WaterPlum dan pekerja IT palsu Korea Utara: Dua ancaman di sebalik proses pengambilan pekerja

WaterPlum, yang turut dikenali sebagai Contagious Interview, dan kegiatan pekerja IT jarak jauh palsu Korea Utara mempunyai kaitan organisasi yang penting. Menurut penilaian Agensi Polis Kebangsaan Jepun (NPA) dan FBI, pelaku WaterPlum serta sebahagian pekerja IT Korea Utara beroperasi di bawah Biro Am 313, yang berada dalam Jabatan Industri Munitions di bawah Jawatankuasa Pusat Parti Pekerja Korea.5

Namun, kedua-duanya memainkan peranan berbeza:

• WaterPlum memperdaya pencari kerja menerusi identiti perekrut atau majikan palsu untuk memasang perisian hasad, mencuri maklumat sulit dan mengambil mata wang kripto.
• Skim pekerja IT palsu menggunakan identiti serta lokasi yang disembunyikan untuk memperoleh kerja jarak jauh yang sah, menjana pendapatan dan berpotensi memberi akses orang dalam kepada organisasi sasaran.517

Maksudnya, proses pengambilan pekerja boleh dieksploitasi dari kedua-dua arah: calon boleh menjadi mangsa temu duga palsu, dan majikan pula boleh menyerap masuk pekerja yang menggunakan identiti palsu.

Tujuh agensi di sebalik nasihat keselamatan siber 18 September

Nasihat bersama pada 18 September dikeluarkan oleh tujuh agensi dari Jepun, Amerika Syarikat, Australia dan Jerman:1

1. Agensi Polis Kebangsaan Jepun (NPA)
2. Pejabat Keselamatan Siber Kebangsaan Jepun (NCO)
3. Biro Siasatan Persekutuan AS (FBI)
4. Pusat Jenayah Siber Jabatan Pertahanan AS (DC3)
5. Pusat Keselamatan Siber Australia, di bawah Direktorat Isyarat Australia (ASD's ACSC)
6. Perkhidmatan Perisikan Persekutuan Jerman (BND)
7. Pejabat Persekutuan Jerman bagi Perlindungan Perlembagaan (BfV)

Penilaian itu menamakan WaterPlum sebagai kumpulan pelaku siber dan mengaitkannya dengan kempen yang lazim dipanggil Contagious Interview.1

Bagaimana temu duga kerja dijadikan perangkap malware

WaterPlum menyamar sebagai perekrut atau bakal majikan dan menyasarkan profesional IT, termasuk pereka web, jurutera serta pekerja dalam bidang kripto, rantaian blok dan Web3.14

Umpannya dibuat supaya kelihatan seperti langkah biasa dalam proses pengambilan kerja teknikal. Mangsa mungkin menerima tugasan pengekodan yang kononnya perlu disiapkan, atau diminta memasang “pembaikan” untuk perisian sidang video ketika temu duga. Sebenarnya, fail atau arahan itu digunakan untuk memasang perisian hasad pada peranti pencari kerja.15

Taktik ini mengubah interaksi pengambilan kerja yang nampak normal menjadi laluan awal untuk pencerobohan. Pelaku tidak semestinya perlu menyerang syarikat secara terus; mereka mengambil kesempatan atas kepercayaan dan rasa terdesak calon yang melihat peluang pekerjaan menarik.

Skala serangan: 30,000 peranti dan kira-kira AS$10.71 juta

Dari Disember 2025 hingga Julai 2026, WaterPlum dinilai telah menjangkiti sekurang-kurangnya 30,000 peranti di lebih 100 negara. Dana atau kelayakan akaun yang dikaitkan dengan lebih 7,000 dompet mata wang kripto terjejas, manakala operasi itu menerima kira-kira AS$10.71 juta dalam kripto.14

Angka ini menggambarkan gabungan sasaran luas terhadap profesional teknikal dengan matlamat kewangan yang khusus. Kecurian kelayakan akaun juga berisiko berpanjangan kerana akaun yang dikompromi boleh digunakan untuk penipuan susulan, walaupun pemindahan wang tidak dapat dibuat serta-merta.

Mengapa pekerja IT palsu ialah ancaman berasingan tetapi berkaitan

Skim pekerja IT palsu bergantung pada individu yang menyembunyikan identiti dan lokasi sebenar untuk memenangi kontrak kerja jarak jauh. Panduan kerajaan AS memberi amaran bahawa pekerja IT Korea Utara diketahui menggunakan proksi pihak ketiga dan pemudah cara; syarikat pula disaran memperkukuh pengesahan identiti serta mengesan aktiviti akaun mencurigakan.17

Hubungan antara skim ini dan WaterPlum adalah dari segi organisasi serta strategi, menurut penilaian NPA dan FBI. Ia bukan bermakna setiap mangsa malware akan terlibat dalam skim pekerja, atau setiap pekerja palsu menyertai operasi WaterPlum.5

Perbezaannya boleh dilihat dengan mudah:

• WaterPlum menyerang calon dari luar organisasi melalui perekrut palsu dan bahan temu duga berniat jahat.
• Pekerja IT palsu cuba memasuki organisasi sebagai kontraktor atau pekerja yang kelihatan sah, menggunakan maklumat identiti dan lokasi yang mengelirukan.

Yang pertama boleh membawa kepada pencerobohan terus dan kecurian kripto. Yang kedua pula boleh menyediakan aliran pendapatan jangka lebih panjang serta risiko akses orang dalam.

Kes New Zealand: identiti palsu boleh berubah menjadi ugutan

Pusat Keselamatan Siber Kebangsaan New Zealand melaporkan sebuah perniagaan besar di negara itu telah mengambil seorang kontraktor IT jarak jauh menggunakan identiti palsu. Apabila syarikat tersebut mula curiga, kontraktor berkenaan mengugut untuk mendedahkan maklumat sensitif.18

Kes itu menunjukkan penipuan identiti bukan semata-mata isu pentadbiran gaji atau pematuhan. Seseorang yang diambil bekerja secara palsu mungkin telah memperoleh akses kepada sistem korporat, data, kelayakan akaun atau peralatan milik syarikat sebelum penyamaran dikesan.

Langkah perlindungan untuk majikan

Pasukan pengambilan pekerja, sumber manusia, IT, keselamatan dan perolehan perlu menyelaras kawalan bagi jawatan teknikal jarak jauh. Panduan kerajaan AS secara khusus menggesa pengesahan identiti yang lebih ketat, termasuk semakan rapi dokumen pengenalan, temu duga bersemuka jika sesuai, dan sistem untuk menandai maklumat akaun yang luar biasa.17

Antara langkah praktikal ialah:

• Sahkan secara bebas. Periksa dokumen identiti, sejarah kerja, rujukan, maklumat pembayaran dan lokasi yang didakwa melalui sumber yang bukan semata-mata diberikan oleh pemohon.
• Jadikan pengesahan langsung benar-benar bermakna. Jalankan temu duga secara langsung dan siasat percanggahan pada identiti, lokasi atau kehadiran teknikal; panggilan video sahaja bukan bukti muktamad.
• Kawal penghantaran peranti dan akses. Jangan hantar komputer syarikat sebelum identiti serta aturan kerja disahkan. Selepas pekerja diterima, gunakan peranti terurus dan akses berasaskan keperluan minimum.
• Pantau corak akses luar biasa. Semak penggunaan proksi yang tidak dijangka, geografi log masuk yang tidak konsisten, tingkah laku kawalan jauh yang ganjil dan pemindahan data luar biasa.
• Sediakan laluan eskalasi. Wujudkan prosedur jelas untuk siasatan keselamatan, pembatalan akses, semakan undang-undang dan tindak balas terhadap ugutan jika timbul kebimbangan tentang identiti atau akses orang dalam.

Kesimpulan

WaterPlum membuktikan bahawa temu duga kerja boleh dijadikan mekanisme penghantaran malware. Ancaman pekerja IT palsu pula menunjukkan bahawa pengambilan pekerja sendiri boleh menjadi laluan pencerobohan.

Atribusi bersama kepada Biro Am 313 menegaskan satu keutamaan pertahanan: organisasi perlu melindungi kedua-dua sisi proses pekerjaan — membantu pencari kerja mengenal pasti perekrut palsu, dan memastikan majikan tidak ditembusi melalui identiti palsu.5