding yang tampak resmi, atau diminta memasang “perbaikan” aplikasi konferensi video saat wawancara. Berkas maupun instruksi itu sebenarnya dirancang untuk menanamkan malware di perangkat pencari kerja.15

Dengan pola ini, percakapan rekrutmen yang seharusnya rutin diubah menjadi pintu masuk serangan. Pelaku tidak perlu langsung mencoba membobol sistem perusahaan; mereka mengeksploitasi rasa percaya dan urgensi yang muncul saat seseorang mendapat peluang kerja menarik.

Skala serangan dan dampaknya

Menurut penilaian dalam peringatan tersebut, sejak Desember 2025 hingga Juli 2026, WaterPlum menginfeksi sedikitnya 30.000 perangkat di lebih dari 100 negara. Dana atau kredensial akun yang terkait dengan lebih dari 7.000 dompet kripto berhasil dikompromikan, sementara operasi ini menerima sekitar US$10,71 juta dalam aset kripto.14

Angka itu menunjukkan kampanye dengan jangkauan luas terhadap tenaga teknis, namun dengan sasaran finansial yang jelas. Pencurian kredensial juga berisiko panjang: akun yang sudah dikuasai bisa dipakai untuk penipuan lanjutan, bahkan bila transfer dana tidak langsung terjadi.

Mengapa pekerja TI palsu adalah ancaman berbeda, tetapi berkaitan?

Skema pekerja TI palsu mengandalkan operatif yang menyembunyikan identitas dan lokasi sebenarnya untuk memenangkan kontrak kerja jarak jauh. Panduan pemerintah memperingatkan bahwa pekerja TI Korea Utara dapat memakai perantara atau fasilitator pihak ketiga. Perusahaan didorong memperkuat verifikasi identitas dan mendeteksi aktivitas akun yang tidak wajar.17

Keterkaitan dengan WaterPlum bersifat organisasi dan strategis menurut penilaian NPA dan FBI. Ini bukan berarti setiap korban malware kemudian menjadi bagian dari skema pekerja palsu, atau setiap pekerja palsu terlibat langsung dalam operasi WaterPlum.5

Namun, keduanya memanfaatkan ekosistem kerja jarak jauh dari dua arah:

• WaterPlum menyerang kandidat dari luar organisasi melalui rekruter palsu dan materi wawancara berbahaya.
• Pekerja TI palsu berupaya masuk ke organisasi sebagai kontraktor atau karyawan yang tampak sah, dengan identitas dan informasi lokasi yang menipu.

Yang pertama menghasilkan kompromi langsung dan pencurian kripto. Yang kedua dapat menciptakan aliran pendapatan jangka panjang sekaligus risiko akses orang dalam.

Pelajaran dari kasus Selandia Baru

Laporan mengenai National Cyber Security Centre Selandia Baru mengungkap sebuah perusahaan besar di negara itu mempekerjakan kontraktor TI jarak jauh yang menggunakan identitas palsu. Saat perusahaan mulai curiga, kontraktor tersebut mengancam akan membocorkan informasi sensitif.18

Kasus ini menegaskan bahwa penipuan identitas bukan sekadar persoalan payroll atau kepatuhan administrasi. Pekerja yang direkrut secara curang dapat lebih dahulu memperoleh akses ke sistem perusahaan, data, kredensial, atau perangkat kerja sebelum penyamarannya terbongkar.

Pengamanan yang perlu diprioritaskan perusahaan

Tim rekrutmen, SDM, TI, keamanan, dan pengadaan perlu bekerja bersama untuk mengamankan perekrutan tenaga teknis jarak jauh. Panduan pemerintah AS secara khusus mendorong verifikasi identitas yang lebih kuat, termasuk pemeriksaan ketat dokumen identitas, wawancara langsung jika sesuai, serta sistem untuk menandai informasi tidak lazim pada akun.17

Langkah praktis yang dapat diterapkan meliputi:

• Verifikasi secara independen. Periksa dokumen identitas, riwayat kerja, referensi, data pembayaran, dan lokasi yang diklaim melalui sumber yang tidak hanya diberikan kandidat.
• Pastikan verifikasi langsung benar-benar bermakna. Lakukan wawancara langsung dan selidiki ketidaksesuaian terkait identitas, lokasi, atau keberadaan teknis kandidat; jangan menganggap panggilan video saja sebagai bukti final.
• Kendalikan pengiriman perangkat dan akses. Jangan mengirim perangkat perusahaan sebelum identitas dan pengaturan kerja tervalidasi. Setelah pekerja masuk, gunakan perangkat terkelola dan prinsip akses minimum.
• Pantau akses yang menyimpang. Tinjau penggunaan proxy yang tak terduga, lokasi login yang tidak konsisten, pola kendali jarak jauh yang ganjil, dan perpindahan data tidak normal.
• Siapkan jalur eskalasi. Tetapkan prosedur untuk investigasi keamanan, pencabutan akses, peninjauan hukum, dan respons pemerasan bila muncul dugaan penipuan identitas atau risiko akses orang dalam.

Intinya

WaterPlum menunjukkan bahwa wawancara kerja dapat dijadikan sarana penyebaran malware. Ancaman pekerja TI palsu memperlihatkan bahwa proses perekrutan juga dapat menjadi jalur penyusupan ke dalam perusahaan. Atribusi bersama ke 313 General Bureau menggarisbawahi satu hal: organisasi perlu melindungi dua sisi proses ketenagakerjaan—pencari kerja dari rekruter palsu dan perusahaan dari infiltrasi berbasis identitas.5