WaterPlum và lao động IT giả mạo của Triều Tiên: Hai mũi tấn công cùng một đầu mối

WaterPlum, còn được biết đến với tên Contagious Interview, và hoạt động đưa lao động IT từ xa giả mạo vào doanh nghiệp của Triều Tiên không chỉ giống nhau ở việc lợi dụng quy trình tuyển dụng. Cơ quan chức năng Nhật Bản và Mỹ đánh giá các tác nhân WaterPlum cùng một số lao động IT Triều Tiên hoạt động dưới Cục 313, thuộc Ban Công nghiệp Quân nhu và trực thuộc Ủy ban Trung ương Đảng Lao động Triều Tiên.5

Hai hoạt động có mục tiêu trực tiếp khác nhau nhưng bổ trợ cho nhau. WaterPlum dùng tuyển dụng giả để xâm nhập thiết bị của người tìm việc, lấy cắp thông tin nhạy cảm và tiền mã hóa. Trong khi đó, mô hình lao động IT dùng danh tính giả cùng biện pháp che giấu vị trí để giành được các công việc từ xa có thật, tạo nguồn thu và có thể đặt một người có quyền truy cập nội bộ vào tổ chức mục tiêu.517

Bảy cơ quan ban hành cảnh báo ngày 18/9

Cảnh báo an ninh mạng chung ngày 18/9 được ban hành bởi bảy cơ quan của Nhật Bản, Mỹ, Australia và Đức:1

1. Cơ quan Cảnh sát Quốc gia Nhật Bản (NPA)
2. Văn phòng An ninh mạng Quốc gia Nhật Bản (NCO)
3. Cục Điều tra Liên bang Mỹ (FBI)
4. Trung tâm Tội phạm mạng thuộc Bộ Quốc phòng Mỹ (DC3)
5. Trung tâm An ninh mạng Australia thuộc Tổng cục Tín hiệu Australia (ASD's ACSC)
6. Cơ quan Tình báo Liên bang Đức (BND)
7. Cơ quan Liên bang Đức về Bảo vệ Hiến pháp (BfV)

Đánh giá này nêu tên nhóm tác nhân mạng WaterPlum và cho biết nhóm này có liên hệ với chiến dịch thường được gọi là Contagious Interview.1

Cách chiến dịch “nhà tuyển dụng giả” vận hành

WaterPlum mạo danh nhà tuyển dụng hoặc doanh nghiệp đang cần tuyển, nhắm đến chuyên gia CNTT như nhà thiết kế web, kỹ sư và người làm trong lĩnh vực tiền mã hóa, blockchain, Web3.14

Mồi nhử được thiết kế như những bước rất bình thường trong một đợt tuyển kỹ thuật. Mục tiêu có thể nhận một bài kiểm tra lập trình, hoặc được đề nghị cài đặt một bản “sửa lỗi” cho phần mềm họp trực tuyến trong buổi phỏng vấn. Thực chất, các tệp hoặc hướng dẫn này đưa mã độc vào thiết bị của ứng viên.15

Cách làm này biến một tương tác tuyển dụng vốn đáng tin cậy thành kênh xâm nhập ban đầu. Thay vì tấn công trực tiếp vào doanh nghiệp, đối tượng khai thác sự kỳ vọng và tính cấp bách của một cơ hội việc làm hấp dẫn.

Quy mô thiệt hại

Theo cảnh báo, từ tháng 12/2025 đến tháng 7/2026, WaterPlum đã lây nhiễm ít nhất 30.000 thiết bị tại hơn 100 quốc gia. Tiền hoặc thông tin đăng nhập liên quan đến hơn 7.000 ví tiền mã hóa đã bị xâm phạm, còn chiến dịch này thu về khoảng 10,71 triệu USD dưới dạng tiền mã hóa.14

Các con số cho thấy đây là chiến dịch vừa nhắm diện rộng vào giới chuyên môn kỹ thuật, vừa có mục tiêu tài chính rõ rệt. Việc đánh cắp thông tin đăng nhập đặc biệt đáng lo, bởi tài khoản bị chiếm đoạt có thể bị dùng cho các hành vi gian lận tiếp theo, kể cả khi chưa thể rút tiền ngay lập tức.

Lao động IT giả mạo: rủi ro khác, nhưng có liên hệ

Mô hình lao động IT giả mạo dựa vào việc che giấu danh tính và vị trí thật để giành các hợp đồng từ xa. Hướng dẫn của chính phủ Mỹ cảnh báo các lao động IT Triều Tiên đã sử dụng bên trung gian và người hỗ trợ, đồng thời khuyến nghị doanh nghiệp tăng cường xác minh danh tính và phát hiện hoạt động tài khoản đáng ngờ.17

Mối liên hệ với WaterPlum mang tính tổ chức và chiến lược, theo đánh giá của NPA và FBI; điều đó không đồng nghĩa mọi nạn nhân mã độc đều trở thành một phần của mô hình lao động giả mạo, hoặc mọi lao động giả mạo đều tham gia WaterPlum.5 Điểm giao nhau trên thực tế là cả hai đều khai thác hệ sinh thái làm việc từ xa:

• WaterPlum tấn công ứng viên từ bên ngoài tổ chức bằng cách giả danh nhà tuyển dụng và gửi tài liệu phỏng vấn độc hại.
• Lao động IT giả mạo tìm cách vào trong tổ chức với vỏ bọc nhân viên hoặc nhà thầu hợp pháp, bằng danh tính và thông tin vị trí sai lệch.

Một bên tạo ra xâm nhập trực tiếp và đánh cắp tiền mã hóa; bên còn lại có thể tạo dòng doanh thu dài hạn cũng như rủi ro truy cập nội bộ.

Vụ việc tại New Zealand cho thấy điều gì

Thông tin về Trung tâm An ninh mạng Quốc gia New Zealand cho biết một doanh nghiệp lớn tại nước này đã tuyển một nhà thầu IT làm việc từ xa sử dụng danh tính giả. Khi công ty bắt đầu nghi ngờ, người này đe dọa công bố thông tin nhạy cảm.18

Vụ việc nhắc nhở rằng gian lận danh tính không chỉ là vấn đề nhân sự, lương thưởng hay tuân thủ. Một người được tuyển bằng danh tính giả có thể đã tiếp cận hệ thống doanh nghiệp, dữ liệu, thông tin xác thực hoặc thiết bị do công ty cấp trước khi sự việc bị phát hiện.

Những biện pháp doanh nghiệp nên ưu tiên

Bộ phận tuyển dụng, nhân sự, CNTT, an ninh và mua sắm cần phối hợp kiểm soát đối với các vị trí kỹ thuật làm việc từ xa. Hướng dẫn của chính phủ Mỹ đặc biệt kêu gọi siết chặt xác minh danh tính, gồm kiểm tra nghiêm ngặt giấy tờ và phỏng vấn trực tiếp khi phù hợp, cùng các hệ thống phát hiện thông tin bất thường trong tài khoản.17

Các biện pháp thực tế gồm:

• Xác minh độc lập: Đối chiếu giấy tờ tùy thân, lịch sử công việc, người tham chiếu, thông tin thanh toán và vị trí khai báo qua các nguồn không chỉ do ứng viên cung cấp.
• Biến xác minh trực tiếp thành bước có ý nghĩa: Thực hiện phỏng vấn trực tiếp và làm rõ các điểm không nhất quán về danh tính, vị trí hoặc sự hiện diện kỹ thuật; không coi một cuộc gọi video là bằng chứng kết luận.
• Kiểm soát việc cấp thiết bị và quyền truy cập: Không gửi thiết bị công ty trước khi xác thực danh tính và thỏa thuận làm việc; sau khi tiếp nhận, áp dụng quản lý thiết bị và nguyên tắc đặc quyền tối thiểu.
• Theo dõi truy cập bất thường: Rà soát việc dùng proxy không giải thích được, vị trí đăng nhập không nhất quán, hành vi điều khiển từ xa bất thường và luồng dữ liệu bất thường.
• Chuẩn bị phương án xử lý leo thang: Xác định sẵn quy trình điều tra an ninh, thu hồi quyền truy cập, rà soát pháp lý và ứng phó tống tiền nếu phát sinh nghi ngờ về danh tính hoặc truy cập nội bộ.

Điều cốt lõi

WaterPlum cho thấy một buổi phỏng vấn xin việc có thể bị biến thành cơ chế phát tán mã độc. Mối đe dọa lao động IT giả mạo cho thấy chính việc tuyển dụng cũng có thể trở thành đường xâm nhập. Đánh giá cùng liên quan tới Cục 313 làm nổi bật yêu cầu phòng vệ: tổ chức phải bảo vệ cả hai phía của quy trình việc làm — bảo vệ người tìm việc trước nhà tuyển dụng giả, và bảo vệ doanh nghiệp trước nguy cơ xâm nhập dựa trên gian lận danh tính.5