WaterPlum e falsos profissionais de TI: como as duas operações se conectam

WaterPlum — também chamado de Contagious Interview — e o esquema norte-coreano de falsos trabalhadores remotos de TI têm uma ligação que vai além do uso de fraudes relacionadas a emprego. A Polícia Nacional do Japão (NPA) e o FBI avaliam que integrantes do WaterPlum e parte desses trabalhadores de TI atuam sob o 313º Bureau Geral, dentro do Departamento da Indústria de Munições, subordinado ao Comitê Central do Partido dos Trabalhadores da Coreia.5

São operações distintas, mas complementares. O WaterPlum usa falsas vagas e recrutadores para comprometer computadores de quem procura emprego, coletar informações sensíveis e roubar criptomoedas. Já o esquema de trabalhadores de TI busca obter empregos remotos reais com identidades e localizações ocultadas, gerando receita e podendo colocar uma pessoa com acesso interno dentro de uma empresa.517

Quais foram as sete agências do alerta de 18 de setembro

O alerta conjunto de cibersegurança, divulgado em 18 de setembro, foi assinado por sete órgãos do Japão, Estados Unidos, Austrália e Alemanha:1

1. Agência Nacional de Polícia do Japão (NPA)
2. Escritório Nacional de Cibersegurança do Japão (NCO)
3. Federal Bureau of Investigation dos Estados Unidos (FBI)
4. Centro de Crimes Cibernéticos do Departamento de Defesa dos EUA (DC3)
5. Centro Australiano de Cibersegurança, ligado à Diretoria de Sinais da Austrália (ASD’s ACSC)
6. Serviço Federal de Inteligência da Alemanha (BND)
7. Escritório Federal para a Proteção da Constituição da Alemanha (BfV)

A avaliação identifica o grupo WaterPlum e sua associação com a campanha conhecida como Contagious Interview.1

Como funcionava o golpe de falso recrutador

O WaterPlum se passava por recrutadores ou potenciais empregadores e mirava profissionais de TI, entre eles designers web, engenheiros e especialistas em criptomoedas, blockchain e Web3.14

As iscas imitavam etapas comuns de uma seleção técnica. A vítima podia receber um suposto desafio de programação ou, durante uma entrevista por vídeo, ser instruída a instalar uma alegada correção para a plataforma de conferência. Na prática, os arquivos ou comandos levavam malware ao dispositivo do candidato.15

A tática transforma uma interação de recrutamento aparentemente normal em uma porta de entrada. Em vez de tentar invadir uma empresa diretamente, os operadores exploram a confiança — e a urgência — que costuma envolver uma boa oportunidade de trabalho.

Alcance e prejuízo da campanha

Segundo o alerta, entre dezembro de 2025 e julho de 2026, o WaterPlum infectou pelo menos 30 mil dispositivos em mais de 100 países. Foram comprometidos fundos ou credenciais associados a mais de 7 mil carteiras de criptomoedas, e a operação recebeu aproximadamente US$ 10,71 milhões em criptoativos.14

Os números descrevem uma campanha de amplo alcance contra profissionais técnicos, combinada a um objetivo financeiro bem definido. O roubo de credenciais é especialmente preocupante: mesmo sem uma transferência imediata, uma conta comprometida pode ser usada em novas fraudes.

Por que os falsos trabalhadores de TI representam um risco diferente — e relacionado

No esquema de trabalhadores de TI, operadores escondem a identidade e a localização reais para conquistar contratos remotos. Orientações oficiais alertam que trabalhadores norte-coreanos de TI podem usar intermediários e facilitadores, enquanto empresas são orientadas a reforçar a verificação de identidade e detectar atividade suspeita em contas.17

A relação com o WaterPlum é organizacional e estratégica, segundo a avaliação da NPA e do FBI. Isso não significa que toda vítima de malware se torne parte do esquema de trabalhadores, nem que todo trabalhador fraudulento participe de operações do WaterPlum.5 A conexão prática é que ambos exploram o ecossistema de trabalho remoto:

• WaterPlum: ataca candidatos de fora da organização, usando recrutadores falsos e materiais maliciosos de entrevista.
• Falsos trabalhadores de TI: tentam entrar nas empresas como contratados ou funcionários aparentemente legítimos, com identidade e localização enganosas.

Uma frente produz comprometimento direto e roubo de criptomoedas; a outra pode criar uma fonte de receita mais duradoura e risco de acesso interno.

O que o caso da Nova Zelândia mostra

O Centro Nacional de Cibersegurança da Nova Zelândia relatou que uma grande empresa do país contratou um profissional remoto de TI que usava identidade falsa. Quando a companhia passou a desconfiar, o contratado ameaçou divulgar informações sensíveis.18

O episódio reforça que fraude de identidade não é apenas uma questão de folha de pagamento ou conformidade. Um trabalhador contratado de forma fraudulenta pode obter acesso a sistemas corporativos, dados, credenciais ou equipamentos fornecidos pela empresa antes que a farsa seja descoberta.

Medidas que mais importam para empregadores

Equipes de recrutamento, RH, TI, segurança e compras precisam atuar juntas na proteção de vagas técnicas remotas. A orientação do governo dos EUA pede verificação de identidade mais rigorosa — incluindo análise estrita de documentos e, quando adequado, entrevistas presenciais — além de sistemas capazes de sinalizar informações anômalas em contas.17

Na prática, as empresas podem:

• Verificar de modo independente. Confirmar documentos, histórico profissional, referências, dados de pagamento e localização declarada por fontes que não dependam apenas do candidato.
• Tornar a checagem ao vivo efetiva. Fazer entrevistas ao vivo e apurar inconsistências de identidade, localização ou presença técnica; uma chamada de vídeo, sozinha, não é prova conclusiva.
• Controlar equipamentos e permissões. Evitar o envio de dispositivos corporativos antes de validar a identidade e os termos de trabalho; depois da contratação, usar dispositivos gerenciados e acesso de privilégio mínimo.
• Monitorar acessos fora do padrão. Investigar uso inesperado de proxies, geografia inconsistente de logins, comportamentos incomuns de controle remoto e movimentação anormal de dados.
• Preparar uma resposta rápida. Definir procedimentos para investigação de segurança, revogação de acessos, análise jurídica e resposta a extorsão caso surja uma suspeita de identidade falsa ou acesso interno indevido.

A principal conclusão

O WaterPlum mostra que uma entrevista de emprego pode virar um mecanismo de entrega de malware. O esquema de falsos trabalhadores de TI mostra que a própria contratação pode se transformar em uma via de invasão. A atribuição compartilhada ao 313º Bureau Geral deixa clara a prioridade defensiva: é preciso proteger os dois lados do processo de emprego — candidatos contra recrutadores falsos e empresas contra infiltração por identidade fraudulenta.5