Nep-sollicitatiegesprekken in de IT-sector helpen Noord-Korea miljoenen aan cryptovaluta te stelen

Nep-sollicitatiegesprekken als lokmiddel

Een Noord-Koreaanse cyberaanvalcampagne, vermomd als legitieme werving voor de techsector, heeft meer dan 30.000 computers in ten minste 100 landen geïnfecteerd, waarbij duizenden cryptowallets en miljoenen dollars zijn gestolen om de wapenprogramma’s van Pyongyang te financieren, waarschuwden wetshandhavingsinstanties uit zes landen.

In een gezamenlijk beveiligingsadvies dat op 18 september werd uitgegeven, hebben het Japanse Nationale Politiebureau (NPA) en het Amerikaanse Federal Bureau of Investigation (FBI), samen met cyber- en inlichtingendiensten uit Australië en Duitsland, gedetailleerde informatie gegeven over de wereldwijde operaties van een bedreiger die bekendstaat als „Waterplum“, internationaal ook gevolgd onder de naam „Contagious Interview“.

De autoriteiten schatten in dat Waterplum en de daarmee verbonden Noord-Koreaanse IT-medewerkers opereren onder direct toezicht van Bureau 313 van het Departement voor de Munitie-industrie van de Arbeiderspartij van Korea, dat het militaire onderzoek en de wapenproductie van Noord-Korea beheert.

Volgens Japanse onderzoekers richtte Waterplum zich op softwareontwikkelaars, webontwerpers en cryptovalutaspecialisten op vacatureplatforms en sociale media door zich voor te doen als recruiters van legitieme wervingsbedrijven op het gebied van kunstmatige intelligentie, blockchain en technologie.

Tijdens nep-technische sollicitatiegesprekken of programmeertests kregen de beoogde kandidaten de instructie om kwaadaardige software te downloaden die was vermomd als programmeertests of tools voor het oplossen van problemen bij videoconferenties. Eenmaal uitgevoerd, installeerde de code backdoor-trojans en malware voor het stelen van informatie, waardoor hackers persoonlijke identificatiedocumenten en privésleutels voor cryptovaluta konden bemachtigen.

Tussen eind 2025 en juli 2026 heeft de campagne wereldwijd minstens 30.000 apparaten geïnfecteerd, waardoor meer dan 7.000 cryptovaluta-wallets werden gecompromitteerd en minstens 1,7 miljard yen ($ 10,71 miljoen) aan digitale activa naar door Noord-Korea gecontroleerde wallets werd gesluisd, aldus functionarissen.

'Laptopboerderijen' ontdekt in Japan

Het onderzoek bracht ook de rol aan het licht van „binnenlandse facilitators“ die Noord-Koreaanse agenten hielpen bij het omzeilen van locatiecontroles en het verkrijgen van uitbestede IT-opdrachten bij Japanse en Amerikaanse bedrijven.

In een primeur voor de Japanse wetshandhaving heeft de politie een lokale „laptopfarm“ in beslag genomen en ontmanteld, waardoor Noord-Koreaanse IT-werknemers op afstand konden werken onder lokale IP-adressen. De autoriteiten merkten op dat illegale IT-werknemers die via deze constructies opereerden, voor honderden miljoenen yen aan crypto-activa naar het buitenland hebben overgemaakt.

Internationale veiligheidsdiensten drongen er bij technologiebedrijven en gig-werknemers op aan om voorzichtig te zijn tijdens online sollicitatiegesprekken, het uitvoeren van niet-gecontroleerde code buiten geïsoleerde sandbox-omgevingen te vermijden en beperkingen voor de werkruimte toe te passen bij het openen van onbetrouwbare coderepositories.