قامت مجموعة اختراق مدعومة من كوريا الشمالية بإصابة أكثر من 30,000 جهاز كمبيوتر في أكثر من 100 دولة. كما سرقت بيانات من أكثر من 7,000 محفظة عملات مشفرة، حسبما قالت وكالة الشرطة الوطنية اليابانية ومكتب التحقيقات الفيدرالي يوم الجمعة.
المحافظ التي تسيطر عليها المجموعة حصلت على ما لا يقل عن 10.71 مليون دولار من الأصول الرقمية بين ديسمبر 2025 ويوليو 2026. تسمي الوكالات المجموعة WaterPlum، والتي تتبعها أيضا ب Contagious Interview.
كيف وصل مسؤولو التوظيف المزيفون إلى 7,000 محفظة عملات رقمية
تتظاهر WaterPlum بأنها صائدة رؤوس لشركات الذكاء الاصطناعي، والعملات المشفرة، والرموز غير القابلة للاستبدال. تتواصل مع المطورين عبر وسائل التواصل الاجتماعي، ولوحات الوظائف، وأسواق العمل الحر.
قالت وكالة الشرطة الوطنية اليابانية ومكتب التحقيقات الفيدرالي في التنصير المشترك: "يتظاهر ممثلو WaterPlum بأنهم أصحاب عمل محتملون لاستهداف مطوري البرمجيات ومحترفي تكنولوجيا المعلومات حول العالم تحت ذريعة فرص عمل جذابة".
يطلب من المتقدمين بعد ذلك إجراء مقابلة تقنية أو إكمال اختبار ترميز. يطلب منهم الفريق تحميل الملفات من مواقع مشاركة الكود. الذريعة هي مكالمة فيديو معطوبة أو المهمة نفسها.
تحمل تلك الملفات برمجيات خبيثة. تبحث البرامج عن كلمات مرور المتصفح، ولقطات الشاشة، وضغطات المفاتيح. كما تأخذ المفاتيح السرية التي تتحكم في محفظة العملات الرقمية، وهي البرمجيات التي يستخدمها الناس للاحتفاظ بالأموال الرقمية.
أفادت BeInCrypto في أغسطس عن باحث قضى 22 شهرا داخل خوادم المجموعة. قام برسم خريطة ل 1,640 ضحية في 57 دولة. العدد الرسمي يوم الجمعة أكبر بحوالي 18 مرة.
اليابان تفكك أول مزرعة لابتوب لها
كما أغلقت الشرطة أول مزرعة أجهزة كمبيوتر محمولة معروفة في البلاد. احتفظ المساعدون المحليون بأجهزة الكمبيوتر في منازلهم. كان العمال الكوريون الشماليون في الخارج يتحكمون بها عن بعد ويتظاهرون بأنهم مقيمون يابانيين للفوز بعقود عمل مستقل.
قال المحققون إن هؤلاء العمال أرسلوا عدة مئات من ملايين الين من العملات الرقمية إلى الخارج. نفس عناوين الإنترنت ربطت المزرعة بالقراصنة.
"تقوم وكالة الدفاع الوطني ومكتب التحقيقات الفيدرالي بتقييم كل من الجهات السيبرانية في WaterPlum وبعض موظفي تكنولوجيا المعلومات الكوريين الشماليين الذين يعملون تحت المكتب العام 313 لإدارة صناعة الذخائر التابع للجنة المركزية لحزب العمال الكوري."
طلب أحد المشتبه بهم في كوريا الشمالية وظيفة هندسة في بورصة bitFlyer اليابانية في مايو 2025 باستخدام سيرة ذاتية مسروقة. لاحظ المحاورون أنه رفض الانتقال وطالبوا بالدفع بالعملات الرقمية. بدا وكأنه يقرأ الإجابات من شاشة ثانية، ولم يتم توظيفه.
كانت الحملات السابقة تعتمد على مكالمات الفيديو التزييف العميق للاستقطاب للوصول إلى كبار الموظفين. يطلب المحققون الآن من المهندسين تشغيل كود المجندين داخل منطقة رمل، وهي منطقة اختبار مغلقة محصورة عن الملفات الحقيقية.
