Falsi colloqui di lavoro nel settore IT aiutano la Corea del Nord a rubare milioni in criptovalute

Falsi colloqui di lavoro usati come esca

Una campagna di attacchi informatici nordcoreana, mascherata da legittima selezione del personale nel settore tecnologico, ha infettato oltre 30.000 computer in almeno 100 paesi, sottraendo migliaia di portafogli di criptovalute e milioni di dollari per finanziare i programmi di armamento di Pyongyang, hanno avvertito le forze dell’ordine di sei nazioni.

In un avviso di sicurezza congiunto pubblicato il 18 settembre, l’Agenzia Nazionale di Polizia giapponese (NPA) e il (FBI), insieme alle agenzie informatiche e di intelligence di Australia e Germania, hanno descritto in dettaglio le operazioni globali di un attore malintenzionato noto come «Waterplum», monitorato a livello internazionale anche con il nome di «Contagious Interview».

Le autorità hanno valutato che Waterplum e i tecnici informatici nordcoreani ad esso associati operino sotto la supervisione diretta dell’Ufficio 313 del Dipartimento dell’Industria delle Munizioni del Partito dei Lavoratori della Corea, che gestisce la ricerca militare e la produzione di armi della Corea del Nord.

Secondo gli investigatori giapponesi, Waterplum ha preso di mira sviluppatori di software, web designer e specialisti di criptovalute su piattaforme di lavoro e social media, spacciandosi per reclutatori di aziende legittime operanti nei settori dell’intelligenza artificiale, della blockchain e del reclutamento nel settore tecnologico.

Durante finte interviste tecniche o prove di programmazione, ai candidati presi di mira veniva chiesto di scaricare software dannoso camuffato da test di programmazione o strumenti per la risoluzione dei problemi delle videoconferenze. Una volta eseguito, il codice installava trojan backdoor e malware per il furto di informazioni, consentendo agli hacker di raccogliere documenti di identità personali e chiavi private di criptovalute.

Tra la fine del 2025 e luglio 2026, la campagna ha compromesso almeno 30.000 dispositivi in tutto il mondo, compromettendo oltre 7.000 portafogli di criptovalute e convogliando almeno 1,7 miliardi di yen (10,71 milioni di dollari) in asset digitali verso portafogli controllati dalla Corea del Nord, hanno affermato i funzionari.

Scoperte in Giappone delle «fabbriche di laptop»

L’indagine ha inoltre messo in luce il ruolo dei «facilitatori interni» che hanno aiutato gli agenti nordcoreani a eludere la verifica della posizione geografica e a ottenere incarichi IT in outsourcing presso aziende giapponesi e statunitensi.

Per la prima volta nella storia delle forze dell’ordine giapponesi, la polizia ha sequestrato e smantellato una “laptop farm” locale che consentiva a lavoratori IT nordcoreani in remoto di operare utilizzando indirizzi IP locali. Le autorità hanno rilevato che i lavoratori IT illegali che operavano attraverso questi schemi hanno trasferito all’estero asset crittografici per un valore di centinaia di milioni di yen.

Le agenzie di sicurezza internazionali hanno esortato le aziende tecnologiche e i lavoratori freelance a prestare attenzione durante i colloqui online, a evitare di eseguire codice non verificato al di fuori di ambienti sandbox isolati e a utilizzare controlli di restrizione dello spazio di lavoro quando si aprono repository di codice non attendibili.