WaterPlum і фейкові IT-працівники КНДР: один підрозділ, два способи проникнення

WaterPlum, також відома як Contagious Interview, і схема з фальшивими віддаленими IT-працівниками КНДР пов’язані не лише тематикою працевлаштування. За оцінкою Національного поліцейського агентства Японії та ФБР США, учасники WaterPlum і частина північнокорейських IT-працівників діють у межах 313 Генерального бюро. Воно належить до Департаменту оборонної промисловості, підпорядкованого Центральному комітету Трудової партії Кореї.5

Це різні, але взаємодоповнювальні моделі ризику. WaterPlum прикидається рекрутерами, щоб скомпрометувати пристрої людей, які шукають роботу, викрасти конфіденційні дані та криптоактиви. Натомість фальшиві IT-працівники приховують справжні імена й місцезнаходження, аби отримати реальні дистанційні контракти. Так вони можуть приносити дохід і водночас отримувати внутрішній доступ до систем роботодавця.517

Хто випустив спільне попередження 18 вересня

Спільний кібербезпековий бюлетень 18 вересня підписали сім організацій із Японії, США, Австралії та Німеччини:1

1. Національне поліцейське агентство Японії (NPA);
2. Національний офіс кібербезпеки Японії (NCO);
3. Федеральне бюро розслідувань США (FBI);
4. Центр боротьби з кіберзлочинністю Міністерства оборони США (DC3);
5. Австралійський центр кібербезпеки у складі Австралійського директорату сигналів (ASD’s ACSC);
6. Федеральна розвідувальна служба Німеччини (BND);
7. Федеральне відомство з охорони конституції Німеччини (BfV).

У повідомленні групу названо WaterPlum і зазначено її зв’язок із кампанією, відомою як Contagious Interview.1

Як працювала схема з фальшивими рекрутерами

Оператори WaterPlum видавали себе за рекрутерів або потенційних роботодавців і націлювалися на IT-фахівців — зокрема вебдизайнерів, інженерів та спеціалістів із криптовалют, блокчейну й Web3.14

Приманки були схожі на звичайні етапи технічного найму. Кандидатові могли надіслати нібито тестове завдання з програмування або під час відеоспівбесіди запропонувати встановити «виправлення» проблеми із сервісом конференцій. Насправді файл чи інструкція доставляли шкідливе програмне забезпечення на пристрій жертви.15

Тобто звична взаємодія з рекрутером перетворювалася на канал початкового проникнення. Замість прямої атаки на компанію зловмисники користувалися довірою та поспіхом, які часто супроводжують привабливу вакансію.

Масштаб кампанії

За оцінкою авторів бюлетеня, у період із грудня 2025 року до липня 2026 року WaterPlum заразила щонайменше 30 000 пристроїв у понад 100 країнах. Були скомпрометовані кошти або облікові дані, пов’язані з більш ніж 7 000 криптовалютних гаманців, а операція отримала близько 10,71 млн доларів США у криптовалюті.14

Ці дані показують поєднання широкого націлювання на технічних спеціалістів із чіткою фінансовою метою. Крадіжка облікових даних особливо небезпечна: навіть якщо миттєво вивести активи не вдається, доступ до скомпрометованого акаунта може відкрити шлях до подальшого шахрайства.

Чому фейкові IT-працівники — окрема, але споріднена загроза

У схемі з псевдопрацівниками виконавці приховують справжню особу та локацію, щоб здобути віддалені контракти. Урядові рекомендації попереджають, що північнокорейські IT-працівники використовували посередників і третіх осіб, а компаніям радять посилити перевірку особи та виявлення підозрілої активності облікових записів.17

Зв’язок із WaterPlum є організаційним і стратегічним — це не означає, що кожна жертва шкідливого ПЗ стає частиною схеми з працевлаштуванням або що кожен фальшивий працівник бере участь в операціях WaterPlum.5 Практично обидві моделі експлуатують екосистему дистанційної роботи:

• WaterPlum атакує кандидатів ззовні компанії, використовуючи підроблені профілі рекрутерів та шкідливі матеріали для «співбесіди».
• Фальшиві IT-працівники прагнуть увійти до компанії як начебто легітимні підрядники чи співробітники, використовуючи неправдиві дані про особу та місцезнаходження.

Перша схема дає прямий доступ до пристрою та криптоактивів, друга — потенційно тривале джерело доходу й ризик інсайдерського доступу.

Що показав випадок у Новій Зеландії

Національний центр кібербезпеки Нової Зеландії повідомив про великий місцевий бізнес, який найняв дистанційного IT-підрядника під фальшивою особою. Коли в компанії запідозрили обман, підрядник пригрозив оприлюднити конфіденційну інформацію.18

Цей випадок нагадує: шахрайство з ідентичністю — це не тільки питання кадрового обліку чи комплаєнсу. Працівник, якого найняли за фальшивими даними, може встигнути отримати доступ до корпоративних систем, даних, облікових записів або виданого компанією обладнання.

Які заходи мають найбільше значення для роботодавців

Командам рекрутингу, HR, ІТ, безпеки та закупівель варто діяти узгоджено під час найму на дистанційні технічні посади. Американські рекомендації прямо закликають посилити перевірку особи: ретельно перевіряти документи, за потреби вимагати очної співбесіди та використовувати механізми виявлення аномальних даних в облікових записах.17

Практичні кроки:

• Перевіряйте незалежно. Підтверджуйте документи, досвід роботи, рекомендації, платіжні реквізити й заявлене місцезнаходження за джерелами, які кандидат не контролює одноосібно.
• Робіть живу верифікацію змістовною. Проводьте співбесіди в реальному часі та перевіряйте розбіжності в даних про особу, локацію чи технічні обставини; сама лише відеодзвінок не є остаточним доказом.
• Контролюйте видачу пристроїв і доступ. Не надсилайте корпоративне обладнання до завершення перевірки; після найму застосовуйте керовані пристрої та принцип найменших привілеїв.
• Відстежуйте аномалії доступу. Звертайте увагу на неочікуване використання проксі, суперечливу географію входів, нетипову віддалену взаємодію з пристроями та незвичне переміщення даних.
• Майте план ескалації. Заздалегідь визначте порядок розслідування, відкликання доступу, юридичної оцінки й реагування на вимагання.

Головний висновок

WaterPlum показує, що співбесіда може стати механізмом доставки шкідливого ПЗ. Схема з фальшивими IT-працівниками демонструє інше: сам процес найму здатен перетворитися на шлях проникнення до компанії. Спільна прив’язка до 313 Генерального бюро підкреслює ключове правило захисту: організаціям потрібно убезпечувати обидва боки процесу працевлаштування — захищати шукачів від фальшивих рекрутерів і роботодавців від інфільтрації через підміну особи.5