كشفت السلطات اليابانية أن مجموعة القرصنة المرتبطة بكوريا الشمالية WaterPlum اخترقت أكثر من 30 ألف جهاز في أكثر من 100 دولة ومنطقة، وسرقت بيانات مرتبطة بأكثر من 7 آلاف محفظة للعملات الرقمية، ضمن حملة استهدفت مطوري البرمجيات عبر عروض توظيف وهمية.

وقالت وكالة الشرطة الوطنية اليابانية، في بيان صدر يوم 18 سبتمبر، إن التحقيق الذي أجرته بالتعاون مع المكتب الوطني للأمن السيبراني، ومكتب التحقيقات الفيدرالي الأمريكي (FBI)، ومركز مكافحة الجرائم السيبرانية التابع لوزارة الدفاع الأمريكية، إلى جانب وكالات من أستراليا وألمانيا، كشف أساليب الهجوم التي استخدمتها المجموعة وصلاتها بعمال تكنولوجيا المعلومات الكوريين الشماليين.

وخلصت السلطات اليابانية والأمريكية إلى أن مجموعة WaterPlum، المرتبطة بنشاط التهديد المعروف على نطاق واسع باسم Contagious Interview، إلى جانب بعض عمال تكنولوجيا المعلومات الكوريين الشماليين، تعمل تحت إشراف المكتب 313 التابع لإدارة صناعة الذخائر في حزب العمال الكوري.

أكثر من 30 ألف جهاز تعرض للاختراق

أظهرت التحقيقات أن أكثر من 30 ألف جهاز كمبيوتر يُرجح إصابتها بالبرمجيات الخبيثة خلال الفترة الممتدة تقريبًا من ديسمبر 2025 وحتى يوليو 2026.

وتوزعت الضحايا على أكثر من 100 دولة ومنطقة، من بينها اليابان، بينما كان مصممو المواقع الإلكترونية والمهندسون والعاملون في قطاعات العملات الرقمية والبلوكشين وWeb3 من أبرز المستهدفين.

وسرقت المجموعة بيانات أكثر من 7 آلاف محفظة للعملات الرقمية خلال عمليات الاختراق، في حين استقبلت المحافظ التي تسيطر عليها WaterPlum ما لا يقل عن 1.7 مليار ين ياباني، أي نحو 10.7 مليون دولار وفق سعر الصرف المستخدم من جانب السلطات اليابانية.

وفي بيان منفصل، أكدت وزارة الخارجية اليابانية أن السلطات في اليابان والولايات المتحدة وأستراليا وألمانيا كشفت بشكل مشترك عن أساليب WaterPlum وأنشطة عمال تكنولوجيا المعلومات الكوريين الشماليين المرتبطة بمخططات الحصول على العملات الأجنبية وعمليات التوظيف.

وظائف وهمية في قطاع العملات الرقمية لنشر البرمجيات الخبيثة

بحسب تقرير الشرطة اليابانية، تواصلت WaterPlum مع مطوري البرمجيات وغيرهم من العاملين في قطاع تكنولوجيا المعلومات عبر وسائل التواصل الاجتماعي، ومواقع التوظيف الإلكترونية، ومنصات العمل الحر، والأسواق الرقمية للخدمات المستقلة.

وانتحل المهاجمون صفة شركات حقيقية تعمل في مجالات الذكاء الاصطناعي والعملات الرقمية والرموز غير القابلة للاستبدال (NFT)، أو جهات متخصصة في التوظيف، قبل تقديم فرص عمل تبدو جذابة للمرشحين.

وخلال المقابلات التقنية أو اختبارات البرمجة، طُلب من بعض المتقدمين تنزيل برامج خبيثة مستضافة على منصات تطوير تعاونية ومستودعات أكواد.

وفي بعض الحالات، أُبلغ الضحايا بأن الملفات ضرورية لتشخيص مشكلات في برامج مؤتمرات الفيديو أو لإكمال اختبار برمجي.

وضمت الحزم الخبيثة التي استخدمتها المجموعة برمجيات مثل BeaverTail وInvisibleFerret وOtterCookie وOtterCandy وStoatWaffle، والتي جرى تضمينها داخل حزم NPM ضارة.

وبمجرد اختراق الجهاز، تمكن المهاجمون من إنشاء أبواب خلفية واستخدام أدوات للوصول عن بُعد والحفاظ على وجودهم داخل الأنظمة المصابة والتنقل عبرها.

كما استُخدمت برمجيات متخصصة في سرقة المعلومات لاستخراج البيانات السرية والعملات الرقمية.

وشملت المعلومات المسروقة بيانات اعتماد المتصفحات، وضغطات لوحة المفاتيح، ولقطات الشاشة، وبيانات الحافظة، إلى جانب المفاتيح الخاصة وعبارات الاسترداد (Seed Phrases) الخاصة بمحافظ العملات الرقمية.

كما استهدفت المجموعة وثائق الهوية، بما في ذلك جوازات السفر ورخص القيادة، المخزنة على أجهزة الكمبيوتر المصابة أو داخل المجلدات المشتركة.

قطاع العملات الرقمية تحت ضغط عمليات توظيف مشبوهة

وثق باحثون في مجال الأمن السيبراني أساليب توظيف مشابهة داخل قطاع العملات الرقمية.

وبحسب تقارير سابقة، قالت الباحثة الأمنية والمطورة في MetaMask، تايلور موناهان، إن مطورين مرتبطين بكوريا الشمالية عملوا داخل أكثر من 40 مشروعًا في قطاع التمويل اللامركزي (DeFi) على مدار سبع سنوات.

وشملت أساليب استهداف الضحايا إعلانات الوظائف ورسائل البريد الإلكتروني ورسائل LinkedIn ومكالمات Zoom وعمليات المقابلات الوظيفية.

تفكيك أول مزرعة حواسيب محمولة مرتبطة بعمال كوريين شماليين في اليابان

قال المحققون اليابانيون إنهم فككوا ما وصفوه بأنه أول "مزرعة حواسيب محمولة" (Laptop Farm) معروفة داخل اليابان ومرتبطة بعمال تكنولوجيا المعلومات الكوريين الشماليين.

وبموجب هذا الترتيب، كان وسيط محلي يحتفظ بأجهزة الكمبيوتر في منزله، بينما كان العمال يتحكمون فيها عن بُعد من مواقع أخرى.

واستخدم العمال وثائق هوية قدمها أشخاص مقيمون في اليابان لانتحال هوياتهم أثناء التقدم للحصول على عقود عمل.

وفي بعض الحالات، كانت المدفوعات تُحوّل إلى حسابات مصرفية يسيطر عليها الوسطاء، قبل أن يقوم هؤلاء بتحويل الأموال إلى جهات أخرى.

وقالت وكالة الشرطة اليابانية إن العمال الكوريين الشماليين المرتبطين بالتحقيقات أرسلوا عملات رقمية وأصولًا أخرى بقيمة مئات الملايين من الينات إلى الخارج.

وكان بعض هؤلاء العمال يعملون من داخل كوريا الشمالية، بينما تمركز آخرون في الصين وروسيا، مع وجود أعداد أقل في أفريقيا وجنوب شرق آسيا.

وساعدت مزارع الحواسيب المحمولة وخوادم الشبكات الخاصة الافتراضية (VPN) في إخفاء المواقع الفعلية التي كان العمال يؤدون منها وظائفهم، أثناء حصولهم على عقود من منصات العمل الحر المحلية والدولية.

الولايات المتحدة تطارد عائدات مخططات العمال الكوريين الشماليين

شهدت الولايات المتحدة عمليات مماثلة خضعت للملاحقة القضائية.

وفي عام 2026، حُكم على رجلين أمريكيين بالسجن لمدة 18 شهرًا لكل منهما، بعد مساعدتهما عمالًا كوريين شماليين على الوصول عن بُعد إلى أجهزة كمبيوتر تابعة لشركات.

وقالت وزارة العدل الأمريكية إن هذه المخططات شملت نحو 70 شركة وحققت أكثر من 1.2 مليون دولار.

ورفعت الأحكام عدد وسطاء مزارع الحواسيب المحمولة الذين صدرت بحقهم أحكام في الولايات المتحدة إلى ثمانية خلال فترة بلغت خمسة أشهر.

كما لاحقت السلطات الأمريكية عائدات عمليات التوظيف هذه من خلال قضايا مصادرة للعملات الرقمية.

وفي سبتمبر، أمر قاضٍ اتحادي بمصادرة نحو 212,700 دولار من عملتي USDC وUSDT، بعد تتبعها إلى عناوين دفع استخدمها عمال تكنولوجيا المعلومات الكوريون الشماليون.

وتأتي القضية ضمن جهود وزارة العدل الأمريكية التي استهدفت أكثر من 7.74 مليون دولار من الأصول الرقمية.

وقال المدعون إن المحفظة المصادرة استقبلت نحو 158,123 USDC من 10 عناوين على الأقل استُخدمت لدفع أجور العمال، بالإضافة إلى 54,574 USDT من أربعة عناوين دفع أخرى على الأقل.

واتهمت السلطات العمال بإخفاء هوياتهم ومواقعهم أثناء الحصول على وظائف تقنية في الخارج، قبل تحويل عائداتهم عبر العملات الرقمية.

محاولة توظيف مشبوهة تستهدف منصة bitFlyer

كشفت التحقيقات اليابانية أيضًا عن محاولة منفصلة من جانب عامل تكنولوجيا معلومات يُشتبه في ارتباطه بكوريا الشمالية للحصول على وظيفة هندسية لدى منصة تداول العملات الرقمية bitFlyer في مايو 2025.

وقدم المتقدم سيرته الذاتية باستخدام هوية شخص آخر مباشرة عبر نموذج التوظيف الخاص بالمنصة، واستخدم عنوان Gmail للتواصل.

وقال المحققون إن المتقدم دخل إلى نظام التوظيف باستخدام خدمات VPN ووكلاء مثل NETNUT Proxy وAstrill VPN وHigh Speed Rabbit Proxy.

وخلال مقابلة عبر الإنترنت، ادعى المتقدم أنه ماليزي ويقيم في فنلندا.

وضمت سيرته الذاتية خبرات واسعة في لغات البرمجة والبلوكشين والعملات الرقمية والخدمات السحابية، إلى جانب الدراسة في جامعة أوروبية والعمل في عدة مدن أوروبية وآسيوية.

ووفقًا للوكالة، تمكن المتقدم من الإجابة عن الأسئلة البسيطة المتعلقة بالمهارات المدرجة في سيرته الذاتية، لكنه قدم إجابات عامة أو تجنب الإجابة عن الأسئلة الأكثر تفصيلًا.

كما لاحظ المحققون أنه كان ينظر بشكل متكرر إلى شاشة أخرى أثناء المقابلة، مع سماع أصوات في الخلفية ووقوع انقطاعات متكررة في بث الفيديو.

ورفض المتقدم الانتقال إلى اليابان، وأصر على تلقي راتبه بالعملات الرقمية.

واكتشفت bitFlyer السلوك المريب وقررت عدم توظيفه، ولم يتم تسجيل أي أضرار نتيجة المحاولة.

محاولة مشابهة استهدفت Kraken

وسُجلت محاولة توظيف مشابهة سابقًا لدى منصة Kraken، حيث انضم متقدم يُشتبه في ارتباطه بكوريا الشمالية إلى مقابلة باستخدام اسم مختلف عن الاسم الوارد في سيرته الذاتية، وبدا أنه يتلقى مساعدة في الوقت الفعلي أثناء المقابلة.

وربطت المنصة لاحقًا عنوان البريد الإلكتروني للمتقدم بمعلومات سبق أن حذرت منها جهات أخرى في قطاع العملات الرقمية.

السلطات تربط WaterPlum بعمليات العمال الكوريين الشماليين

توصلت السلطات اليابانية إلى رابط تقني بين هجمات WaterPlum وعمليات العمال في الخارج ومحاولة التوظيف لدى bitFlyer.

وقالت وكالة الشرطة الوطنية اليابانية إن عناوين IP التي استخدمها مهاجمو WaterPlum تطابقت مع عناوين استخدمها عمال تكنولوجيا المعلومات الكوريون الشماليون للوصول إلى مزارع الحواسيب المحمولة ومنصات العمل الحر.

كما وجد المحققون أن العامل الكوري الشمالي المشتبه في تقدمه لوظيفة هندسية لدى bitFlyer استخدم البنية التحتية نفسها.

وخلصت وكالة الشرطة الوطنية اليابانية ومكتب التحقيقات الفيدرالي الأمريكي إلى أن المكتب 313 لعب دورًا محوريًا في هجمات WaterPlum السيبرانية، وكذلك في بعض عمليات توليد العملات الأجنبية التي نفذها عمال تكنولوجيا المعلومات الكوريون الشماليون.

ودعت السلطات اليابانية الشركات إلى التحقق من مواقع إقامة المتقدمين للوظائف ومؤهلاتهم وبيانات الاتصال الخاصة بهم، خصوصًا عندما يصر المرشحون على العمل عن بُعد أو الحصول على رواتبهم بالعملات الرقمية.

كما أوصت أصحاب العمل باختبار المهارات التقنية للمرشحين خلال المقابلات، والتدقيق في الحالات التي لا يتطابق فيها مكان إقامة المتقدم المعلن مع موقع عنوان IP المستخدم في تقديم طلب التوظيف.