Falošné pracovné pohovory v IT pomáhajú Severnej Kórei ukradnúť milióny v kryptomenách

Falošné pracovné pohovory ako návnada

Severokórejská kyberútoková kampaň zamaskovaná ako legitímny nábor technických pracovníkov infikovala viac ako 30 000 počítačov v najmenej 100 krajinách, pričom ukradla tisíce kryptopeňaženiek a milióny dolárov na financovanie zbrojných programov Pchjongjangu, varovali orgány činné v trestnom konaní zo šiestich krajín.

V spoločnom bezpečnostnom oznámení vydanom 18. septembra japonská Národná policajná agentúra (NPA) a americký Federálny úrad pre vyšetrovanie (FBI) spolu s kybernetickými a spravodajskými agentúrami z Austrálie a Nemecka podrobne opísali globálne operácie hrozby známej ako „Waterplum“, ktorá je na medzinárodnej úrovni sledovaná aj pod názvom „Contagious Interview“.

Orgány dospeli k záveru, že Waterplum a s ním spojení severokórejskí IT pracovníci pôsobia pod priamym dohľadom Úradu 313 Oddelenia zbrojného priemyslu Kórejskej strany pracujúcich, ktoré riadi vojenský výskum a výrobu zbraní v Severnej Kórei.

Podľa japonských vyšetrovateľov sa Waterplum zameriaval na vývojárov softvéru, webových dizajnérov a špecialistov na kryptomeny na pracovných portáloch a sociálnych médiách, pričom sa vydával za náborárov z legitímnych spoločností zaoberajúcich sa umelou inteligenciou, blockchainom a náborom v technologickom sektore.

Počas falošných technických pohovorov alebo testov programovania boli cieľoví uchádzači vyzvaní, aby si stiahli škodlivý softvér zamaskovaný ako testy programovania alebo nástroje na riešenie problémov pri videokonferenciách. Po spustení kód nainštaloval trojské kone typu „backdoor“ a malvér na krádež informácií, čo hackerom umožnilo získať osobné identifikačné dokumenty a súkromné kľúče od kryptomien.

Medzi koncom roka 2025 a júlom 2026 táto kampaň napadla najmenej 30 000 zariadení po celom svete, čím ohrozila viac ako 7 000 peňaženiek na kryptomeny a presunula digitálne aktíva v hodnote najmenej 1,7 miliardy jenov (10,71 milióna dolárov) do peňaženiek kontrolovaných Severnou Kóreou, uviedli úradníci.

V Japonsku odhalili „farmy na notebookoch“

Vyšetrovanie tiež poukázalo na úlohu „domácich sprostredkovateľov“, ktorí pomáhali severokórejským agentom obísť overovanie polohy a získať outsourcované IT pozície v japonských a amerických firmách.

V rámci prvého tohto druhu zásahu japonských orgánov činných v trestnom konaní polícia zaistila a rozložila miestnu „laptopovú farmu“, ktorá umožňovala vzdialeným severokórejským IT pracovníkom pôsobiť pod miestnymi IP adresami. Orgány konštatovali, že nelegálni IT pracovníci pôsobiaci prostredníctvom týchto schém previedli do zahraničia kryptomenové aktíva v hodnote stoviek miliónov jenov.

Medzinárodné bezpečnostné agentúry naliehavo vyzývajú technologické spoločnosti a pracovníkov na voľnej nohe, aby počas online pohovorov postupovali opatrne, vyhýbali sa spúšťaniu neovereného kódu mimo izolovaných sandboxových prostredí a pri otváraní nedôveryhodných repozitárov kódu využívali obmedzenia pracovného priestoru.