آژانس‌های امنیتی و انتظامی کشورهای ژاپن، ایالات متحده، استرالیا و آلمان در یک هشدار مشترک، یک طرح گسترده استخدامی را به گروه کره شمالی موسوم به WaterPlum (یا Contagious Interview) نسبت دادند. این گزارش جزئیات دقیقی از متدهای این گروه و اولین عملیات موفق ژاپن در شناسایی و تخریب یک «مزرعه لپ‌تاپ» (Laptop Farm) متعلق به این بازیگران تهدید را منتشر کرده است.
استراتژی نفوذ و جذب نیروی جعلی
گروه WaterPlum با جعل هویت شرکت‌های فعال در حوزه هوش مصنوعی (AI)، ارزهای دیجیتال (Cryptocurrency) و NFT، متخصصان IT و توسعه‌دهندگان نرم‌افزار را هدف قرار می‌دهد. این گروه حتی از سرویس‌های استخدامی معتبر برای برقراری ارتباط با قربانیان استفاده می‌کنند. بر اساس گزارش‌ها، بین دسامبر ۲۰۲۵ تا جولای ۲۰۲۶، این گروه موفق به آلوده کردن بیش از ۳۰,۰۰۰ دستگاه در ۱۰۰ کشور جهان شده است که تمرکز اصلی آن‌ها بر طراحان وب، مهندسان و متخصصان Blockchain و Web3 بوده است.
تخمین خسارات مالی و عملیاتی
این عملیات منجر به سرقت اعتبارنامه‌ها (Credentials) و دارایی‌های بیش از ۷,۰۰۰ کیف پول دیجیتال شده و تخمین زده می‌شود که حدود ۱۰.۷۱ میلیون دلار به کره شمالی منتقل شده است. تحلیل‌های FBI و پلیس ملی ژاپن نشان می‌دهد که اپراتورهای WaterPlum تحت فرمان 313 General Bureau در سازمان صنعت مهمات (Munitions Industry Department) حزب کارگر کره فعالیت می‌کنند.
مفهوم مزرعه لپ‌تاپ (Laptop Farm)
بخش کلیدی این استراتژی، استفاده از «مزرعه‌های لپ‌تاپ» است؛ مکان‌هایی (اغلب منزل همدستان) که در آن تعداد زیادی دستگاه مستقر شده و توسط کارکنان IT کره شمالی از راه دور مدیریت می‌شوند. این زیرساخت به آن‌ها اجازه می‌دهد تا مکان واقعی خود را پنهان کرده و به عنوان نیروی متخصص در کشورهای دیگر ظاهر شوند. ژاپن اخیراً برای اولین بار یکی از این مراکز را متلاشی کرد و شواهدی از انتقال صدها میلیون ین ژاپن به صورت ارز دیجیتال به خارج از کشور یافت.
نشانه‌های شناسایی در مصاحبه‌های استخدامی
در این گزارش، متدهای متفاوتی که برای شناسایی این افراد در مصاحبه‌های آنلاین به کار می‌رود، ذکر شده است:
- استفاده از Deepfake: بهره‌گیری از ابزارهای Face-swapping در ابتدای تماس‌های ویدئویی و قطع عمدی ارتباط به بهانه مشکلات فنی برای جلوگیری از شناسایی.
- تناقضات رزومه: ادعای تسلط بر تعداد زیادی از زبان‌های برنامه‌نویسی و مدارک تحصیلی جعلی که با سطح تسلط زبانی و مهارت‌های عملی فرد در مصاحبه همخوانی ندارد.
- رفتارهای مشکوک: درخواست پرداخت دستمزد به صورت ارز دیجیتال، امتناع از ملاقات حضوری و مشاهده رفتاری که گویای خواندن پاسخ‌ها از یک صفحه نمایش دیگر است.
- ابزارهای کمکی: استفاده از Text-to-speech برای اصلاح تلفظ زبان ژاپنی و ابزارهای ترجمه ماشینی در حین گفتگو.
این سازمان‌ها هشدار می‌دهند که خطر این گروه تنها به سرقت ارز دیجیتال محدود نمی‌شود؛ بلکه نفوذ یک توسعه‌دهنده آلوده به شبکه سازمان، می‌تواند مسیری برای جاسوسی صنعتی، سرقت اسرار تجاری و باج‌افزاری (Extortion) ایجاد کند.
