Colloqui di lavoro fasulli nell’IT supportano la Corea del Nord nel furto di milioni in criptovalute

Falsi colloqui di lavoro usati come esca

Una campagna di attacchi informatici orchestrata dalla Corea del Nord, masquerading come una selezione legittima nel settore tecnologico, ha compromesso oltre 30.000 computer in almeno 100 paesi. Questo ha comportato il furto di migliaia di portafogli di criptovalute e milioni di dollari che sarebbero stati destinate a finanziare i programmi di armamento di Pyongyang, secondo un avviso delle forze dell’ordine di sei nazioni.

Collaborazione tra agenzie di sicurezza

In un avviso di sicurezza pubblicato il 18 settembre, l’Agenzia Nazionale di Polizia giapponese (NPA) e l’FBI, insieme ad agenzie informatiche e di intelligence di Australia e Germania, hanno fornito dettagli sulle operazioni globali di un attore malintenzionato noto come “Waterplum”, monitorato a livello internazionale anche con il nome di “Contagious Interview”.

Identificazione degli attaccanti

Le autorità hanno concluso che Waterplum e i tecnici informatici nordcoreani ad esso associati agiscono sotto la supervisione diretta dell’Ufficio 313 del Dipartimento dell’Industria delle Munizioni del Partito dei Lavoratori della Corea, che coordina la ricerca militare e la produzione di armi nella Corea del Nord.

Modalità di attacco

Secondo le indagini, Waterplum ha preso aim target sviluppatori di software, web designer e specialisti di criptovalute su piattaforme di lavoro e social media, presentandosi come reclutatori di aziende operanti nel settore dell’intelligenza artificiale, della blockchain e nel reclutamento tecnologico.

Durante finte interviste tecniche, ai candidati veniva chiesto di scaricare software dannoso mascherato da test di programmazione. Una volta eseguito, il codice installava trojan e malware, consentendo agli hacker di accedere a documenti identificativi e chiavi private di criptovalute.

Impatto globale dell’attacco

Tra la fine del 2025 e luglio 2026, la campagna ha infettato almeno 30.000 dispositivi a livello globale, portando alla violazione di oltre 7.000 portafogli di criptovalute e convogliando circa 1,7 miliardi di yen (10,71 milioni di dollari) verso portafogli controllati dalla Corea del Nord.

Scoperte in Giappone delle “fabbriche di laptop”

Le indagini hanno rivelato anche il ruolo di “facilitatori interni” che hanno aiutato gli agenti nordcoreani ad eludere la verifica della posizione geografica per ottenere incarichi IT in outsourcing presso aziende giapponesi e statunitensi. Le autorità giapponesi hanno persino sequestrato e smantellato una “laptop farm” locale che permetteva ai lavoratori IT nordcoreani di operare utilizzando indirizzi IP locali.

Raccomandazioni per la sicurezza

Le agenzie di sicurezza internazionali hanno esortato le aziende tecnologiche e i liberi professionisti a prestare molta attenzione durante i colloqui online, evitando di eseguire codice non verificato al di fuori di ambienti sandbox e utilizzando controlli di restrizione durante l’apertura di repository di codice non attendibili. Queste misure possono contribuire a prevenire futuri attacchi informatici.