Eine gemeinsame Warnung aus USA, Japan, Australien und Deutschland bringt WaterPlum, verknüpft mit Nordkorea, mit gefälschten Interviews in Verbindung, über die rund 30.000 Geräte infiziert und über 7.000 Wallets bestohlen wurden.
Am 18. September 2026 veröffentlichten Cybersicherheits- und Strafverfolgungsbehörden aus den Vereinigten Staaten, Japan, Australien und Deutschland eine gemeinsame Warnung, die eine Welle von Fake-Recruiter-Angriffen der WaterPlum-Gruppe zuschreibt, einer mit Nordkorea verbundenen Gruppierung, die in der Sicherheitsbranche besser als „Contagious Interview“ bekannt ist. Die Kampagne lief der Warnung zufolge von etwa Dezember 2025 bis Juli 2026 und kompromittierte rund 30.000 Geräte in mehr als 100 Ländern.
WaterPlum-Akteure geben sich als Personalvermittler für KI-, Kryptowährungs- oder NFT-Unternehmen aus und treten über soziale Medien, Jobbörsen und Freelance-Marktplätze an Softwareentwickler und IT-Fachkräfte heran. Nachdem ein technisches Interview oder ein Programmiertest vereinbart wurde, werden die Kandidaten aufgefordert, ein Projekt oder einen „Fix“ für ein Anrufproblem herunterzuladen – Dateien, die beim Ausführen tatsächlich Schadsoftware einschleusen. Die Warnung bringt die Gruppe mit mehr als 7.000 kompromittierten Kryptowährungs-Wallets und rund 10,7 Millionen US-Dollar in Verbindung, die nach Nordkorea transferiert wurden.
Warum das nicht nur Sicherheitsteams, sondern auch das Hiring betrifft
Die Kampagne zielt gezielt auf die Interview- und Onboarding-Phase ab, einen Teil des Prozesses, den die meisten Unternehmen als risikoarm einstufen. Die Behörden gehen davon aus, dass WaterPlum-Akteure und einige nordkoreanische IT-Arbeiter, die sich separat um Remote-Aufträge bemühen, unter derselben militärnahen Organisation agieren – unter anderem aufgrund gemeinsam genutzter Infrastruktur.
Praktische Schritte für MSPs und Hiring-Teams
Vom Personalvermittler bereitgestellten Code niemals auf Produktionssystemen oder auf Rechnern mit Kryptowährungs-Wallets ausführen.
Für jede Take-Home-Coding-Aufgabe oder Interviewübung eine isolierte, wegwerfbare Sandbox verwenden.
Im Editor einen eingeschränkten Ausführungsmodus für jeden nicht vertrauenswürdigen Workspace aktivieren, der während eines Interviews geöffnet wird.
Dieselbe Identitäts- und Zahlungsprüfung auf Freelancer anwenden, die über Kaltakquise gewonnen wurden, wie auf neue Mitarbeiter.
Der Kernwert der Warnung für Hiring-Manager und Engineering-Leads ist einfach: Die Interviewphase selbst als Teil der Angriffsfläche behandeln, nicht als Formalität, die vor dem Greifen der Sicherheitskontrollen stattfindet.
Prüfe in 5 Minuten, ob dein Unternehmen unter NIS2 fällt, und bewerte deine Bereitschaft bei Risikomanagement und Meldepflichten. Kostenlos, im Browser.
Wir verwenden technische Cookies, damit die Seite funktioniert. Mit Ihrer Einwilligung nutzen wir zusätzlich Analyse- und Marketing-Cookies, um das Produkt zu verbessern. Sie können Ihre Wahl jederzeit ändern.
01
NotwendigImmer aktiv
Erforderlich für den Betrieb der Seite (Login, Einstellungen, Sicherheit). Immer aktiv.
02
Helfen uns, die Nutzung der Seite anonym und aggregiert zu verstehen.
03
Erlauben uns, die Wirkung unserer Kampagnen zu messen. Standardmäßig deaktiviert.
