Falske IT-ansættelsessamtaler hjælper Nordkorea med at stjæle millioner i kryptovaluta

Falske jobinterviews brugt som lokkemad

En nordkoreansk cyberangrebskampagne, der var forklædt som legitim rekruttering inden for teknologibranchen, har inficeret mere end 30.000 computere i mindst 100 lande og stjålet tusindvis af kryptovaluta-wallets samt millioner af dollars til finansiering af Pyongyangs våbenprogrammer, advarer retshåndhævende myndigheder fra seks lande.

I en fælles sikkerhedsmeddelelse udsendt den 18. september beskrev Japans Nationale Politiagentur (NPA) og det amerikanske Federal Bureau of Investigation (FBI) sammen med cyber- og efterretningstjenester fra Australien og Tyskland detaljeret beskrevet de globale operationer udført af en trusselsaktør kendt som »Waterplum«, der også spores internationalt under navnet »Contagious Interview«.

Myndighederne vurderede, at Waterplum og tilknyttede nordkoreanske it-medarbejdere opererer under direkte tilsyn af Afdeling 313 i Munitionsindustri-afdelingen under Koreas Arbejderparti, som styrer Nordkoreas militære forskning og våbenproduktion.

Ifølge japanske efterforskere rettede Waterplum sig mod softwareudviklere, webdesignere og kryptovalutaspecialister på jobportaler og sociale medier ved at udgive sig for at være rekrutteringsansvarlige fra legitime virksomheder inden for kunstig intelligens, blockchain og teknologisk rekruttering.

Under falske tekniske jobsamtaler eller kodningsprøver blev de udvalgte kandidater bedt om at downloade ondsindet software, der var forklædt som kodningstests eller fejlfindingsværktøjer til videokonferencer. Når koden blev kørt, installerede den bagdørstrojanere og malware til tyveri af oplysninger, hvilket gjorde det muligt for hackerne at indsamle personlige identifikationsdokumenter og private nøgler til kryptovaluta.

Mellem slutningen af 2025 og juli 2026 kompromitterede kampagnen mindst 30.000 enheder på verdensplan, hvorved mere end 7.000 kryptovaluta-tegnebøger blev kompromitteret, og mindst 1,7 milliarder yen (10,71 millioner dollars) i digitale aktiver blev kanaliseret over i nordkoreansk-kontrollerede tegnebøger, oplyste myndighederne.

'Laptop-farme' afsløret i Japan

Efterforskningen fremhævede også rollen som »indenlandske medvirkende«, der hjalp nordkoreanske agenter med at omgå lokalitetsverifikation og få outsourcede IT-job hos japanske og amerikanske virksomheder.

I et første tilfælde af sin art for japanske retshåndhævende myndigheder beslaglagde og nedlagde politiet en lokal »laptop-farm«, der gjorde det muligt for nordkoreanske IT-arbejdere at arbejde på afstand under lokale IP-adresser. Myndighederne bemærkede, at ulovlige IT-arbejdere, der opererede gennem disse ordninger, overførte kryptoaktiver til en værdi af flere hundrede millioner yen til udlandet.

Internationale sikkerhedsmyndigheder opfordrede tech-virksomheder og gig-arbejdere til at udvise forsigtighed under online-ansættelsessamtaler, undgå at køre ukontrolleret kode uden for isolerede sandkasse-miljøer og anvende kontrolfunktioner til begrænsning af arbejdsområdet, når de åbner ikke-godkendte koderepositorier.