WaterPlum ve sahte uzaktan BT çalışanları: Aynı yapıdan çıkan iki farklı tehdit

WaterPlum — güvenlik çevrelerinde yaygın olarak Contagious Interview adıyla bilinen kampanya — ile Kuzey Kore bağlantılı sahte uzaktan BT çalışanı faaliyetleri, yalnızca işe alım süreçlerini istismar etmeleri bakımından benzeşmiyor. Japonya Ulusal Polis Ajansı (NPA) ve ABD Federal Soruşturma Bürosunun (FBI) değerlendirmesine göre WaterPlum aktörleri ile bazı Kuzey Koreli BT çalışanları, Kore İşçi Partisi Merkez Komitesine bağlı Mühimmat Sanayi Departmanı içindeki 313. Genel Büro altında faaliyet gösteriyor.5

Bu iki yöntem farklı, fakat birbirini tamamlayan amaçlara hizmet ediyor:

• WaterPlum, iş arayanları sahte işe alım süreçleriyle hedef alıyor; hassas bilgileri ve kripto varlıkları ele geçirmek için kötü amaçlı yazılım kullanıyor.
• Sahte BT çalışanı şeması ise gerçek kimliği ve fiziksel konumu gizleyerek meşru uzaktan işlere girmeyi hedefliyor. Bu, hem gelir yaratabiliyor hem de hedef kurumun sistemlerine içeriden erişim riski doğurabiliyor.517

Dolayısıyla tehdit, işe alım sürecinin iki tarafında da ortaya çıkıyor: Bir tarafta iş arayan kişi sahte işe veren tarafından hedef alınıyor; diğer tarafta şirket, sahte kimlikle başvuran bir kişiyi çalışan ya da yüklenici olarak sisteme dahil edebiliyor.

18 Eylül uyarısını yayımlayan yedi kurum

18 Eylül tarihli ortak siber güvenlik uyarısı, Japonya, ABD, Avustralya ve Almanya’dan şu yedi kurum tarafından yayımlandı:1

1. Japonya Ulusal Polis Ajansı (NPA)
2. Japonya Ulusal Siber Güvenlik Ofisi (NCO)
3. ABD Federal Soruşturma Bürosu (FBI)
4. ABD Savunma Bakanlığı Siber Suç Merkezi (DC3)
5. Avustralya Sinyal İstihbarat Müdürlüğü bünyesindeki Avustralya Siber Güvenlik Merkezi (ASD’s ACSC)
6. Almanya Federal İstihbarat Servisi (BND)
7. Almanya Anayasayı Koruma Federal Ofisi (BfV)

Uyarıda WaterPlum adlı siber aktör grubu açıkça anılıyor ve grubun Contagious Interview olarak bilinen kampanyayla ilişkisi belirtiliyor.1

Sahte işe alım saldırısı nasıl işledi?

WaterPlum, işe alım uzmanı veya potansiyel işveren kimliğine bürünerek web tasarımcılarını, mühendisleri ve özellikle kripto para, blokzincir ile Web3 alanlarında çalışan bilişim profesyonellerini hedef aldı.14

Kandırma yöntemi, teknik işe alım sürecinin olağan bir adımı gibi görünüyordu. Hedef kişiye sözde bir kodlama görevi gönderilebiliyor ya da görüntülü mülakat sırasında bir konferans uygulaması sorununu gidermesi için dosya indirmesi veya bir işlem yapması istenebiliyordu. Ancak bu dosya ya da talimatlar, cihazlara kötü amaçlı yazılım yüklemek için kullanılıyordu.15

Bu yöntem, doğrudan bir şirket ağına saldırmak yerine iş fırsatının yarattığı güven ve aciliyet duygusunu istismar ediyor. Bir iş görüşmesi, fark edilmeden ilk erişim kanalına dönüşebiliyor.

Etki alanı: 30 bin cihaz ve 7 binden fazla kripto cüzdanı

Ortak uyarıya göre WaterPlum, Aralık 2025 ile Temmuz 2026 arasında 100’den fazla ülkede en az 30 bin cihazı etkiledi. 7 binden fazla kripto para cüzdanıyla ilişkili para veya hesap bilgileri ele geçirildi; operasyonun yaklaşık 10,71 milyon dolar değerinde kripto para aldığı değerlendirildi.14

Buradaki risk yalnızca anlık para kaybı değil. Hesap bilgileri ele geçirilen kullanıcılar, hemen para transferi yapılamasa bile daha sonra kimlik avı, hesap ele geçirme veya başka dolandırıcılık girişimleriyle karşılaşabilir.

Sahte uzaktan çalışanlar neden ayrı ama bağlantılı bir risk?

Sahte BT çalışanı yöntemi, operatörlerin gerçek kimliklerini ve bulundukları yeri gizleyerek uzaktan sözleşme veya iş bulmasına dayanıyor. Resmî rehberlerde, bu kişilerin üçüncü taraf vekiller ve kolaylaştırıcılardan yararlandığı; şirketlerin ise kimlik doğrulama süreçlerini güçlendirmesi ve şüpheli hesap hareketlerini tespit etmesi gerektiği vurgulanıyor.17

WaterPlum ile bu şema arasındaki bağ, NPA ve FBI değerlendirmesine göre örgütsel ve stratejik nitelikte. Bu, her WaterPlum mağdurunun sahte çalışan ağına dâhil olduğu ya da her sahte çalışanın WaterPlum faaliyetlerine katıldığı anlamına gelmiyor.5 Ancak iki faaliyet de uzaktan çalışma ekosistemindeki zayıf noktaları kullanıyor:

• WaterPlum, sahte işe alım uzmanları ve zararlı mülakat materyalleriyle kurum dışındaki adayları hedef alıyor.
• Sahte BT çalışanları, yanıltıcı kimlik ve konum bilgileriyle görünürde meşru yüklenici ya da çalışan olarak kurumun içine girmeye çalışıyor.

İlki doğrudan sistem ihlali ve kripto hırsızlığı yaratırken, ikincisi daha uzun vadeli bir gelir akışı ve içeriden erişim riski oluşturabiliyor.

Yeni Zelanda vakası ne gösterdi?

Yeni Zelanda Ulusal Siber Güvenlik Merkeziyle ilgili haberlerde, büyük bir Yeni Zelanda şirketinin sahte kimlik kullanan uzaktan bir BT yüklenicisini işe aldığı aktarıldı. Şirket kimlik konusunda şüphelenmeye başladığında yüklenicinin hassas bilgileri yayımlamakla tehdit ettiği bildirildi.18

Bu vaka, kimlik sahteciliğinin yalnızca insan kaynakları veya bordro açısından bir sorun olmadığını ortaya koyuyor. Sahte kimlikle işe alınan bir kişi, durum anlaşılıncaya kadar kurumsal sistemlere, verilere, kimlik bilgilerine veya şirkete ait cihazlara erişim sağlamış olabilir.

İşverenler için öne çıkan önlemler

Uzaktan teknik pozisyonlarda işe alım, insan kaynakları, bilgi teknolojileri, güvenlik ve satın alma ekiplerinin birlikte yürüttüğü bir kontrol süreci olmalı. ABD hükümetinin rehberi; kimlik belgelerinin sıkı incelenmesi, uygun durumlarda yüz yüze görüşme yapılması ve hesaplarda olağandışı bilgileri işaretleyen sistemlerin kullanılması gibi adımları öneriyor.17

Uygulanabilecek başlıca önlemler şunlar:

• Bağımsız doğrulama yapın. Kimlik belgesi, iş geçmişi, referans, ödeme bilgisi ve beyan edilen konumu yalnızca adayın sunduğu kaynaklara dayanarak değil, ayrı kanallardan doğrulayın.
• Canlı görüşmeyi gerçek bir kontrol hâline getirin. Görüntülü görüşmeyi tek başına kesin kanıt saymayın; kimlik, konum veya teknik ortamla ilgili tutarsızlıkları inceleyin.
• Cihaz teslimi ve erişimi sınırlayın. Kimlik ile çalışma düzeni doğrulanmadan kurumsal cihaz göndermeyin. İşe alımdan sonra yönetilen cihaz politikaları ve en az yetki ilkesi uygulayın.
• Olağandışı erişimleri izleyin. Beklenmedik vekil sunucu kullanımı, tutarsız giriş konumları, sıra dışı uzaktan kontrol davranışları ve anormal veri hareketleri incelenmeli.
• Müdahale planı hazırlayın. Kimlik veya içeriden erişim şüphesi doğduğunda güvenlik incelemesi, erişimlerin kapatılması, hukuk değerlendirmesi ve şantaj müdahalesi için net bir süreç belirleyin.

Sonuç: İşe alım artık aynı zamanda bir siber güvenlik yüzeyi

WaterPlum, bir iş görüşmesinin kötü amaçlı yazılım dağıtım aracına çevrilebileceğini gösteriyor. Sahte uzaktan BT çalışanı şeması ise işe alımın kurumlara sızmak için kullanılabileceğini ortaya koyuyor. Ortak 313. Genel Büro bağlantısı, savunma açısından temel mesajı netleştiriyor: Kurumlar hem iş arayanları sahte işe alımcıların riskinden korumalı hem de işveren tarafında kimlik temelli sızmaları önlemeli.5