WaterPlum i fałszywi pracownicy IT: jak łączą się dwa północnokoreańskie schematy

WaterPlum, znany także jako Contagious Interview, oraz proceder fałszywych zdalnych pracowników IT z Korei Północnej łączy coś więcej niż wykorzystywanie procesu zatrudnienia. Japońska Narodowa Agencja Policji (NPA) i FBI oceniają, że operatorzy WaterPlum oraz część północnokoreańskich pracowników IT działa pod egidą 313. Biura Generalnego. Jednostka ta należy do Departamentu Przemysłu Zbrojeniowego, podległego Komitetowi Centralnemu Partii Pracy Korei.5

To dwa różne, lecz uzupełniające się rodzaje działalności. WaterPlum wykorzystuje pozorną rekrutację, aby przejąć urządzenia osób poszukujących pracy, pozyskiwać wrażliwe informacje i kraść kryptowaluty. Z kolei oszustwo z fałszywymi pracownikami IT polega na ukrywaniu prawdziwej tożsamości i lokalizacji w celu zdobycia legalnej pracy zdalnej. Może ono przynosić dochody, ale też stwarza ryzyko, że osoba działająca pod fałszywą tożsamością uzyska dostęp do wnętrza organizacji.517

Siedem instytucji stojących za ostrzeżeniem z 18 września

Wspólne ostrzeżenie cyberbezpieczeństwa z 18 września wydało siedem instytucji z Japonii, USA, Australii i Niemiec:1

1. japońska Narodowa Agencja Policji (NPA),
2. japońskie Narodowe Biuro Cyberbezpieczeństwa (NCO),
3. amerykańskie Federalne Biuro Śledcze (FBI),
4. amerykańskie Centrum ds. Cyberprzestępczości Departamentu Obrony (DC3),
5. Australijskie Centrum Cyberbezpieczeństwa (ACSC) działające w strukturze Australijskiej Dyrekcji Sygnałów (ASD),
6. niemiecka Federalna Służba Wywiadowcza (BND),
7. niemiecki Federalny Urząd Ochrony Konstytucji (BfV).

W ocenie wskazano grupę WaterPlum i jej związek z kampanią powszechnie określaną jako Contagious Interview.1

Jak działała pułapka na kandydatów

Operatorzy WaterPlum podszywali się pod rekruterów lub potencjalnych pracodawców. Celowali przede wszystkim w specjalistów IT: projektantów stron, inżynierów oraz osoby pracujące przy kryptowalutach, blockchainie i Web3.14

Wabiki przypominały zwyczajne etapy technicznej rekrutacji. Ofiara mogła dostać rzekome zadanie programistyczne albo podczas rozmowy wideo otrzymać polecenie zainstalowania domniemanej poprawki do oprogramowania konferencyjnego. W rzeczywistości pliki lub instrukcje prowadziły do zainstalowania złośliwego oprogramowania.15

Mechanizm zamienia więc typową interakcję rekrutacyjną w kanał pierwszego dostępu do urządzenia. Zamiast od razu atakować firmę, sprawcy wykorzystują zaufanie i presję czasu towarzyszące obiecującej ofercie pracy.

Skala kampanii: 30 tys. urządzeń i 10,71 mln dolarów

Według oceny zawartej w ostrzeżeniu od grudnia 2025 r. do lipca 2026 r. WaterPlum zainfekował co najmniej 30 tys. urządzeń w ponad 100 państwach. Przejęto środki lub dane dostępowe powiązane z ponad 7 tys. portfeli kryptowalutowych, a do operatorów trafiło około 10,71 mln dolarów w kryptowalutach.14

To połączenie szerokiego targetowania osób technicznych z wyraźnym celem finansowym. Kradzież danych logowania może mieć długotrwałe skutki: nawet jeśli natychmiastowy transfer środków nie jest możliwy, przejęte konta mogą posłużyć do dalszych oszustw.

Fałszywy pracownik IT: odrębne zagrożenie, ten sam ekosystem

W schemacie fałszywych pracowników IT operatorzy ukrywają rzeczywistą tożsamość i miejsce pobytu, aby zdobywać zdalne kontrakty. Władze USA ostrzegają, że północnokoreańscy pracownicy IT korzystali z pośredników i osób wspierających proceder; firmom zalecają mocniejszą weryfikację tożsamości oraz wykrywanie podejrzanej aktywności na kontach.17

Związek z WaterPlum ma — według oceny NPA i FBI — charakter organizacyjny i strategiczny. Nie oznacza to automatycznie, że każda osoba poszkodowana przez malware trafia później do schematu fałszywych pracowników ani że każdy taki pracownik uczestniczy w operacjach WaterPlum.5 Praktyczne podobieństwo jest jednak wyraźne: oba schematy wykorzystują realia pracy zdalnej.

• WaterPlum atakuje kandydatów z zewnątrz organizacji, podszywając się pod rekruterów i dostarczając szkodliwe materiały „rekrutacyjne”.
• Fałszywi pracownicy IT próbują wejść do organizacji jako pozornie legalni kontraktorzy lub pracownicy, posługując się nieprawdziwymi danymi o tożsamości i lokalizacji.

Pierwszy model prowadzi do bezpośredniego przejęcia urządzeń i kradzieży kryptowalut. Drugi może zapewniać dłuższy strumień przychodów oraz tworzyć ryzyko dostępu od środka.

Czego uczy przypadek z Nowej Zelandii

Nowozelandzkie Narodowe Centrum Cyberbezpieczeństwa opisało przypadek dużej firmy, która zatrudniła zdalnego kontraktora IT działającego pod fałszywą tożsamością. Gdy przedsiębiorstwo nabrało podejrzeń, kontraktor zagroził ujawnieniem wrażliwych informacji.18

Przypadek ten pokazuje, że oszustwo tożsamościowe nie jest wyłącznie problemem działu kadr, listy płac czy zgodności formalnej. Osoba zatrudniona pod fałszywymi danymi może uzyskać dostęp do systemów firmowych, danych, poświadczeń lub służbowego sprzętu, zanim oszustwo zostanie wykryte.

Zabezpieczenia, które powinny wdrożyć firmy

Przy zdalnych stanowiskach technicznych zespoły rekrutacji, HR, IT, bezpieczeństwa i zakupów powinny działać wspólnie. Amerykańskie wytyczne wskazują wprost na potrzebę wzmocnienia weryfikacji tożsamości — w tym rygorystycznego sprawdzania dokumentów i, gdy jest to zasadne, rozmów na żywo — oraz stosowania systemów wykrywających anomalie w danych kont.17

W praktyce warto:

• Weryfikować niezależnie. Potwierdzać dokumenty tożsamości, historię zatrudnienia, referencje, dane płatnicze i deklarowaną lokalizację w źródłach innych niż wskazane wyłącznie przez kandydata.
• Nadać realną wagę rozmowie na żywo. Sprawdzać nieścisłości dotyczące tożsamości, miejsca pracy lub technicznej obecności; sama rozmowa wideo nie powinna być traktowana jako ostateczny dowód.
• Kontrolować sprzęt i uprawnienia. Nie wysyłać firmowych urządzeń przed potwierdzeniem tożsamości i warunków współpracy; po zatrudnieniu stosować zarządzane urządzenia oraz zasadę minimalnych uprawnień.
• Monitorować anomalie dostępu. Analizować nieoczekiwane użycie pośredników sieciowych, niespójną geografię logowań, nietypowe zdalne sterowanie oraz nadzwyczajny transfer danych.
• Przygotować ścieżkę eskalacji. Z góry ustalić procedury dochodzenia bezpieczeństwa, odebrania dostępu, oceny prawnej i reakcji na szantaż, jeśli pojawią się podejrzenia dotyczące tożsamości lub dostępu wewnętrznego.

Najważniejszy wniosek

WaterPlum pokazuje, że rozmowa kwalifikacyjna może stać się mechanizmem dostarczenia malware. Powiązany proceder fałszywych pracowników IT dowodzi natomiast, że samo zatrudnienie może być drogą do naruszenia bezpieczeństwa. Wspólne przypisanie obu zjawisk do 313. Biura Generalnego prowadzi do prostego wniosku: organizacje powinny zabezpieczać obie strony procesu zatrudnienia — chronić kandydatów przed fałszywymi rekruterami i chronić pracodawców przed infiltracją opartą na fałszywej tożsamości.5