Kelompok Peretasan WaterPlum Terkait Korea Utara
WaterPlum, kelompok peretasan yang terkait dengan Korea Utara, telah mengkompromikan lebih dari 30.000 perangkat di lebih dari 100 negara dan wilayah. Mereka mencuri informasi dari lebih dari 7.000 dompet cryptocurrency sambil menargetkan pengembang melalui kampanye perekrutan palsu.
Penyelidikan Internasional
Badan Kepolisian Nasional Jepang mengungkapkan pada 18 September bahwa penyelidikannya, yang dilakukan bersama dengan Kantor Keamanan Siber Nasional, FBI, dan lembaga-lembaga di Australia dan Jerman, telah mengungkap metode serangan kelompok tersebut dan keterkaitannya dengan pekerja TI Korea Utara.
Otoritas Jepang dan AS menilai bahwa WaterPlum, yang terlibat dalam aktivitas ancaman yang dikenal sebagai Contagious Interview, beroperasi di bawah Biro 313 dari Departemen Industri Munisi Partai Pekerja Korea.
Metode Serangan dan Target
Para penyelidik menemukan bahwa lebih dari 30.000 komputer kemungkinan terinfeksi antara Desember 2025 dan Juli 2026. Korban serangan ini tersebar di lebih dari 100 negara, termasuk Jepang, dengan desainer web, insinyur, dan individu yang bekerja di bidang cryptocurrency, blockchain, dan Web3 sebagai target utama.
Selama infeksi, lebih dari 7.000 catatan dompet cryptocurrency dicuri, sementara dompet yang dikendalikan oleh WaterPlum menerima setidaknya 1,7 miliar yen, yang setara dengan sekitar $10,7 juta.
Taktik Perekrutan Palsu
Kementerian Luar Negeri Jepang juga mengonfirmasi bahwa otoritas dari Jepang, Amerika Serikat, Australia, dan Jerman telah secara bersama-sama mengungkap taktik WaterPlum. Mereka mendekati pengembang perangkat lunak dan pekerja TI lainnya melalui media sosial, situs pekerjaan online, dan platform freelance.
Para penyerang berpura-pura sebagai perusahaan yang bergerak di bidang kecerdasan buatan, cryptocurrency, dan NFT yang sah, sebelum menawarkan peluang kerja yang tampaknya menarik kepada para kandidat. Selama wawancara teknis, kandidat diarahkan untuk mengunduh program berbahaya yang dihosting di platform pengembangan kolaboratif.
Malware dan Data yang Dicuri
Kelompok tersebut menyisipkan malware ke dalam paket NPM berbahaya. Setelah perangkat terkompromi, penyerang dapat membangun pintu belakang dan menggunakan alat akses jarak jauh untuk mempertahankan akses dan bergerak melalui sistem yang terpengaruh.
Informasi yang dicuri termasuk kredensial browser, penekanan tombol, tangkapan layar, dan data clipboard. Kunci pribadi dan frasa benih untuk dompet cryptocurrency juga menjadi target, bersama dengan dokumen identitas seperti paspor dan SIM.
Operasi Pertanian Laptop
Para penyelidik Jepang juga mengungkap “pertanian laptop” domestik pertama yang diketahui terhubung dengan pekerja TI Korea Utara. Dalam pengaturan tersebut, seorang fasilitator lokal menyimpan komputer di kediamannya sementara pekerja mengendalikan mesin dari jarak jauh.
Pekerja menggunakan dokumen identitas yang disuplai oleh orang-orang yang tinggal di Jepang untuk menyamar sebagai mereka saat mencari kontrak. Dalam beberapa kasus, pembayaran diarahkan ke rekening bank yang dikendalikan oleh fasilitator.
Kasus Hukum dan Penegakan Hukum
Operasi serupa telah dituntut di Amerika Serikat. Dua pria AS dijatuhi hukuman penjara 18 bulan pada tahun 2026 karena membantu pekerja Korea Utara mengakses laptop perusahaan dari jarak jauh. Otoritas AS juga mengejar hasil dari skema pekerjaan melalui kasus penyitaan cryptocurrency.
Seorang hakim federal pada bulan September memerintahkan penyitaan sekitar $212.700 dalam USDC dan USDT yang dilacak ke alamat pembayaran yang digunakan oleh pekerja TI Korea Utara.
Upaya Perekrutan di Bursa Cryptocurrency
Penyelidikan Jepang juga mengidentifikasi upaya terpisah oleh seorang pekerja TI yang diduga dari Korea Utara untuk mengamankan posisi rekayasa di bursa cryptocurrency bitFlyer. Pelamar mengajukan resume dengan identitas orang lain dan menggunakan Gmail sebagai alamat kontak.
Para penyelidik mencatat perilaku mencurigakan selama wawancara, termasuk pemeriksaan berulang terhadap monitor lain dan gangguan pada umpan video. bitFlyer mengidentifikasi perilaku mencurigakan tersebut dan tidak merekrut pelamar.
Rekomendasi untuk Pemberi Kerja
Otoritas Jepang menyarankan perusahaan untuk memverifikasi lokasi, kualifikasi, dan informasi kontak yang diklaim oleh pelamar, terutama ketika kandidat bersikeras untuk bekerja jarak jauh atau menerima pembayaran dalam cryptocurrency. Pemberi kerja didorong untuk memeriksa keterampilan teknis selama wawancara.
“Pemeriksaan kasus di mana tempat tinggal yang dinyatakan oleh kandidat tidak sesuai dengan lokasi alamat IP yang digunakan untuk mengajukan aplikasi sangat penting.”
