Un gruppo di hacker sostenuto dalla Corea del Nord ha infettato più di 30.000 computer in oltre 100 Paesi. Inoltre, ha rubato dati da più di 7.000 wallet crypto, secondo quanto dichiarato venerdì dalla National Police Agency giapponese e dall’FBI.
I wallet controllati dal gruppo hanno ricevuto almeno 10,71 milioni di dollari in asset digitali tra dicembre 2025 e luglio 2026. Le agenzie chiamano il gruppo WaterPlum, noto anche come Contagious Interview.
Come i falsi recruiter hanno raggiunto 7.000 wallet crypto
WaterPlum si finge headhunter per aziende che operano nell’intelligenza artificiale, nelle crypto e nelle società di token non fungibili (NFT). Approccia gli sviluppatori tramite social media, siti di offerte di lavoro e marketplace per freelance.
“Gli attori di WaterPlum si spacciano per potenziali datori di lavoro per colpire sviluppatori software e professionisti IT in tutto il mondo con il pretesto di offerte di lavoro allettanti”, hanno spiegato in dettaglio la National Police Agency del Giappone e l’FBI nella comunicazione congiunta.
Ai candidati viene poi chiesto di sostenere un colloquio tecnico oppure di completare un test di coding. Il gruppo chiede loro di scaricare file da siti di condivisione di codice, con il pretesto di una videochiamata interrotta o dell’assegnazione stessa.
Questi file contengono malware. I programmi cercano le password dei browser, acquisiscono screenshot e tracciano ciò che viene digitato sulla tastiera. Inoltre, sottraggono le chiavi segrete che controllano un wallet crypto, ossia il software che permette alle persone di conservare denaro digitale.
BeInCrypto aveva riportato ad agosto il caso di un ricercatore che aveva passato 22 mesi all’interno dei server del gruppo. Egli aveva individuato 1.640 vittime in 57 Paesi. Il conteggio ufficiale di venerdì è circa 18 volte più alto.
Il Giappone smantella la sua prima laptop farm
La polizia ha anche smantellato la prima laptop farm conosciuta nel Paese. Alcuni collaboratori locali tenevano i computer nelle proprie abitazioni. Lavoratori nordcoreani all’estero li controllavano da remoto, fingendosi residenti giapponesi per ottenere contratti freelance.
Secondo gli investigatori, questi lavoratori hanno inviato all’estero crypto per un valore di diverse centinaia di milioni di yen. Gli stessi indirizzi Internet hanno collegato la farm agli hacker.
“La NPA e l’FBI valutano che sia gli attori informatici di WaterPlum sia alcuni lavoratori IT nordcoreani agiscano sotto il 313 General Bureau del Dipartimento dell’Industria degli Armamenti, subordinato al Comitato Centrale del Partito dei Lavoratori di Corea.”
Un sospetto nordcoreano si era candidato a maggio 2025 per una posizione di ingegnere presso l’exchange giapponese bitFlyer utilizzando un curriculum rubato. Gli intervistatori hanno notato che si rifiutava di trasferirsi e chiedeva il pagamento in crypto. Sembrava leggere le risposte da un secondo schermo e non è stato assunto.
Le campagne precedenti si sono basate su videochiamate deepfake per le assunzioni al fine di raggiungere personale di livello senior. Gli investigatori ora consigliano agli ingegneri di eseguire il codice dei recruiter all’interno di una sandbox, un’area di test isolata dai file reali.
