Sedm zemí spojuje severokorejské hackery s podvodným schématem IT pracovníků

Společné varování sedmi orgánů činných v trestním řízení a zpravodajských agentur ze čtyř zemí oficiálně propojilo severokorejskou hackerskou skupinu se stejným vládním úřadem, který dohlíží na rozsáhlou síť podvodných vzdálených IT pracovníků v Pchjongjangu. Toto odhalení přichází spolu s novou zprávou z Nového Zélandu, která odhaluje, že severokorejský agent infiltroval místní firmu tím, že se vydával za IT dodavatele.

Varování sedmi agentur

Varování, které 18. září zveřejnila německá Spolková zpravodajská služba (BND), identifikuje hackerskou skupinu známou jako WaterPlum – v kybernetickém průmyslu označovanou jako Contagious Interview – jako operující pod severokorejským 313. generálním úřadem, jednotkou podřízenou oddělení muničního průmyslu Korejské strany práce. Dokument nese podpisy FBI, Centra pro kybernetickou kriminalitu Ministerstva obrany USA, Japonské národní policejní agentury, Australského centra pro kybernetickou bezpečnost a německých služeb BND a BfV.ic3+2

Mezi prosincem 2025 a červencem 2026 infikovala skupina WaterPlum nejméně 30 000 zařízení ve více než 100 zemích a ukradla prostředky nebo přihlašovací údaje z přibližně 7 000 kryptoměnových peněženek, uvádí The Record. Celkový lup činil přibližně 1,7 miliardy jenů – zhruba 10,7 milionu dolarů – které byly odeslány zpět do Pchjongjangu, informoval server Quartz.qz+1

Operativci WaterPlum se vydávali za náboráře na pracovních portálech a tržištích pro freelancery a zaměřovali se na vývojáře softwaru a specialisty na blockchain. Oběti byly požádány o absolvování kódovacích testů nebo opravu údajných chyb ve videokonferenčním softwaru; soubory byly infikovány rodinami malwaru, včetně BeaverTail, InvisibleFerret a OtterCookie. Po instalaci software shromažďoval hesla z prohlížečů, stisky kláves, počáteční fráze peněženek a skenoval doklady totožnosti. Vyšetřovatelé také zjistili, že skupina během videohovorů používala nástroje pro výměnu obličejů pomocí umělé inteligence.therecord+3

Úřady vytvořily přímou spojnici mezi WaterPlum a širším schématem podvodů s IT pracovníky v Severní Koreji, přičemž citovaly překrývající se IP adresy mezi oběma operacemi. Někteří operativci WaterPlum souběžně vykonávali legitimní práci na volné noze v oblasti vývoje webu, zatímco prováděli malwarové kampaně.qz

Případová studie z Nového Zélandu

Nezávisle na tom novozélandské Národní centrum pro kybernetickou bezpečnost ve své výroční zprávě o kybernetických hrozbách za rok 2026 odhalilo, že severokorejský agent vydávající se za vzdáleného IT dodavatele byl nevědomky najat velkou novozélandskou firmou. Pracovník použil falešnou identitu a najal novozélandského občana, aby převzal a obsluhoval firemní notebook – taktika odpovídající takzvaným schématům „laptopových farem“.1news

Poté, co firma pojala podezření a smlouvu ukončila, agent pohrozil zveřejněním obchodně citlivých informací, pokud mu nebude zaplaceno. Zástupkyně generálního ředitele NCSC Catriona Robinson varovala, že „tento druh činnosti podléhá sankcím OSN“, a vyzvala zaměstnavatele, aby s pracovníky vedli pohovory osobně a vyžadovali, aby si noví zaměstnanci vyzvedávali IT vybavení osobně.1news

Rostoucí a propojená hrozba

Varování BND uvádí, že WaterPlum a operace severokorejských IT pracovníků jsou „téměř jistě propojeny“ a pravděpodobně sdílejí organizační dohled pod oddělením muničního průmyslu. Americké úřady odhadují, že širší schéma IT pracovníků vygenerovalo jen v roce 2024 částku 800 milionů dolarů. Japonská národní policejní agentura uvedla, že vyšetřovatelé poprvé lokalizovali a zlikvidovali severokorejskou laptopovou farmu na japonské půdě, přičemž záznamy ukazují, že ze země byly vyvedeny stovky milionů jenů.bnd.bund+2