Özet
Japonya, ABD, Avustralya ve Almanya'daki polis ve istihbarat kurumları grubun 100'den fazla ülkede en az 30 bin cihazı enfekte ettiğini açıkladı.
Grup 7 binden fazla kripto cüzdandan para veya kimlik bilgisi çaldı ve yaklaşık 1,7 milyar yen, yani 10,71 milyon doları Kuzey Kore'ye aktardı.
Japon yetkililer ilk kez yurt içinde bir "dizüstü bilgisayar çiftliği"ni çökertti.
18 Eylül'de yayımlanan ortak uyarıda dört ülkeden yedi kurum, geliştiricileri hedef almak için işe alım uzmanı gibi davranan Kuzey Koreli bir ekibin 7 binden fazla kripto para cüzdanından para veya kimlik bilgisi çaldığını ve yaklaşık 10,71 milyon doları Pyongyang'a aktardığını bildirdi.
Japonya Ulusal Polis Teşkilatı'nın WaterPlum adını verdiği, güvenlik sektörünün Contagious Interview olarak bildiği grup, yaklaşık Aralık 2025 ile Temmuz 2026 arasında 100'den fazla ülkede en az 30 bin cihazı enfekte etti. Hedefler web tasarımcıları, mühendisler ve kripto, blockchain ve Web3 alanında uzman kişilerdi.
Kuzey Kore siber grubu "WaterPlum", iş arayanların bilgisayar ağlarını tehlikeye atıyor, hassas verileri topluyor ve kripto para çalıyor - Japonya, ABD, Avrupa ve ötesindeki BT profesyonellerini hedef alıyor. @FBI ve @NPA_KOHO ile hazırladığımız uyarımızı okuyun https://t.co/ugVY5mmo6y
— Savunma Bakanlığı Siber Suç Merkezi (DC3) (@DC3Forensics) 18 Eylül 2026
Uyarı, Japonya Ulusal Polis Teşkilatı ve Ulusal Siber Güvenlik Ofisi, FBI ve ABD Savunma Bakanlığı Siber Suç Merkezi, Avustralya Sinyal Direktörlüğü'ne bağlı Avustralya Siber Güvenlik Merkezi ile Almanya'nın BND dış istihbarat servisi ve BfV iç güvenlik teşkilatı tarafından imzalandı.
NPA ve FBI, WaterPlum'un ve Kuzey Kore'nin bazı uzaktan IT çalışanlarının, İşçi Partisi merkez komitesine bağlı Mühimmat Endüstrisi Departmanı'nın 313 Genel Bürosu'na rapor verdiğini değerlendiriyor. İki operasyon aynı IP adreslerini dizüstü bilgisayar çiftliklerine ulaşmak, crowdsourcing hizmetleri kullanmak ve iş başvurusu yapmak için de kullandı; kurumlar bunu iki operasyonun tek bir operasyon olduğunun kanıtı olarak görüyor.
Kuzey Kore'nin siber saldırısı
Aktörler yapay zeka, kripto veya NFT şirketlerini taklit ediyor, sosyal medya, iş ilan panoları ve serbest çalışma pazar yerleri üzerinden geliştiricilere yaklaşıyor, ardından teknik bir görüşme veya kodlama görevi belirliyor. Adaylara görevi tamamlamak ya da görüntülü görüşmedeki görünür bir arızayı düzeltmek için geliştirici platformlarından dosya indirmeleri söyleniyor. Uyarı, bu paketlerde taşınan beş kötü amaçlı yazılım ailesini adlandırıyor; bunların arasında BeaverTail, InvisibleFerret ve blockchain temalı depoların içinde gizlenen StoatWaffle bulunuyor.
Uyarı ayrıca ekibin kendisinden soruşturmacıların gözlemlediklerini de kaydediyor. Üyeler görüşmelerde yapay zeka yüz değiştirme yazılımı kullanıyor, ardından videoyu kesip adayın da aynısını yapmasını istiyor ve bağlantıyı suçluyor. Metinden sese araçlarıyla Japonca telaffuz pratiği yaptılar, ücretsiz makine çevirisi ve yapay zeka katmanlarında sürekli çalıştılar ve Kuzey Kore'de kutlanan tatillerde normal operasyonlarını yürütmek yerine oyun oynayıp futbol videoları izlediler.
Japon yetkililer ayrıca yurt içi bir kolaylaştırıcı tarafından işletilen ve ülkede ilk olan bir dizüstü bilgisayar çiftliğini tespit edip çökertti; birkaç yüz milyon yen değerinde kripto paranın yurt dışına aktarıldığına dair kanıt bulundu. Bir dizüstü bilgisayar çiftliği genellikle kolaylaştırıcının evidir; burada Kuzey Kore, Çin veya Rusya'daki BT çalışanları tarafından uzaktan iş bilgisayarları çalıştırılır.
Mayıs 2025'te bir Japon kripto borsası, özgeçmişinde inandırıcılıktan uzak geniş beceriler iddia eden ve İngilizcesi kayıtlardakiyle uyuşmayan bir adayı geri çevirdi. Diğer ipuçları arasında yüz yüze görüşmeyi reddetme, kripto para ile ödeme talep etme ve ikinci bir ekrana defalarca bakma yer alıyor.
Bu hırsızlık çok daha büyük bir kampanyanın parçası. CertiK, 2025'teki tüm kripto hırsızlığı kayıplarının %60'ını, yaklaşık 2,06 milyar dolarını Kuzey Kore bağlantılı gruplara bağladı ve Nisan'daki 285 milyon dolarlık Drift Protocol saldırısı, saldırganların altı ay boyunca nicel bir ticaret firması gibi davranmasının ardından geldi.
