การสัมภาษณ์งานไอทีปลอมช่วยให้เกาหลีเหนือขโมยเงินคริปโตไปได้หลายล้าน

ใช้การสัมภาษณ์งานปลอมเป็นเหยื่อล่อ

ปฏิบัติการโจมตีไซเบอร์ของเกาหลีเหนือที่ปลอมตัวเป็นการสรรหางานด้านเทคโนโลยีอย่างถูกต้องตามกฎหมาย ได้ทำให้คอมพิวเตอร์มากกว่า 30,000 เครื่องในอย่างน้อย 100 ประเทศติดเชื้อ พร้อมขโมยกระเป๋าเงินคริปโตนับพันใบและเงินหลายล้านดอลลาร์ เพื่อนำไปสนับสนุนโครงการอาวุธของเปียงยาง หน่วยงานบังคับใช้กฎหมายจาก 6 ประเทศออกคำเตือน

ใน คำแนะนำด้านความปลอดภัยร่วมที่ออกเมื่อวันที่ 18 ก.ย. สำนักงานตำรวจแห่งชาติญี่ปุ่น (NPA) และสำนักงานสอบสวนกลางสหรัฐฯ (FBI) ร่วมกับหน่วยงานไซเบอร์และข่าวกรองจากออสเตรเลียและเยอรมนี ได้อธิบายรายละเอียดการปฏิบัติการทั่วโลกของผู้ก่อภัยคุกคามที่รู้จักกันในชื่อ “Waterplum” ซึ่งในระดับสากลยังถูกติดตามในชื่อ “Contagious Interview”

ทางการประเมินว่า Waterplum และแรงงานไอทีของเกาหลีเหนือที่เกี่ยวข้อง ปฏิบัติการภายใต้การกำกับดูแลโดยตรงของสำนัก 313 แห่งกรมอุตสาหกรรมยุทโธปกรณ์ของพรรคแรงงานเกาหลี ซึ่งดูแลงานวิจัยทางทหารและการผลิตอาวุธของเกาหลีเหนือ

ตามรายงานของผู้สืบสวนญี่ปุ่น Waterplum มุ่งเป้าไปที่นักพัฒนาซอฟต์แวร์ นักออกแบบเว็บ และผู้เชี่ยวชาญด้านคริปโทเคอร์เรนซีบนแพลตฟอร์มหางานและโซเชียลมีเดีย โดยปลอมตัวเป็นผู้สรรหาจากบริษัทด้านปัญญาประดิษฐ์ บล็อกเชน และบริษัทจัดหางานสายเทคที่ถูกต้องตามกฎหมาย

ระหว่างการสัมภาษณ์เชิงเทคนิคปลอมหรือการประเมินการเขียนโค้ด ผู้สมัครที่ตกเป็นเป้าหมายจะถูกสั่งให้ดาวน์โหลด ซอฟต์แวร์อันตราย ที่ปลอมเป็นแบบทดสอบการเขียนโค้ดหรือเครื่องมือแก้ปัญหาการประชุมวิดีโอ เมื่อถูกเรียกใช้งาน โค้ดจะส่งโทรจันแบบแบ็กดอร์และมัลแวร์ขโมยข้อมูล ทำให้แฮ็กเกอร์สามารถเก็บเกี่ยวเอกสารยืนยันตัวตนและกุญแจส่วนตัวของคริปโทเคอร์เรนซีได้

ตั้งแต่ปลายปี 2025 ถึงเดือนกรกฎาคม 2026 แคมเปญดังกล่าวเจาะระบบอุปกรณ์อย่างน้อย 30,000 เครื่องทั่วโลก ทำให้กระเป๋าเงินคริปโทเคอร์เรนซีมากกว่า 7,000 ใบถูกเจาะ และส่งต่อสินทรัพย์ดิจิทัลอย่างน้อย 1.7 พันล้านเยน (10.71 ล้านดอลลาร์) ไปยังกระเป๋าเงินที่ ถูกควบคุมโดยเกาหลีเหนือ เจ้าหน้าที่ระบุ

พบ “ฟาร์มแล็ปท็อป” ในญี่ปุ่น

การสืบสวนยังเน้นบทบาทของ “ผู้เอื้อประโยชน์ในประเทศ” ที่ช่วยให้ผู้ปฏิบัติการชาวเกาหลีเหนือหลบเลี่ยงการตรวจยืนยันตำแหน่งที่ตั้ง และได้งานไอทีแบบเอาต์ซอร์ซกับบริษัทในญี่ปุ่นและสหรัฐฯ

เป็นครั้งแรกสำหรับการบังคับใช้กฎหมายของญี่ปุ่นที่ตำรวจยึดและรื้อถอน “ฟาร์มแล็ปท็อป” ในประเทศ ซึ่งทำให้แรงงานไอทีชาวเกาหลีเหนือที่ทำงานระยะไกลสามารถปฏิบัติการภายใต้ที่อยู่ IP ภายในประเทศได้ ทางการระบุว่าแรงงานไอทีผิดกฎหมายที่ดำเนินการผ่านรูปแบบเหล่านี้ ได้โอนสินทรัพย์คริปโตมูลค่าหลายร้อยล้านเยนออกไปต่างประเทศ

หน่วยงานความมั่นคงระหว่างประเทศได้ขอให้บริษัทเทคและแรงงานกิ๊กใช้ความระมัดระวังระหว่างการสัมภาษณ์ออนไลน์ หลีกเลี่ยงการรันโค้ดที่ไม่ได้รับการตรวจสอบนอกสภาพแวดล้อมแซนด์บ็อกซ์ที่แยกขาด และใช้การควบคุมการจำกัดพื้นที่ทำงานเมื่อเปิดคลังโค้ดที่ไม่น่าเชื่อถือ