Una red de hackers respaldada por Corea del Norte convirtió falsas ofertas laborales en una vía para atacar computadoras y billeteras cripto, según informaron autoridades japonesas y estadounidenses el viernes.
WaterPlum, también llamado Contagious Interview, infectó más de 30.000 equipos en más de 100 países y accedió a información de más de 7.000 wallets, de acuerdo con la investigación oficial.
Cómo funcionaba la falsa propuesta laboral de WaterPlum
El grupo adoptaba identidades de cazatalentos especializados en inteligencia artificial, criptomonedas y tokens no fungibles, y buscaba desarrolladores mediante redes sociales, portales laborales y mercados de trabajo freelance en distintos países.
Después del primer contacto, ofrecía entrevistas técnicas o pruebas de programación y pedía descargar archivos desde plataformas para compartir código, atribuyéndolos a evaluaciones o videollamadas que habían fallado previamente.
Esos archivos incorporaban malware capaz de extraer contraseñas almacenadas en navegadores, registrar pulsaciones, capturar pantallas y obtener las claves privadas necesarias para controlar billeteras de criptomonedas usadas para guardar dinero digital.
"Los actores de WaterPlum se hacen pasar por empleadores potenciales para atacar a desarrolladores de software y profesionales de IT en todo el mundo con la excusa de ofrecer oportunidades laborales", informaron en un comunicado la Agencia Nacional de Policía de Japón y el FBI.
Cuánto dinero recibieron las wallets controladas por WaterPlum
Las billeteras bajo control del grupo recibieron al menos u$s10,71 millones en activos digitales entre diciembre de 2025 y julio de 2026, según informaron los organismos investigadores.
La cifra oficial supera ampliamente los resultados de una investigación previa, cuyo autor pasó 22 meses dentro de los servidores del grupo e identificó 1.640 víctimas en 57 países.
El recuento oficial difundido el viernes es aproximadamente 18 veces superior al registro anterior, una diferencia que refleja la dimensión internacional alcanzada por esta operación digital.
Qué descubrió Japón sobre la infraestructura norcoreana
La policía japonesa vinculó los ataques con trabajadores norcoreanos que utilizaban computadoras instaladas en viviendas locales para realizar actividades freelance desde el extranjero, aparentando ser residentes japoneses.
Las autoridades desmantelaron la primera granja de laptops conocida del país, donde ayudantes locales almacenaban los equipos en sus casas mientras operadores norcoreanos los controlaban remotamente.
Según los investigadores, esos trabajadores enviaron varios cientos de millones de yenes en criptomonedas al extranjero, mientras las mismas direcciones de internet permitieron relacionar esta infraestructura con los hackers.
Japón y el FBI consideran que WaterPlum y algunos trabajadores norcoreanos de IT operan para el gobierno de Corea del Norte, bajo la 313ª Oficina General del Departamento de la Industria de Municiones del Partido de los Trabajadores de Corea.
En mayo de 2025, un sospechoso norcoreano intentó ingresar como ingeniero a bitFlyer utilizando un currículum robado, pero los entrevistadores detectaron comportamientos inusuales durante el proceso de selección.
El candidato dijo que no estaba dispuesto a mudarse y pidió recibir su salario en criptomonedas, mientras los entrevistadores observaron que parecía leer las respuestas desde una segunda pantalla, por lo que finalmente no fue contratado.
En campañas anteriores, el grupo había utilizado videollamadas de reclutamiento con deepfake para contactar a empleados de alto nivel, una técnica que complementaba las falsas propuestas laborales utilizadas por los atacantes.
Ante este tipo de amenazas, los investigadores recomiendan que los ingenieros ejecuten cualquier archivo recibido de supuestos reclutadores dentro de un entorno sandbox, aislado del resto de sus archivos reales.
