กลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนโดยเกาหลีเหนือได้ติดมัลแวร์ในคอมพิวเตอร์กว่า 30,000 เครื่องในมากกว่า 100 ประเทศ และยังขโมยข้อมูลจากกระเป๋าเงินคริปโตมากกว่า 7,000 รายการ สำนักงานตำรวจแห่งชาติญี่ปุ่นและ FBI เปิดเผยเมื่อวันศุกร์
กระเป๋าเงินที่กลุ่มนี้ควบคุมได้รับสินทรัพย์ดิจิทัลไม่น้อยกว่า 10.71 ล้าน USD ระหว่างเดือนธันวาคม 2025 ถึงกรกฎาคม 2026 ทั้งสองหน่วยงานเรียกกลุ่มนี้ว่า WaterPlum หรืออีกชื่อคือ Contagious Interview
กลุ่มรับสมัครงานปลอมเข้าถึงกระเป๋าเงินคริปโต 7,000 รายการได้อย่างไร
WaterPlum แอบอ้างตัวเป็นนายหน้าสรรหาบุคลากรด้านปัญญาประดิษฐ์ คริปโตเคอเรนซี และหน่วยโทเคน NFT พวกเขาเข้าหานักพัฒนาบนโซเชียลมีเดีย กระดานหางาน และตลาดฟรีแลนซ์
เจ้าหน้าที่ WaterPlum สวมรอยเป็นนายจ้างที่มีศักยภาพเพื่อเข้าถึงนักพัฒนาซอฟต์แวร์และผู้เชี่ยวชาญ IT ทั่วโลก โดยสร้างข้ออ้างเป็นโอกาสในการได้งานที่น่าสนใจ สำนักงานตำรวจแห่งชาติญี่ปุ่นและ FBI กล่าวในคำแนะนำร่วมกัน
จากนั้นผู้สมัครจะถูกเชิญให้สัมภาษณ์เชิงเทคนิคหรือทำแบบทดสอบการเขียนโค้ด กลุ่มนี้แจ้งให้ดาวน์โหลดไฟล์จากเว็บไซต์แชร์โค้ด โดยอ้างปัญหาวิดีโอคอลเสียหรือมอบหมายงานโดยตรง
ไฟล์เหล่านั้นซ่อนมัลแวร์ไว้ โปรแกรมจะแอบล่ารหัสผ่านเบราว์เซอร์ ภาพหน้าจอ และการกดแป้นพิมพ์ นอกจากนี้ยังขโมยกุญแจลับที่ควบคุมกระเป๋าเงินคริปโต ซึ่งเป็นซอฟต์แวร์ที่ใช้จัดเก็บสินทรัพย์ดิจิทัล
BeInCrypto รายงานในเดือนสิงหาคมว่ามีนักวิจัยคนหนึ่งใช้เวลา 22 เดือนอยู่บนเซิร์ฟเวอร์ของกลุ่มนี้ โดยเขาได้ทำแผนที่เหยื่อ 1,640 รายใน 57 ประเทศ ตัวเลขอย่างเป็นทางการในวันศุกร์มีขนาดมากกว่าราว 18 เท่า
ญี่ปุ่นทลายฟาร์มคอมพิวเตอร์โน้ตบุ๊กแห่งแรก
ตำรวจยังได้ปิดฟาร์มคอมพิวเตอร์โน้ตบุ๊กแห่งแรกที่รู้จักในประเทศ ผู้ร่วมมือในท้องถิ่นเก็บคอมพิวเตอร์ไว้ที่บ้านของตนเอง ขณะที่คนงานเกาหลีเหนือที่อยู่ต่างประเทศควบคุมระยะไกลและสวมรอยเป็นชาวญี่ปุ่นเพื่อชิงสัญญาฟรีแลนซ์
นักสืบระบุว่าคนงานกลุ่มนี้ส่งเงินคริปโตไปต่างประเทศเป็นมูลค่าหลายร้อยล้านเยน หมายเลขไอพีเดียวกันเชื่อมโยงฟาร์มแห่งนี้กับแฮ็กเกอร์กลุ่มเดียวกัน
สำนักงานตำรวจแห่งชาติญี่ปุ่นและ FBI ประเมินว่าทั้งกลุ่มไซเบอร์ WaterPlum และเจ้าหน้าที่ IT ชาวเกาหลีเหนือบางรายปฏิบัติการภายใต้ 313 General Bureau ของ Munitions Industry Department ซึ่งขึ้นตรงต่อคณะกรรมการกลางพรรคแรงงานแห่งเกาหลี
ชาวเกาหลีเหนือที่น่าสงสัยคนหนึ่งสมัครงานวิศวกรที่ bitFlyer ตลาดแลกเปลี่ยนของญี่ปุ่นในเดือนพฤษภาคม 2025 โดยใช้ประวัติย่อที่ขโมยมา ผู้สัมภาษณ์สังเกตเห็นว่าผู้สมัครปฏิเสธจะย้ายถิ่นฐานและเรียกร้องเงินเดือนเป็นคริปโต อีกทั้งยังดูเหมือนอ่านคำตอบจากจอที่สอง จึงไม่ได้รับการจ้างงาน
ในอดีตแคมเปญจะใช้การสัมภาษณ์ผ่านวิดีโอ deepfake เพื่อเข้าถึงผู้บริหารระดับสูง ปัจจุบันเจ้าหน้าที่แนะนำให้วิศวกรรันโค้ดที่ได้รับจากนายหน้าบน sandbox ซึ่งเป็นพื้นที่ทดสอบที่แยกออกจากไฟล์จริงอย่างปลอดภัย
