WaterPlum, truffa dei finti reclutatori: 30.000 dispositivi colpiti, avvertono gli alleati

Il 18 settembre 2026, le agenzie di cybersicurezza e di contrasto di Stati Uniti, Giappone, Australia e Germania hanno pubblicato un avviso congiunto che attribuisce un'ondata di attacchi di finti reclutatori a WaterPlum, un gruppo legato alla Corea del Nord, più noto nel settore della sicurezza come "Contagious Interview". L'avviso afferma che la campagna, attiva indicativamente da dicembre 2025 a luglio 2026, ha compromesso circa 30.000 dispositivi in oltre 100 Paesi.

Come funziona la campagna

Gli operatori di WaterPlum si fingono reclutatori per aziende di IA, criptovalute o NFT e contattano sviluppatori software e professionisti IT tramite social media, portali di lavoro e piattaforme freelance. Dopo aver organizzato un colloquio tecnico o un test di programmazione, ai candidati viene chiesto di scaricare un progetto o una "correzione" per un problema di chiamata: file che in realtà distribuiscono malware una volta eseguiti. L'avviso collega il gruppo a oltre 7.000 portafogli di criptovalute compromessi e a circa 10,7 milioni di dollari trasferiti in Corea del Nord.

Perché è importante per le assunzioni, non solo per i team di sicurezza

La campagna prende di mira specificamente la fase di colloquio e inserimento, una parte del processo che la maggior parte delle aziende considera a basso rischio. Le agenzie ritengono che gli operatori di WaterPlum e alcuni lavoratori IT nordcoreani che cercano separatamente lavoro a contratto da remoto operino sotto la stessa organizzazione legata all'esercito, in parte sulla base di infrastrutture condivise.

Passi pratici per MSP e team di assunzione

• Non eseguire mai codice fornito dai reclutatori su sistemi di produzione o su macchine che contengono portafogli di criptovalute.
• Usa una sandbox isolata e monouso per qualsiasi test di programmazione da casa o esercizio di colloquio.
• Attiva una modalità di esecuzione limitata nell'editor per qualsiasi area di lavoro non attendibile aperta durante un colloquio.
• Applica ai freelance contattati a freddo la stessa diligenza su identità e pagamenti che applichi ai nuovi dipendenti.

Il valore principale dell'avviso per responsabili delle assunzioni e responsabili tecnici è semplice: tratta la fase di colloquio stessa come parte della superficie di attacco, non come una formalità che avviene prima che si applichino i controlli di sicurezza.

Fonti: Avviso ACSC — WaterPlum / Contagious Interview, Avviso congiunto di cybersicurezza IC3/FBI (PDF).