En nordkoreansk statstøttet hackergruppe infiserte over 30 000 datamaskiner i 100 land med skadevare som stjal kryptovaluta verdt millioner av dollar mellom slutten av 2025 og juli 2026.
Falske IT-jobbintervjuer hjelper Nord-Korea med å stjele millioner i krypto
SKREVET AV
DEL
Viktige punkter
- Nord-Koreas WaterPpum-gruppe kompromitterte 30 000 enheter via falske tekniske intervjuer mellom desember 2025 og juli 2026.
- Over 7 000 kryptolommebøker ble brutt, noe som tappet 10,71 millioner dollar og destabiliserte frilansbaserte rekrutteringssystemer for teknologi.
- NPA, FBI og globale allierte oppfordrer selskaper til å håndheve sandkassemiljøer for å forhindre fremtidige programvareutnyttelser.
Falske jobbintervjuer brukt som lokkemiddel
En nordkoreansk cyberangrepskampanje forkledd som legitim teknologirekruttering har infisert mer enn 30 000 datamaskiner i minst 100 land, stjålet tusenvis av kryptolommebøker og millioner av dollar for å finansiere Pyongyangs våpenprogrammer, advarte rettshåndhevende myndigheter fra seks land.
I en felles sikkerhetsadvarsel publisert 18. september beskrev Japans nasjonale politiagentur (NPA) og U.S. Federal Bureau of Investigation (FBI), sammen med cyber- og etterretningsorganer fra Australia og Tyskland, den globale virksomheten til en trusselaktør kjent som «Waterplum», også internasjonalt sporet som «Contagious Interview».
Myndighetene vurderte at Waterplum og tilknyttede nordkoreanske IT-arbeidere opererer under direkte tilsyn av Bureau 313 i Munitions Industry Department i Koreas arbeiderparti, som styrer Nord-Koreas militære forskning og våpenproduksjon.
Ifølge japanske etterforskere rettet Waterplum seg mot programvareutviklere, webdesignere og kryptovalutaspesialister på jobbplattformer og sosiale medier ved å utgi seg for å være rekrutterere fra legitime selskaper innen kunstig intelligens, blokkjede og teknologirekruttering.
Under falske tekniske intervjuer eller kodevurderinger ble målrettede kandidater instruert til å laste ned skadevare forkledd som kodetester eller feilsøkingsverktøy for videokonferanser. Når den ble kjørt, leverte koden bakdørstrojanere og informasjonstyvende skadevare, noe som gjorde det mulig for hackerne å hente personlige identifikasjonsdokumenter og private nøkler til kryptovaluta.
Mellom slutten av 2025 og juli 2026 kompromitterte kampanjen minst 30 000 enheter globalt, brøt seg inn i mer enn 7 000 kryptolommebøker og kanaliserte minst 1,7 milliarder yen (10,71 millioner dollar) i digitale eiendeler inn i nordkoreansk-kontrollerte lommebøker, opplyste tjenestemenn.
«Laptop-farmer» avdekket i Japan
Etterforskningen fremhevet også rollen til «innenlandske tilretteleggere» som hjalp nordkoreanske operatører med å omgå stedsverifisering og få outsourcede IT-jobber hos japanske og amerikanske selskaper.
For første gang for japansk rettshåndhevelse beslagla og demonterte politiet en lokal «laptop-farm» som gjorde det mulig for eksterne nordkoreanske IT-arbeidere å operere under lokale IP-adresser. Myndighetene bemerket at ulovlige IT-arbeidere som opererte gjennom slike ordninger overførte kryptoeiendeler verdt hundrevis av millioner yen til utlandet.
Internasjonale sikkerhetsorganer oppfordret teknologiselskaper og gig-arbeidere til å være forsiktige under nettintervjuer, unngå å kjøre uverifisert kode utenfor isolerte sandkassemiljøer, og bruke kontrollmekanismer for arbeidsområdebegrensning når de åpner ukjente koderepositorier.
Denne artikkelen er oversatt fra engelsk ved hjelp av kunstig intelligens. Den originale engelske versjonen er den autoritative kilden; automatiske oversettelser kan inneholde unøyaktigheter, særlig i juridisk og regulatorisk terminologi.
