La estafa de reclutadores falsos de WaterPlum afectó a 30.000 dispositivos

El 18 de septiembre de 2026, las agencias de ciberseguridad y las fuerzas del orden de Estados Unidos, Japón, Australia y Alemania publicaron un aviso conjunto que atribuye una oleada de ataques de falsos reclutadores a WaterPlum, un grupo vinculado a Corea del Norte más conocido en el sector de la seguridad como «Contagious Interview». El aviso señala que la campaña, desarrollada aproximadamente entre diciembre de 2025 y julio de 2026, comprometió unos 30.000 dispositivos en más de 100 países.

Cómo funciona la campaña

Los operadores de WaterPlum se hacen pasar por reclutadores de empresas de IA, criptomonedas o NFT y contactan con desarrolladores de software y profesionales de TI a través de redes sociales, portales de empleo y plataformas de trabajo autónomo. Después de concertar una entrevista técnica o una prueba de programación, se pide a los candidatos que descarguen un proyecto o una «solución» para un problema de la llamada; en realidad, esos archivos instalan malware al ejecutarse. El aviso vincula al grupo con más de 7.000 monederos de criptomonedas comprometidos y con unos 10,7 millones de dólares transferidos a Corea del Norte.

Por qué esto es importante para la contratación, no solo para los equipos de seguridad

La campaña se dirige específicamente a la fase de entrevista e incorporación, una parte del proceso que la mayoría de las empresas considera de bajo riesgo. Las agencias estiman que los operadores de WaterPlum y algunos trabajadores de TI norcoreanos que, por separado, buscan trabajo como contratistas remotos operan bajo la misma organización vinculada a los militares, en parte por la infraestructura compartida.

Medidas prácticas para los MSP y los equipos de contratación

• No ejecute nunca código proporcionado por reclutadores en sistemas de producción ni en equipos que contengan monederos de criptomonedas.
• Utilice un entorno aislado y desechable para cualquier prueba de programación para casa o ejercicio de entrevista.
• Active un modo de ejecución restringida en el editor para cualquier espacio de trabajo no fiable que se abra durante una entrevista.
• Aplique la misma diligencia de identidad y de pago a los autónomos captados mediante contacto en frío que a los nuevos empleados.

El valor principal del aviso para los responsables de contratación y los jefes de ingeniería es sencillo: traten la propia fase de entrevista como parte de la superficie de ataque, no como un trámite que ocurre antes de que se apliquen los controles de seguridad.

Fuentes: ACSC — aviso sobre WaterPlum / Contagious Interview, IC3/FBI — aviso conjunto de ciberseguridad (PDF).