One Idea

كشفت تحذيرات أمنية مشتركة صادرة عن جهات مختصة في اليابان وألمانيا وأستراليا والولايات المتحدة عن حملة إلكترونية واسعة تقف وراءها مجموعة قرصنة مرتبطة بكوريا الشمالية، تُعرف باسم WaterPlum، واستهدفت بشكل خاص المطورين والمتخصصين في المجال التقني.
واعتمدت الحملة على عروض وظائف وهمية استهدفت موظفين ومرشحين لدى شركات تعمل في قطاعات العملات المشفرة والذكاء الاصطناعي وNFT، بهدف خداع الضحايا ودفعهم إلى تشغيل ملفات أو برامج خبيثة تحت غطاء إجراءات التوظيف.
وبحسب التحذيرات، تمكنت المجموعة من سرقة ما لا يقل عن 10.7 مليون دولار، بعد انتحال هوية جهات توظيف حقيقية واستغلال مراحل المقابلات والاختبارات التقنية لنشر برمجيات خبيثة. وترتبط WaterPlum أيضاً باسم Contagious Interview.
كيف نفذت WaterPlum الهجمات؟
اعتمد المهاجمون على مجموعة متنوعة من القنوات للوصول إلى أهدافهم، بما في ذلك منصات التواصل الاجتماعي، ومواقع التوظيف، ومنصات العمل الحر والأسواق الرقمية للخدمات المستقلة.
وبعد بدء التواصل مع المرشح، كان المهاجمون يطلبون منه تشغيل ملفات تبدو للوهلة الأولى جزءاً طبيعياً من عملية التوظيف، مثل:
اختبارات أو مهام برمجية مرتبطة بالمقابلة.
ملفات يُزعم أنها مخصصة لإصلاح مشكلات في مكالمات الفيديو.
مستندات أو أدوات دعم تبدو مرتبطة بإجراءات التوظيف.
وبمجرد نجاح الضحية في تشغيل الملفات الخبيثة، يمكن للمهاجمين الحصول على وصول غير مصرح به إلى الجهاز، ثم استخدام أدوات تحكم عن بُعد وبرمجيات لسرقة المعلومات بهدف استخراج بيانات حساسة وبيانات اعتماد وأصول رقمية.
والأخطر أن اختراق جهاز موظف واحد قد يوفر للمهاجمين نقطة دخول محتملة إلى الأنظمة والمؤسسات التي يعمل فيها الضحية، ما يحول عملية التوظيف نفسها إلى بوابة للتسلل إلى الشركات.
حجم الأضرار
تشير التحذيرات إلى أن الحملة أثرت على ما لا يقل عن 30 ألف جهاز في أكثر من 100 دولة.
وخلال الفترة الممتدة من ديسمبر 2025 إلى يوليو 2026، تمكن المهاجمون من الوصول إلى أموال أو بيانات اعتماد مرتبطة بأكثر من 7,000 محفظة عملات مشفرة.
ولا تتوقف المخاطر عند سرقة العملات الرقمية، إذ يمكن أيضاً استغلال الوثائق والبيانات الشخصية المسروقة في انتحال الهوية، أو استخدامها لدعم محاولات التقدم إلى وظائف داخل شركات أجنبية، أو حتى توظيفها لاحقاً في عمليات ابتزاز.
التسلل عبر الوظائف.. خطر يتجاوز سرقة الأموال
تضمن التحذير مثالاً على شخص يُشتبه في ارتباطه بكوريا الشمالية، تقدم إلى وظيفة هندسية لدى منصة يابانية لتداول العملات المشفرة مستخدماً سيرة ذاتية مزيفة.
وخلال المقابلة، ظهرت تناقضات في المعلومات المقدمة، من بينها عدم قدرته على تقديم شرح مفصل للمهارات والخبرات التي وردت في سيرته الذاتية، ما أدى إلى رفض طلبه.
وتأتي هذه الوقائع، وفقاً للجهات الأمنية، ضمن نمط أوسع من محاولات استخدام العاملين في مجال تكنولوجيا المعلومات للوصول إلى شركات ومؤسسات أجنبية. كما أشارت التقييمات الأمنية إلى وجود صلات محتملة بين بعض هذه الأنشطة وجهات مرتبطة بوزارة صناعة الذخائر في كوريا الشمالية.
كيف يمكن للشركات والمطورين تقليل المخاطر؟
تسلط هذه الحملة الضوء على ضرورة التعامل مع عمليات التوظيف الرقمية باعتبارها جزءاً من منظومة الأمن السيبراني، وليس مجرد إجراء إداري. ومن أبرز الإجراءات الوقائية:
التحقق من هوية جهة التوظيف عبر قنوات رسمية ومستقلة قبل فتح أي رابط أو ملف.
عدم تشغيل الاختبارات البرمجية أو الملفات غير الموثوقة قبل فحصها أمنياً.
مراجعة السير الذاتية والوثائق المرفقة، مع التأكد من امتلاك المرشح فعلياً للمهارات التي يدعيها.
تطبيق مبدأ أقل قدر من الصلاحيات على أجهزة وحسابات الموظفين.
استخدام طبقات متعددة من الحماية، إلى جانب المصادقة متعددة العوامل ومراقبة الأنشطة غير المعتادة.
تدريب فرق التوظيف والموظفين والمطورين على أساليب الهندسة الاجتماعية التي تستغل عروض العمل والمقابلات الوظيفية.
الخلاصة
تكشف حملة WaterPlum عن تطور خطير في أساليب الهجوم الإلكتروني؛ إذ لم تعد الوظائف المزيفة مجرد وسيلة للاحتيال على الباحثين عن عمل، بل أصبحت أداة محتملة لاختراق الأجهزة وسرقة الأصول الرقمية وفتح طريق إلى شبكات الشركات.
ولهذا، فإن أي ملف أو رابط يصل إلى المطور ضمن عملية توظيف يجب التعامل معه باعتباره جزءاً من سطح الهجوم المحتمل، وليس مجرد خطوة روتينية في المقابلة.
$NFT