แฮกเกอร์เกาหลีเหนือเจาะระบบคอมพิวเตอร์ 30,000 เครื่องและกระเป๋าเงินคริปโต 7,000 ใบ

คอมพิวเตอร์มากกว่า 30,000 เครื่องในกว่า 100 ประเทศติดเชื้อจากกลุ่มแฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือ ข้อมูลจากกระเป๋าเงินคริปโตเคอเรนซีมากกว่า 7,000 ใบก็ถูกนำไปเช่นกัน สำนักงานตำรวจแห่งชาติญี่ปุ่นและ FBI ประกาศเมื่อวันศุกร์

ระหว่างเดือนธันวาคม 2025 ถึงกรกฎาคม 2026 กระเป๋าเงินของกลุ่มได้รับสกุลเงินดิจิทัลอย่างน้อย 10.71 ล้านดอลลาร์ หน่วยงานอ้างถึงกลุ่มนี้ว่า WaterPlum หรือที่รู้จักในชื่อ Contagious Interview

ผู้รับสมัครปลอมเข้าถึงกระเป๋าเงินคริปโต 7,000 ใบได้อย่างไร

WaterPlum แสร้งทำเป็นผู้รับสมัครงานสำหรับบริษัทที่เกี่ยวข้องกับปัญญาประดิษฐ์ คริปโตเคอเรนซี และโทเค็นที่ไม่สามารถทดแทนได้ กลุ่มนี้ติดต่อนักพัฒนาผ่านโซเชียลมีเดีย เว็บไซต์หางาน และแพลตฟอร์มฟรีแลนซ์

“ผู้กระทำ WaterPlum แสดงตัวเป็นนายจ้างที่มีศักยภาพเพื่อกำหนดเป้าหมายนักพัฒนาซอฟต์แวร์และมืออาชีพด้าน IT ทั่วโลกภายใต้ข้ออ้างของโอกาสในการทำงานที่น่าดึงดูด” สำนักงานตำรวจแห่งชาติญี่ปุ่นและ FBI กล่าวในคำแนะนำร่วม

จากนั้นผู้สมัครจะถูกขอให้สัมภาษณ์ทางเทคนิคหรือทำงานเขียนโค้ดให้เสร็จ กลุ่มนี้สั่งให้พวกเขาดาวน์โหลดไฟล์จากเว็บไซต์แชร์โค้ด ข้ออ้างที่ให้คือการโทรด้วยวิดีโอที่มีปัญหาหรือตัวการทดสอบเอง

ไฟล์เหล่านั้นมีมัลแวร์ ซอฟต์แวร์จะค้นหารหัสผ่านเบราว์เซอร์ ภาพหน้าจอ และการกดแป้นพิมพ์ นอกจากนี้ยังดึงคีย์ส่วนตัวที่ควบคุมกระเป๋าเงินคริปโต ซึ่งเป็นซอฟต์แวร์ที่บุคคลใช้เก็บเงินดิจิทัล

BeInCrypto รายงานในเดือนสิงหาคมเกี่ยวกับนักวิจัยที่ใช้เวลา 22 เดือนภายในเซิร์ฟเวอร์ของกลุ่ม เขาระบุเหยื่อ 1,640 รายใน 57 ประเทศ ตัวเลขอย่างเป็นทางการของวันศุกร์สูงกว่าประมาณ 18 เท่า

ญี่ปุ่นปิดฟาร์มแล็ปท็อปแห่งแรก

เจ้าหน้าที่ยังปิดฟาร์มแล็ปท็อปแห่งแรกที่รู้จักของประเทศ ผู้ช่วยท้องถิ่นเก็บคอมพิวเตอร์ไว้ในบ้านของพวกเขา แรงงานเกาหลีเหนือที่ประจำการในต่างประเทศควบคุมคอมพิวเตอร์เหล่านี้จากระยะไกลและแสร้งเป็นผู้อยู่อาศัยในญี่ปุ่นเพื่อรับสัญญาฟรีแลนซ์

ตามที่ผู้สอบสวนกล่าว แรงงานเหล่านั้นส่งสกุลเงินคริปโตมูลค่าหลายร้อยล้านเยนไปต่างประเทศ ที่อยู่ IP เดียวกันเชื่อมต่อฟาร์มกับแฮกเกอร์

“NPA และ FBI ประเมินว่าทั้งผู้กระทำทางไซเบอร์ WaterPlum และแรงงาน IT เกาหลีเหนือบางส่วนปฏิบัติการภายใต้สำนักใหญ่ที่ 313 ของกรมอุตสาหกรรมยุทโธปกรณ์ที่อยู่ใต้คณะกรรมการกลางพรรคแรงงานเกาหลี”

ในเดือนพฤษภาคม 2025 ชาวเกาหลีเหนือที่ต้องสงสัยคนหนึ่งใช้ประวัติย่อที่ถูกขโมยมาสมัครงานวิศวกรที่ bitFlyer ซึ่งเป็น exchange ของญี่ปุ่น ผู้สัมภาษณ์สังเกตว่าเขาปฏิเสธที่จะย้ายที่อยู่และขอรับการชำระเงินเป็นคริปโต เขาดูเหมือนอ่านคำตอบจากหน้าจออื่นและไม่ได้รับการว่าจ้าง

การปฏิบัติการก่อนหน้านี้ใช้การโทรวิดีโอรับสมัครงานแบบ deepfake เพื่อกำหนดเป้าหมายพนักงานระดับอาวุโส ผู้สอบสวนตอนนี้แนะนำให้วิศวกรรันโค้ดของผู้รับสมัครใน sandbox ซึ่งเป็นพื้นที่ทดสอบที่ปิดสนิทและแยกจากไฟล์จริง