WaterPlum och Nordkoreas falska IT-arbetare: två hot med samma koppling

WaterPlum – även känt som Contagious Interview – och Nordkoreas bedrägliga verksamhet med distansanställda IT-arbetare har en koppling som går längre än att båda utnyttjar arbetsmarknaden. Japanska och amerikanska myndigheter bedömer att WaterPlum-aktörer och vissa nordkoreanska IT-arbetare verkar under 313 General Bureau. Byrån hör till Munitions Industry Department, som i sin tur är underställd centralkommittén i Koreas arbetarparti.5

Det rör sig om två skilda men kompletterande angreppssätt. WaterPlum använder falsk rekrytering för att kompromettera arbetssökande, samla in känslig information och stjäla kryptotillgångar. IT-arbetarsystemet bygger i stället på falska identiteter och dold geografisk plats för att få riktiga distansuppdrag – vilket kan ge intäkter och samtidigt skapa en möjlig insiderposition hos ett företag.517

Sju myndigheter stod bakom varningen

Den gemensamma cybersäkerhetsvarningen den 18 september utfärdades av sju myndigheter i Japan, USA, Australien och Tyskland:1

1. Japans nationella polisstyrelse, National Police Agency (NPA)
2. Japans nationella cybersäkerhetskontor, National Cybersecurity Office (NCO)
3. USA:s federala polis, Federal Bureau of Investigation (FBI)
4. USA:s försvarsdepartements Cyber Crime Center (DC3)
5. Australian Signals Directorate:s Australian Cyber Security Centre (ASD:s ACSC)
6. Tysklands federala underrättelsetjänst, Bundesnachrichtendienst (BND)
7. Tysklands federala myndighet för skydd av författningen, Bundesamt für Verfassungsschutz (BfV)

I varningen pekas WaterPlum ut som en nordkoreansk cyberaktörsgrupp, och kopplas till kampanjen som allmänt kallas Contagious Interview.1

Så blev jobbintervjun en väg in för skadlig kod

WaterPlum utgav sig för att vara rekryterare eller presumtiva arbetsgivare och riktade in sig på IT-specialister, bland annat webbutvecklare, ingenjörer och personer inom kryptovalutor, blockkedjor och Web3.14

Betena var utformade för att likna vanliga steg i en teknisk rekryteringsprocess. Ett mål kunde få ett påstått programmeringstest eller under en videointervju uppmanas att installera en förment lösning på ett konferensproblem. I själva verket levererade filerna eller instruktionerna skadlig kod till den arbetssökandes enhet.15

Metoden gör en rutinmässig kontakt med en rekryterare till en kanal för initial åtkomst. I stället för att försöka bryta sig in direkt hos ett företag utnyttjar aktörerna förtroendet och tidspressen kring ett attraktivt jobberbjudande.

Minst 30 000 infekterade enheter

Enligt varningen infekterade WaterPlum minst 30 000 enheter i över 100 länder mellan december 2025 och juli 2026. Medel eller kontouppgifter kopplade till fler än 7 000 kryptoplånböcker komprometterades, och operationen tog emot cirka 10,71 miljoner dollar i kryptovaluta.14

Siffrorna visar en kampanj som kombinerade bred målsökning mot tekniska yrkesgrupper med ett tydligt ekonomiskt mål. Stulna inloggningsuppgifter kan dessutom möjliggöra fortsatt bedrägeri, även om en direkt överföring av tillgångar inte genast är möjlig.

Falska IT-arbetare är ett annat – men närliggande – hot

Bedrägeriet med IT-arbetare går ut på att operatörer döljer sin verkliga identitet och var de befinner sig för att vinna distanskontrakt. Amerikanska myndigheter varnar för att nordkoreanska IT-arbetare har använt tredje parter och möjliggörare, samtidigt som företag uppmanas att skärpa identitetskontroller och upptäcka misstänkt kontoaktivitet.17

Kopplingen till WaterPlum är, enligt NPA:s och FBI:s bedömning, organisatorisk och strategisk. Det är inte samma sak som att varje person som drabbas av skadlig kod rekryteras till arbetarsystemet, eller att varje falsk IT-arbetare deltar i WaterPlum-operationer.5

Den praktiska gemensamma nämnaren är att båda utnyttjar ekosystemet för distansarbete:

• WaterPlum angriper kandidater utifrån genom falska rekryterare och skadligt intervjumaterial.
• Falska IT-arbetare försöker ta sig in i organisationer som till synes legitima konsulter eller anställda med vilseledande identitets- och platsuppgifter.

Den ena modellen ger direkt kompromettering och kryptostöld. Den andra kan ge både långsiktiga intäkter och risk för insideråtkomst.

Fallet i Nya Zeeland visar insiderrisken

Nya Zeelands National Cyber Security Centre beskrev ett stort nyzeeländskt företag som anställde en IT-konsult på distans med falsk identitet. När företaget började misstänka att något inte stämde hotade konsulten att publicera känslig information.18

Fallet visar att identitetsbedrägeri inte bara är en fråga för HR, lön eller regelefterlevnad. En bedrägligt anställd person kan hinna få åtkomst till företagssystem, data, inloggningsuppgifter eller arbetsgivarens utrustning innan bluffen upptäcks.

Skyddsåtgärder för arbetsgivare

Rekrytering, HR, IT, informationssäkerhet och inköp behöver samordna sina kontroller för tekniska distansroller. Amerikansk vägledning rekommenderar bland annat noggrann granskning av identitetshandlingar, personliga intervjuer där det är lämpligt och system som kan flagga avvikande kontouppgifter.17

Praktiska åtgärder är bland annat:

• Verifiera oberoende. Kontrollera identitetshandlingar, arbetslivserfarenhet, referenser, betalningsuppgifter och uppgiven plats genom källor som inte enbart tillhandahållits av kandidaten.
• Gör liveverifieringen meningsfull. Använd direkta intervjuer och utred avvikelser i identitet, plats eller teknisk närvaro. Ett videosamtal i sig är inte ett slutgiltigt bevis.
• Styr utrustning och behörigheter. Skicka inte ut företagsutrustning innan identitet och anställningsupplägg har validerats. Tillämpa hanterade enheter och minsta möjliga behörighet efter onboarding.
• Leta efter avvikande åtkomst. Granska oväntad användning av proxyservrar, motsägelsefull inloggningsgeografi, ovanligt fjärrstyrningsbeteende och onormal dataöverföring.
• Planera för eskalering. Ha en tydlig process för säkerhetsutredning, indragning av åtkomst, juridisk bedömning och hantering av utpressning om en identitets- eller insiderfråga uppstår.

Slutsatsen: säkra båda sidor av anställningen

WaterPlum visar att en jobbintervju kan användas för att leverera skadlig kod. Hotet från falska IT-arbetare visar att själva anställningen också kan bli en väg in i verksamheten. Den gemensamma kopplingen till 313 General Bureau understryker den centrala försvarsåtgärden: organisationer måste skydda både arbetssökande mot falska rekryterare och arbetsgivare mot infiltration genom falska identiteter.5