WaterPlum и фальшивые IT-сотрудники КНДР: как связаны две схемы

WaterPlum, также известная как Contagious Interview, и схема с фальшивыми удалёнными IT-сотрудниками КНДР связаны не только общей темой найма. По оценке Национального полицейского агентства Японии (NPA) и ФБР США, участники WaterPlum и часть северокорейских IT-сотрудников действуют под управлением 313-го генерального бюро. Оно входит в Департамент военной промышленности, подчинённый Центральному комитету Трудовой партии Кореи.5

Это разные, но взаимодополняющие способы получить деньги и доступ к системам компаний:

• WaterPlum выдаёт себя за рекрутеров или потенциальных работодателей, чтобы заразить устройства соискателей, похитить конфиденциальные данные и криптоактивы.
• Фальшивые IT-сотрудники скрывают настоящую личность и местонахождение, устраиваются на реальную удалённую работу и получают доход. Одновременно такой «сотрудник» может стать источником риска внутреннего доступа.517

Иными словами, первая схема атакует кандидата снаружи, а вторая пытается попасть внутрь организации через процесс найма.

Семь ведомств, выпустивших предупреждение 18 сентября

Совместное предупреждение выпустили семь структур из Японии, США, Австралии и Германии:1

1. Национальное полицейское агентство Японии (NPA);
2. Национальное управление кибербезопасности Японии (NCO);
3. Федеральное бюро расследований США (FBI);
4. Центр по борьбе с киберпреступностью Министерства обороны США (DC3);
5. Австралийский центр кибербезопасности при Австралийском управлении радиотехнической разведки (ASD’s ACSC);
6. Федеральная разведывательная служба Германии (BND);
7. Федеральное ведомство Германии по охране конституции (BfV).

В документе группа названа WaterPlum и указана её связь с кампанией, широко известной как Contagious Interview.1

Как работала поддельная рекрутинговая схема

WaterPlum нацеливалась на IT-специалистов: веб-дизайнеров, инженеров и работников крипто-, блокчейн- и Web3-проектов. Операторы представлялись рекрутерами либо будущими работодателями.14

Приманки выглядели как обычные этапы технического отбора. Жертве могли прислать якобы тестовое задание по программированию или во время видеоинтервью предложить установить «исправление» для сервиса видеосвязи. На деле файл или инструкция приводили к установке вредоносного ПО на устройство кандидата.15

Так привычная коммуникация вокруг вакансии превращалась в канал первоначального доступа. Вместо прямого взлома компании злоумышленники использовали доверие к рекрутеру и желание кандидата не упустить перспективную работу.

Масштаб кампании: 30 000 устройств и 10,71 млн долларов

Согласно оценке из предупреждения, с декабря 2025 года по июль 2026 года WaterPlum заразила не менее 30 000 устройств в более чем 100 странах. Были скомпрометированы средства или учётные данные, связанные с более чем 7 000 криптовалютных кошельков; на кошельки, контролируемые операцией, поступило около 10,71 млн долларов в криптовалюте.14

Особую опасность представляют похищенные учётные данные: даже если немедленно вывести активы не удалось, доступ к аккаунту может быть использован для последующего мошенничества.

Почему фальшивые удалённые IT-сотрудники — отдельная, но связанная угроза

Во второй схеме исполнители скрывают реальную личность и место работы, чтобы получить удалённые контракты. Государственные рекомендации предупреждают, что северокорейские IT-сотрудники могут привлекать посредников и подставных лиц; компаниям предлагают усиливать проверку личности и выявлять подозрительную активность в аккаунтах.17

Связь с WaterPlum носит организационный и стратегический характер. Оценка NPA и ФБР не означает, что каждый пострадавший от вредоносного ПО затем участвует в схеме с фальшивыми сотрудниками — или что каждый такой «сотрудник» причастен к атакам WaterPlum.5 Но обе активности используют уязвимости рынка удалённой работы:

• WaterPlum атакует кандидатов извне, маскируясь под рекрутеров и рассылая вредоносные материалы для интервью.
• Фальшивые IT-сотрудники пытаются войти в компанию как легитимные подрядчики или работники, используя ложные данные о личности и местонахождении.

Первая схема даёт прямую компрометацию и кражу криптоактивов; вторая может обеспечивать долговременный денежный поток и риск доступа инсайдера.

Что показывает случай в Новой Зеландии

Национальный центр кибербезопасности Новой Зеландии сообщил о крупной компании, которая наняла удалённого IT-подрядчика под ложной личностью. Когда у компании возникли сомнения, подрядчик пригрозил опубликовать конфиденциальную информацию.18

Этот эпизод показывает, что мошенничество с личностью — не только кадровая или комплаенс-проблема. До обнаружения обмана такой работник может получить доступ к корпоративным системам, данным, учётным данным и выданной компанией технике.

Какие меры работодателям важнее всего

Контроль найма на удалённые технические роли должен быть общей задачей HR, рекрутмента, IT, информационной безопасности и закупок. В рекомендациях властей США говорится об усиленной проверке личности: строгом изучении документов, личных собеседованиях там, где это уместно, а также механизмах, отмечающих аномальные данные в учётных записях.17

Практический минимум выглядит так:

• Проверяйте независимо. Подтверждайте документы, опыт, рекомендации, платёжные реквизиты и заявленное местонахождение по источникам, которые не контролирует сам кандидат.
• Не считайте видеозвонок достаточным доказательством. Уточняйте любые несоответствия в личности, локации и технических обстоятельствах работы.
• Контролируйте выдачу техники и доступ. Не отправляйте корпоративные устройства до подтверждения личности и условий работы; после найма применяйте управляемые устройства и принцип минимально необходимых привилегий.
• Отслеживайте аномалии доступа. Поводом для проверки могут быть неожиданные прокси, несоответствие географии входов, необычное удалённое управление и нетипичная передача данных.
• Заранее подготовьте порядок действий. Он должен включать расследование, отзыв доступов, юридическую оценку и реакцию на вымогательство.

Главный вывод

WaterPlum показывает, что собеседование может стать способом доставки вредоносного ПО. Схема с фальшивыми IT-сотрудниками показывает, что сам наём способен стать путём проникновения в организацию. Связь обеих активностей с 313-м генеральным бюро подчёркивает ключевую мысль: защищать нужно обе стороны процесса — соискателей от поддельных рекрутеров и работодателей от проникновения через фиктивную личность.5