Sebuah kelompok peretas yang didukung Korea Utara telah menginfeksi lebih dari 30.000 komputer di lebih dari 100 negara. Mereka juga mencuri data dari lebih dari 7.000 wallet kripto, terang Badan Kepolisian Nasional Jepang dan FBI pada hari Jumat.
Wallet yang dikendalikan kelompok ini menerima setidaknya US$10,71 juta aset digital antara Desember 2025 dan Juli 2026. Kedua institusi tersebut menyebut kelompok ini sebagai WaterPlum, yang juga dilacak dengan nama Contagious Interview.
Cara Perekrut Palsu Menjangkau 7.000 Wallet Kripto
WaterPlum berpura-pura sebagai headhunter untuk perusahaan artificial intelligence, aset kripto, dan non-fungible token. Mereka mendekati pengembang di media sosial, papan lowongan kerja, serta marketplace freelance.
“Pelaku WaterPlum berpura-pura menjadi calon pemberi kerja untuk menargetkan pengembang perangkat lunak dan profesional IT di seluruh dunia dengan alasan menawarkan peluang kerja menggiurkan,” papar Badan Kepolisian Nasional Jepang dan FBI dalam imbauan bersama.
Para pelamar lalu diminta mengikuti wawancara teknis atau menyelesaikan tes coding. Kelompok ini juga mengarahkan mereka untuk mengunduh file dari situs berbagi kode, dengan alasan video call yang rusak atau tugas coding itu sendiri.
File tersebut ternyata berisi malware. Program ini mencari password browser, screenshot, dan ketikan keyboard. Mereka juga mengambil kunci rahasia yang mengendalikan wallet kripto, yaitu software yang digunakan orang untuk menyimpan uang digital.
BeInCrypto melaporkan pada bulan Agustus tentang seorang peneliti yang menghabiskan 22 bulan di dalam server kelompok ini. Ia memetakan 1.640 korban di 57 negara. Jumlah resmi pada hari Jumat ini sekitar 18 kali lebih besar.
Jepang Bongkar Laptop Farm Pertama di Negaranya
Polisi juga membongkar laptop farm pertama yang ditemukan di negara ini. Para pembantu lokal menyimpan komputer tersebut di rumah mereka. Pekerja Korea Utara di luar negeri mengendalikan perangkat itu dari jarak jauh serta berpura-pura menjadi warga Jepang agar bisa mendapatkan kontrak freelance.
Pekerja ini mengirim beberapa ratus juta yen aset kripto ke luar negeri, ujar para penyidik. Alamat internet yang sama menghubungkan laptop farm ini dengan para peretas.
“NPA dan FBI menilai baik pelaku siber WaterPlum maupun sebagian pekerja IT Korea Utara beroperasi di bawah Biro Umum 313 dari Departemen Industri Persenjataan yang merupakan bagian dari Komite Sentral Partai Buruh Korea.”
Salah satu warga Korea Utara yang dicurigai melamar posisi engineer di exchange Jepang bitFlyer pada Mei 2025 dengan menggunakan CV curian. Saat wawancara, pewawancara menyadari ia menolak pindah dan menuntut pembayaran dalam kripto. Ia terlihat membaca jawaban dari layar kedua, sehingga ia tidak diterima bekerja.
Kampanye sebelumnya mengandalkan video call rekrutmen deepfake untuk mencapai staf senior. Saat ini, para penyelidik menyarankan agar para engineer menjalankan kode yang dikirim perekrut di dalam sandbox, yaitu area pengujian tertutup yang terpisah dari file asli.
