WaterPlum trasforma i colloqui in una pipeline di furto
WaterPlum, o Contagious Interview, è passato da campagna di inganno a pipeline ripetibile di furto e accesso: il nuovo advisory congiunto attribuisce l’operazione al 313 General Bureau nordcoreano e aggiunge il primo smantellamento confermato in Giappone di una laptop farm. Le agenzie parlano di almeno 30.000 dispositivi infetti in più di 100 paesi e di oltre 7.000 wallet colpiti.
Il trucco parte da un falso processo di selezione. Ai candidati vengono fatti aprire progetti o installare pacchetti durante test tecnici, così il codice malevolo gira dentro un flusso di lavoro normale e attacca la fiducia che gli sviluppatori ripongono in Visual Studio Code, npm e nei repository usati per i task. Da lì il gruppo ruba credenziali, chiavi e dati utili a monetizzare, poi può usare l’accesso anche verso reti aziendali e dati sensibili.
La novità non è solo l’attribuzione, ma la struttura di supporto: laptop farm, facilitatori e lavoro IT remoto rendono la frode scalabile e più difficile da leggere come semplice phishing. Per chi assume sviluppatori o accetta coding assignment, il rischio non finisce nella casella di posta: passa dai colloqui ai dispositivi dei candidati e può arrivare fino agli ambienti dell’azienda che li sta selezionando.
North Korean WaterPlum hackers infected 30,000 devices worldwide
A joint law enforcement advisory warns that the North Korean hacking group WaterPlum compromised at least 30,000 devices worldwide from December 2025 through July 2026 and transferred more than $10.7 million in stolen cryptocurrency to North Korea.