Allierade varnar: WaterPlum-bluff med falska rekryterare drabbade 30 000 enheter

En gemensam varning från USA, Japan, Australien och Tyskland: den Nordkorea-kopplade gruppen WaterPlum använde falska jobbintervjuer för att infektera minst 30 000 enheter och stjäla från över 7 000 kryptoplånböcker.

I den här artikeln

Så fungerar kampanjen
Därför är detta viktigt för rekrytering, inte bara för säkerhetsteam
Praktiska åtgärder för MSP:er och rekryteringsteam

Den 18 september 2026 publicerade cybersäkerhets- och brottsbekämpande myndigheter från USA, Japan, Australien och Tyskland en gemensam varning som kopplar en våg av attacker med falska rekryterare till WaterPlum, en Nordkorea-kopplad grupp som i säkerhetsbranschen är mer känd som "Contagious Interview". Varningen uppger att kampanjen, som pågick från omkring december 2025 till och med juli 2026, komprometterade minst 30 000 enheter i fler än 100 länder.

Foto: Cromemco System Three in United Solder-Wrap Workstation.jpg. Cromemco (CC BY-SA 4.0), Wikimedia Commons. https://commons.wikimedia.org/wiki/File%3ACromemco_System_Three_in_United_Solder-Wrap_Workstation.jpg https://creativecommons.org/licenses/by-sa/4.0/

Så fungerar kampanjen

WaterPlum-aktörer utger sig för att vara rekryterare för AI-, kryptovaluta- eller NFT-företag och kontaktar mjukvaruutvecklare och IT-proffs via sociala medier, jobbplattformar och frilansmarknadsplatser. Efter att en teknisk intervju eller ett kodtest har bokats ombeds kandidaterna att ladda ned ett projekt eller en "fix" för ett samtalsproblem – filer som i själva verket levererar skadlig kod när de körs. Varningen kopplar gruppen till fler än 7 000 komprometterade kryptovalutaplånböcker och minst 10,7 miljoner dollar som förts över till Nordkorea.

Därför är detta viktigt för rekrytering, inte bara för säkerhetsteam

Kampanjen riktar sig särskilt mot intervjufasen. Myndigheterna bedömer att WaterPlum-aktörer och vissa nordkoreanska IT-arbetare som separat söker distansuppdrag arbetar under samma militärkopplade organisation, delvis baserat på gemensam infrastruktur.

Praktiska åtgärder för MSP:er och rekryteringsteam

Kör aldrig kod som tillhandahållits av rekryterare på produktionssystem eller på maskiner som innehåller kryptovalutaplånböcker.
Använd en isolerad sandlåda för alla kodtester eller intervjuövningar som görs på egen hand.
Aktivera ett begränsat körningsläge i VS Code för alla ej betrodda arbetsytor som öppnas under en intervju.
Tillämpa samma noggrannhet kring identitet och betalningar för frilansare som för nyanställda.

Varningens kärnvärde för rekryterande chefer och teknikchefer är enkelt: behandla själva intervjustadiet som en del av attackytan, inte som en formalitet som sker innan säkerhetskontrollerna börjar gälla.

Källa: IC3/FBI – gemensam cybersäkerhetsvarning (PDF).