Burla do WaterPlum com falsos recrutadores atingiu 30.000 dispositivos, alertam aliados

Em 18 de setembro de 2026, as agências de cibersegurança e de aplicação da lei dos Estados Unidos, Japão, Austrália e Alemanha publicaram um alerta conjunto que atribui uma vaga de ataques de falsos recrutadores ao WaterPlum, um grupo ligado à Coreia do Norte mais conhecido no setor da segurança como "Contagious Interview". O alerta indica que a campanha, que decorreu entre cerca de dezembro de 2025 e julho de 2026, comprometeu cerca de 30.000 dispositivos em mais de 100 países.

Como funciona a campanha

Os operadores do WaterPlum fazem-se passar por recrutadores de empresas de IA, criptomoedas ou NFT, abordando programadores de software e profissionais de TI através de redes sociais, portais de emprego e plataformas de freelancers. Depois de ser marcada uma entrevista técnica ou um teste de programação, os candidatos são instruídos a descarregar um projeto ou uma "correção" para um problema de chamada — ficheiros que, na realidade, instalam malware assim que são executados. O alerta liga o grupo a mais de 7.000 carteiras de criptomoedas comprometidas e a cerca de 10,7 milhões de dólares transferidos para a Coreia do Norte.

Porque é que isto importa para a contratação, e não apenas para as equipas de segurança

A campanha visa especificamente a fase de entrevista e integração, uma parte do processo que a maioria das empresas trata como de baixo risco. As agências avaliam que os operadores do WaterPlum e alguns trabalhadores de TI norte-coreanos que procuram, separadamente, trabalho remoto como contratados, operam sob a mesma organização ligada aos militares, com base, em parte, em infraestruturas partilhadas.

Medidas práticas para MSPs e equipas de contratação

• Nunca execute código fornecido por recrutadores em sistemas de produção ou em máquinas que contenham carteiras de criptomoedas.
• Utilize uma sandbox isolada e descartável para qualquer teste de programação para casa ou exercício de entrevista.
• Ative um modo de execução restrito no editor para qualquer área de trabalho não confiável aberta durante uma entrevista.
• Aplique a mesma diligência de identidade e pagamento a freelancers provenientes de contacto não solicitado tal como a novos funcionários.

O valor central do alerta para gestores de contratação e líderes de engenharia é simples: tratar a própria fase de entrevista como parte da superfície de ataque, e não como uma formalidade que ocorre antes de se aplicarem os controlos de segurança.

Fontes: ACSC — Alerta sobre WaterPlum / Contagious Interview, IC3/FBI — alerta conjunto de cibersegurança (PDF).