WaterPlum en nep-IT’ers uit Noord-Korea: twee kanten van hetzelfde dreigingsbeeld

WaterPlum, ook bekend als Contagious Interview, en de fraude met Noord-Koreaanse externe IT-werknemers hebben meer gemeen dan misleiding rond vacatures. De Japanse politie (NPA) en de Amerikaanse FBI beoordelen dat WaterPlum-actoren én een deel van de Noord-Koreaanse IT-werknemers onder de 313 General Bureau opereren. Die dienst valt onder het Munitions Industry Department, dat onder het Centraal Comité van de Koreaanse Arbeiderspartij staat.5

Het zijn twee verschillende, maar elkaar aanvullende werkwijzen. WaterPlum richt zich op werkzoekenden: nep-recruiters leveren malware af, verzamelen gevoelige informatie en stelen cryptovaluta. De IT-werkersfraude draait juist om het verkrijgen van echte banen op afstand met verhulde identiteit en locatie. Dat levert inkomsten op en kan een organisatie tegelijk blootstellen aan insider-risico’s.517

Zeven instanties achter de waarschuwing van 18 september

De gezamenlijke cybersecuritywaarschuwing van 18 september kwam van zeven instanties uit Japan, de Verenigde Staten, Australië en Duitsland:1

1. de Japanse National Police Agency (NPA);
2. het Japanse National Cybersecurity Office (NCO);
3. de Amerikaanse Federal Bureau of Investigation (FBI);
4. het Cyber Crime Center (DC3) van het Amerikaanse ministerie van Defensie;
5. het Australian Cyber Security Centre (ACSC) van de Australian Signals Directorate;
6. de Duitse buitenlandse inlichtingendienst Bundesnachrichtendienst (BND);
7. de Duitse binnenlandse veiligheidsdienst Bundesamt für Verfassungsschutz (BfV).

In de waarschuwing wordt de groep WaterPlum genoemd en gekoppeld aan de campagne die doorgaans Contagious Interview heet.1

Zo werkte de nep-recruitmentcampagne

WaterPlum deed zich voor als recruiter of potentiële werkgever en zocht contact met IT-professionals, onder wie webdesigners, ingenieurs en specialisten in crypto, blockchain en Web3.14

De lokmiddelen leken op gewone onderdelen van een technische sollicitatieprocedure. Slachtoffers kregen bijvoorbeeld een vermeende programmeeropdracht, of tijdens een videogesprek de instructie om een zogenoemde oplossing voor videobelproblemen te installeren. In werkelijkheid leverden de bestanden of instructies malware af op het apparaat van de werkzoekende.15

Daarmee verandert een normaal sollicitatiecontact in een ingang voor een aanval. In plaats van rechtstreeks een bedrijf binnen te dringen, maken de daders misbruik van het vertrouwen én de tijdsdruk rond een aantrekkelijke vacature.

Minstens 30.000 besmette apparaten

Volgens de waarschuwing besmette WaterPlum van december 2025 tot en met juli 2026 minstens 30.000 apparaten in meer dan 100 landen. Ook werden tegoeden of accountgegevens gekoppeld aan meer dan 7.000 cryptowallets gecompromitteerd. De operatie ontving ongeveer US$ 10,71 miljoen aan cryptovaluta.14

De cijfers wijzen op een campagne met een groot bereik onder technische professionals en een duidelijke financiële doelstelling. Gestolen inloggegevens blijven bovendien waardevol, ook wanneer er niet meteen geld kan worden weggesluisd: ze kunnen later voor verdere fraude worden gebruikt.

Frauduleuze IT-werknemers: een andere, verwante dreiging

Bij de fraude met IT-werknemers verbergen operatieven hun werkelijke identiteit en locatie om opdrachten op afstand te krijgen. Overheidsrichtlijnen waarschuwen dat Noord-Koreaanse IT-werknemers daarbij tussenpersonen en facilitators kunnen inzetten. Bedrijven wordt geadviseerd identiteitscontroles te verscherpen en verdachte accountactiviteit te herkennen.17

De koppeling met WaterPlum is volgens de NPA en FBI organisatorisch en strategisch. Dat betekent nadrukkelijk niet dat iedere malware-slachtoffer in de werknemersfraude belandt, of dat iedere frauduleuze werknemer aan WaterPlum deelneemt.5 De praktische overeenkomst: beide misbruiken de infrastructuur rond werken op afstand.

• WaterPlum valt kandidaten van buiten de organisatie aan via nagemaakte recruiters en kwaadaardige sollicitatiematerialen.
• Frauduleuze IT-werknemers proberen als ogenschijnlijk legitieme zzp’er, opdrachtnemer of werknemer binnen te komen met misleidende gegevens over identiteit en locatie.

De ene aanpak leidt direct tot compromittering en cryptodiefstal. De andere kan langdurige inkomsten én toegang tot interne systemen opleveren.

Wat de zaak in Nieuw-Zeeland laat zien

De National Cyber Security Centre van Nieuw-Zeeland beschreef een grote onderneming die een externe IT-opdrachtnemer met een valse identiteit had ingehuurd. Toen het bedrijf argwaan kreeg, dreigde de opdrachtnemer gevoelige informatie openbaar te maken.18

De zaak onderstreept dat identiteitsfraude meer is dan een kwestie van salarisadministratie of naleving van regels. Een frauduleus aangenomen werknemer kan al toegang hebben gekregen tot bedrijfsnetwerken, data, inloggegevens of verstrekte apparatuur voordat de misleiding aan het licht komt.

Welke maatregelen werkgevers moeten nemen

Recruitment, HR, IT, security en inkoop doen er goed aan de controles rond externe technische functies gezamenlijk in te richten. Amerikaanse overheidsrichtlijnen noemen onder meer strikte beoordeling van identiteitsdocumenten, persoonlijke gesprekken waar passend en systemen die afwijkende accountgegevens signaleren.17

Praktische maatregelen zijn:

• Controleer onafhankelijk. Verifieer identiteitsdocumenten, werkverleden, referenties, betaalgegevens en opgegeven locatie via bronnen die niet uitsluitend door de sollicitant zijn aangeleverd.
• Maak live-controle betekenisvol. Voer livegesprekken en onderzoek inconsistenties in identiteit, locatie of technische aanwezigheid. Een videogesprek alleen is geen sluitend bewijs.
• Beperk apparatuur en toegang. Verstuur geen bedrijfsapparatuur voordat identiteit en werkafspraken zijn gevalideerd. Pas daarna beheerde apparaten en het least-privilege-principe toe.
• Let op afwijkend gedrag. Controleer onverwacht proxygebruik, niet-passende inloglocaties, ongebruikelijk gebruik van remote-controlsoftware en abnormale dataverplaatsingen.
• Leg escalatie vooraf vast. Zorg voor een procedure voor veiligheidsonderzoek, intrekken van toegang, juridische beoordeling en afhandeling van afpersing als er twijfel ontstaat over identiteit of insider-toegang.

De kern

WaterPlum laat zien dat een sollicitatiegesprek een kanaal voor malwareverspreiding kan zijn. De fraude met externe IT-werknemers laat zien dat ook het aannemen van personeel een route naar binnendringen kan worden. De gedeelde toeschrijving aan de 313 General Bureau maakt de verdedigingsles helder: organisaties moeten beide kanten van het wervingsproces beveiligen — werkzoekenden tegen nep-recruiters en werkgevers tegen infiltratie via valse identiteiten.5