По данным Forklog, полиция Японии совместно с ФБР и другими международными партнёрами выпустила предупреждение о северокорейской хакерской группировке WaterPlum. Злоумышленники скомпрометировали около 30 000 устройств и получили доступ к более чем 7000 криптокошелькам.

Правоохранители установили, что группа перевела в КНДР примерно 1,7 млрд иен (около $10,71 млн) в украденных цифровых активах. WaterPlum связывают с 313-м генеральным бюро Департамента военной промышленности Северной Кореи.

Как работает схема с фейковыми собеседованиями

Преступники выдают себя за рекрутёров и представителей криптокомпаний, а также фирм из сферы искусственного интеллекта. Они отправляют потенциальным жертвам вредоносные файлы, маскируя их под тестовые задания или инструменты для исправления технических проблем на онлайн-собеседовании.

После открытия такого файла на устройство жертвы устанавливаются трояны и инфостилеры — программы для кражи данных. Японское Национальное полицейское агентство опубликовало схему заражения, показывающую этапы атаки: от первого контакта до полной компрометации устройства.

Злоумышленники крадут данные браузеров, закрытые ключи от криптокошельков, сид-фразы и документы, удостоверяющие личность. В отчёте перечислены вредоносные программы, которые использует группировка: BeaverTail, InvisibleFerret, OtterCookie, OtterCandy и StoatWaffle.

Признаки подозрительных «работодателей»

Правоохранители назвали несколько тревожных сигналов, на которые стоит обратить внимание соискателям:

  • категорический отказ от очных встреч или видеозвонков с включённой камерой;
  • просьбы о выплате зарплаты исключительно в криптовалюте;
  • технические проблемы во время онлайн-собеседования — сбои видео и звука, посторонние голоса на фоне, заметное чтение ответов с другого экрана.

Связь с «фермами ноутбуков» и удалёнными работниками КНДР

Следствие выявило связь WaterPlum со схемой трудоустройства северокорейских IT-специалистов за рубежом. Эти работники устраиваются на удалённую работу в западные компании через посредников и так называемые «фермы ноутбуков».

Ферма ноутбуков — это площадка, где компьютеры формально находятся у местных подрядчиков, но фактически управляются дистанционно из других стран, включая Северную Корею. Японские власти заявили, что впервые обнаружили и ликвидировали такую ферму на своей территории.

По данным расследования, группа перевела за границу несколько сотен миллионов иен в криптовалюте через эту схему. Посредник, управлявший фермой, был задержан японской полицией.

Эволюция угрозы: ИИ на службе хакеров

В августе 2025 года компания Genians предупредила, что северокорейские хакеры начали активно использовать искусственный интеллект для подготовки и проведения кибератак. Это делает их действия более изощрёнными и труднее обнаруживаемыми.

Аналитики также выделили шесть отдельных кластеров внутри известной северокорейской группировки Lazarus Group, что указывает на высокий уровень организации и специализации киберпреступников из КНДР.

Что это значит для российских инвесторов

Схемы WaterPlum напрямую касаются российских держателей криптовалюты, особенно тех, кто ищет работу в криптоиндустрии или получает предложения о сотрудничестве через Telegram, LinkedIn или специализированные площадки.

Практические рекомендации для защиты:

  • Никогда не скачивайте файлы от неизвестных рекрутёров, даже если они выглядят как тестовые задания.
  • Используйте аппаратные кошельки (Ledger, Trezor) для хранения основных средств — они не подвержены инфостилерам.
  • Не храните сид-фразы в браузерах, облачных сервисах или текстовых файлах на компьютере.
  • Проверяйте работодателя через несколько независимых источников перед собеседованием.
  • При малейших подозрениях откажитесь от «вакансии» — легальные компании не будут настаивать на скачивании сомнительных файлов.

Для российских пользователей особенно актуально использование проверенных бирж с двухфакторной аутентификацией — Bybit, MEXC и OKX предлагают надёжную защиту аккаунтов. Если вы храните Bitcoin или Ethereum в горячих кошельках, регулярно проверяйте активность и переводите крупные суммы на холодное хранение.