Oszustwo WaterPlum z fałszywym rekruterem dotknęło 30 000 urządzeń, ostrzegają sojusznicy

18 września 2026 r. agencje ds. cyberbezpieczeństwa i organy ścigania ze Stanów Zjednoczonych, Japonii, Australii i Niemiec opublikowały wspólny komunikat, w którym falę ataków z fałszywymi rekruterami przypisano grupie WaterPlum, powiązanej z Koreą Północną i szerzej znanej w branży bezpieczeństwa jako „Contagious Interview”. Komunikat wskazuje, że kampania, trwająca od około grudnia 2025 r. do lipca 2026 r., skompromitowała około 30 000 urządzeń w ponad 100 krajach.

Jak działa kampania

Operatorzy WaterPlum podszywają się pod rekruterów firm z branży AI, kryptowalut lub NFT, docierając do programistów i specjalistów IT za pośrednictwem mediów społecznościowych, portali z ofertami pracy i platform freelancerskich. Po umówieniu rozmowy technicznej lub testu kodowania kandydaci są proszeni o pobranie projektu lub „poprawki” rozwiązującej problem z połączeniem — pliki te w rzeczywistości dostarczają złośliwe oprogramowanie po uruchomieniu. Komunikat wiąże grupę z ponad 7 000 przejętych portfeli kryptowalutowych i około 10,7 mln USD przetransferowanych do Korei Północnej.

Dlaczego ma to znaczenie dla rekrutacji, a nie tylko zespołów bezpieczeństwa

Kampania jest wymierzona konkretnie w etap rozmowy kwalifikacyjnej i wdrożenia, czyli część procesu, którą większość firm traktuje jako obarczoną niskim ryzykiem. Agencje oceniają, że operatorzy WaterPlum oraz niektórzy północnokoreańscy pracownicy IT, którzy osobno poszukują zdalnej pracy kontraktowej, działają w ramach tej samej organizacji powiązanej z wojskiem, częściowo na podstawie wspólnej infrastruktury.

Praktyczne kroki dla MSP i zespołów rekrutacyjnych

• Nigdy nie uruchamiaj kodu dostarczonego przez rekrutera na systemach produkcyjnych ani na maszynach, na których znajdują się portfele kryptowalutowe.
• Korzystaj z izolowanego, jednorazowego środowiska sandbox do każdego testu kodowania do wykonania w domu lub ćwiczenia rekrutacyjnego.
• Włącz tryb ograniczonego wykonywania w edytorze dla każdego niezaufanego obszaru roboczego otwartego podczas rozmowy kwalifikacyjnej.
• Stosuj taką samą staranność w zakresie tożsamości i płatności wobec freelancerów pozyskanych przez zimny kontakt, jak wobec nowych pracowników.

Główna wartość komunikatu dla menedżerów ds. rekrutacji i liderów zespołów inżynierskich jest prosta: traktuj sam etap rozmowy kwalifikacyjnej jako część powierzchni ataku, a nie formalność, która ma miejsce przed zastosowaniem kontroli bezpieczeństwa.

Źródła: ACSC — komunikat WaterPlum / Contagious Interview, IC3/FBI — wspólny komunikat dotyczący cyberbezpieczeństwa (PDF).