WaterPlum og Nord-Koreas falske IT-arbeidere: To trusler fra samme apparat

WaterPlum – også kjent som Contagious Interview – og Nord-Koreas svindel med falske IT-arbeidere på hjemmekontor har mer til felles enn at begge misbruker arbeidsmarkedet. Japanske og amerikanske myndigheter vurderer at WaterPlum-aktører og enkelte nordkoreanske IT-arbeidere opererer under 313. generalbyrå, som ligger under ammunisjonsindustriavdelingen og er underlagt sentralkomiteen i Koreas arbeiderparti.5

Virksomhetene har ulike, men utfyllende formål. WaterPlum bruker falsk rekruttering for å kompromittere jobbsøkere, hente ut sensitiv informasjon og stjele kryptovaluta. IT-arbeiderordningen bruker derimot falske identiteter og skjult geografisk plassering for å få reelle fjernoppdrag. Det kan gi inntekter og samtidig plassere en potensiell innsider hos en arbeidsgiver.517

Syv myndigheter stod bak advarselen 18. september

Den felles sikkerhetsadvarselen 18. september ble utstedt av sju etater fra Japan, USA, Australia og Tyskland:1

1. Japans nasjonale politimyndighet (NPA)
2. Japans nasjonale cybersikkerhetskontor (NCO)
3. USAs føderale etterforskningsbyrå (FBI)
4. Det amerikanske forsvarsdepartementets Cyber Crime Center (DC3)
5. Australian Cyber Security Centre, under Australian Signals Directorate (ASD's ACSC)
6. Tysklands føderale etterretningstjeneste (BND)
7. Tysklands føderale kontor for vern av grunnloven (BfV)

Advarselen identifiserer WaterPlum som en nordkoreansk cyberaktørgruppe og knytter den til kampanjen som vanligvis kalles Contagious Interview.1

Slik ble jobbintervjuet gjort om til en angrepsvei

WaterPlum utga seg for å være rekrutterere eller mulige arbeidsgivere og gikk etter IT-folk, blant annet webdesignere, ingeniører og personer innen kryptovaluta, blokkjedeteknologi og Web3.14

Lokkemidlene lignet vanlige deler av en teknisk ansettelsesprosess. Et mål kunne få tilsendt en angivelig programmeringsoppgave, eller bli bedt under et videointervju om å installere en påstått feilretting for videokonferanse. I stedet førte filer eller instruksjoner til at skadevare ble installert på jobbsøkerens enhet.15

Metoden gjør en ordinær rekrutteringsdialog til en inngangsport for angrep. I stedet for å bryte seg direkte inn i en virksomhet, utnytter aktørene tilliten og tidspresset som kan oppstå når en attraktiv jobbmulighet dukker opp.

Minst 30 000 infiserte enheter

Ifølge vurderingen infiserte WaterPlum minst 30 000 enheter i over 100 land fra desember 2025 til juli 2026. Midler eller kontotilgangsdata knyttet til mer enn 7 000 kryptolommebøker ble kompromittert, og operasjonen mottok kryptovaluta til en verdi av omtrent 10,71 millioner dollar.14

Tallene viser en kampanje med bred målretting mot tekniske fagmiljøer, men med et tydelig økonomisk motiv. Stjålne innloggingsopplysninger kan dessuten åpne for ny svindel, selv i tilfeller der en umiddelbar overføring av penger ikke lar seg gjennomføre.

Falske IT-arbeidere er en beslektet, men egen risiko

Ordningen med falske IT-arbeidere bygger på at operatører skjuler hvem de er og hvor de befinner seg for å vinne fjernoppdrag. Offentlig veiledning advarer om at nordkoreanske IT-arbeidere har brukt tredjeparter og tilretteleggere, og oppfordrer virksomheter til å styrke identitetskontroll og oppdage mistenkelig kontoaktivitet.17

Koblingen til WaterPlum er organisatorisk og strategisk, ifølge NPA og FBI. Den er ikke bevis for at hvert skadevareoffer inngår i arbeidertiltaket, eller at alle falske IT-arbeidere deltar i WaterPlum-operasjoner.5 Den praktiske fellesnevneren er at begge utnytter infrastrukturen rundt fjernarbeid:

• WaterPlum angriper kandidater utenfra gjennom falske rekrutterere og infisert intervjumateriale.
• Falske IT-arbeidere forsøker å komme inn i organisasjoner som tilsynelatende legitime konsulenter eller ansatte, med villedende identitets- og posisjonsopplysninger.

Den ene metoden kan gi direkte kompromittering og kryptotyveri. Den andre kan gi en mer langsiktig inntektsstrøm og risiko for tilgang fra innsiden.

Saken fra New Zealand viser konsekvensene

New Zealands National Cyber Security Centre omtalte en stor newzealandsk virksomhet som ansatte en IT-konsulent på fjernarbeid under falsk identitet. Da selskapet ble mistenksomt, truet konsulenten med å offentliggjøre sensitiv informasjon.18

Saken understreker at identitetssvindel ikke bare er et spørsmål for lønn, HR eller regelverk. En person som er ansatt på falskt grunnlag, kan allerede ha fått tilgang til systemer, data, innloggingsopplysninger eller virksomhetsutstyr før forholdet avdekkes.

Tiltak arbeidsgivere bør prioritere

Rekruttering, HR, IT, sikkerhet og innkjøp bør samordne kontrollene for tekniske fjernroller. Amerikanske myndigheter anbefaler blant annet strengere kontroll av ID-dokumenter, fysiske intervjuer der det er hensiktsmessig, og systemer som fanger opp uvanlige eller avvikende opplysninger i kontoer.17

Praktiske tiltak omfatter:

• Bekreft opplysninger uavhengig. Kontroller ID, arbeidshistorikk, referanser, betalingsdetaljer og oppgitt arbeidssted via kilder som ikke bare kommer fra søkeren.
• Gjør direktesjekker reelle. Gjennomfør direkte intervjuer, og undersøk motstridende opplysninger om identitet, sted eller teknisk tilstedeværelse. En videosamtale alene er ikke avgjørende bevis.
• Styr utlevering av utstyr og tilganger. Unngå å sende virksomhetsutstyr før identitet og arbeidsforhold er verifisert. Bruk administrerte enheter og minst mulig privilegert tilgang etter oppstart.
• Se etter avvikende tilgang. Følg opp uventet bruk av proxyer, innlogginger fra sprikende geografiske steder, uvanlig fjernstyring og unormal dataflytting.
• Ha en plan for eskalering. Etabler en tydelig prosess for sikkerhetsundersøkelse, stenging av tilgang, juridisk vurdering og håndtering av utpressing dersom det oppstår mistanke om identitetssvindel eller innsidertilgang.

Hovedpoenget

WaterPlum viser at et jobbintervju kan brukes til å levere skadevare. Trusselen fra falske IT-arbeidere viser at selve ansettelsen også kan være en vei inn i virksomheten. Den felles koblingen til 313. generalbyrå peker derfor på et sentralt forsvarsbehov: Organisasjoner må sikre begge sider av ansettelsesprosessen – både beskytte jobbsøkere mot falske rekrutterere og beskytte arbeidsgivere mot identitetsbasert infiltrasjon.5