شبكة WaterPlum المرتبطة بكوريا الشمالية تخترق 30 ألف جهاز وتستهدف آلاف محافظ العملات الرقمية
كشفت تحقيقات أمنية دولية عن اتساع نطاق حملة إلكترونية استهدفت قطاع التكنولوجيا والعملات الرقمية، بعدما تمكنت مجموعة القرصنة المعروفة باسم WaterPlum من اختراق أكثر من 30 ألف جهاز في أكثر من 100 دولة ومنطقة، وسرقة بيانات مرتبطة بأكثر من 7 آلاف محفظة للعملات الرقمية.
وقالت وكالة الشرطة الوطنية اليابانية إن المجموعة اعتمدت على أسلوب متطور يقوم على استدراج مطوري البرمجيات والعاملين في قطاع التكنولوجيا من خلال عروض توظيف وهمية، قبل دفعهم إلى تنزيل برمجيات خبيثة تتيح للمهاجمين الوصول إلى أجهزتهم وسرقة البيانات الحساسة والأصول الرقمية.
وجاء الكشف عن تفاصيل العملية في بيان أصدرته الوكالة في 18 سبتمبر، عقب تحقيق مشترك مع المكتب الوطني للأمن السيبراني في اليابان، ومكتب التحقيقات الفيدرالي الأمريكي، ومركز مكافحة الجرائم السيبرانية التابع لوزارة الدفاع الأمريكية، إلى جانب أجهزة أمنية من أستراليا وألمانيا.
وخلصت التحقيقات اليابانية والأمريكية إلى وجود صلات بين WaterPlum ونشاط التهديد المعروف باسم Contagious Interview، فضلًا عن ارتباط بعض عمال تكنولوجيا المعلومات الكوريين الشماليين بالشبكة. وترى السلطات أن هذه الأنشطة تقع ضمن عمليات يشرف عليها المكتب 313 التابع لإدارة صناعة الذخائر في حزب العمال الكوري.
تشير نتائج التحقيق إلى أن الحملة امتدت تقريبًا من ديسمبر 2025 إلى يوليو 2026، وخلال هذه الفترة يُعتقد أن البرمجيات الخبيثة أصابت أكثر من 30 ألف جهاز كمبيوتر حول العالم.
وامتدت قائمة الضحايا إلى أكثر من 100 دولة ومنطقة، من بينها اليابان، مع تركيز واضح على مصممي المواقع الإلكترونية والمهندسين والمطورين والعاملين في مجالات العملات الرقمية والبلوكشين وWeb3.
ولم تقتصر الأضرار على اختراق الأجهزة، إذ تمكن المهاجمون من الوصول إلى بيانات مرتبطة بأكثر من 7 آلاف محفظة للعملات الرقمية. ووفق السلطات اليابانية، تلقت المحافظ الخاضعة لسيطرة WaterPlum ما لا يقل عن 1.7 مليار ين ياباني، بما يعادل نحو 10.7 مليون دولار وفق سعر الصرف المستخدم في التقديرات الرسمية.
وأكدت وزارة الخارجية اليابانية بدورها أن اليابان والولايات المتحدة وأستراليا وألمانيا تعاونت في كشف أساليب المجموعة والأنشطة المرتبطة بعمال تكنولوجيا المعلومات الكوريين الشماليين، خصوصًا تلك التي تستهدف الحصول على العملات الأجنبية من خلال عمليات توظيف خارجية.
اعتمدت WaterPlum على استغلال سوق التوظيف في قطاع التكنولوجيا للوصول إلى ضحاياها، إذ تواصل أفرادها مع مطوري البرمجيات وغيرهم من المتخصصين عبر شبكات التواصل الاجتماعي ومواقع التوظيف ومنصات العمل الحر والأسواق الرقمية للخدمات المستقلة.
وانتحل المهاجمون هويات شركات حقيقية تنشط في مجالات الذكاء الاصطناعي والعملات الرقمية والرموز غير القابلة للاستبدال، أو قدموا أنفسهم باعتبارهم جهات متخصصة في التوظيف، قبل عرض وظائف تبدو للمرشحين حقيقية وجذابة.
وخلال مراحل المقابلات التقنية أو اختبارات البرمجة، طُلب من بعض المتقدمين تحميل برامج وملفات من منصات تطوير تعاونية ومستودعات أكواد، تحت ذرائع مختلفة، من بينها تشخيص أعطال في برامج مؤتمرات الفيديو أو استكمال اختبارات تقنية مرتبطة بالوظيفة.
وتضمنت الأدوات الخبيثة التي استخدمتها المجموعة برمجيات BeaverTail وInvisibleFerret وOtterCookie وOtterCandy وStoatWaffle، والتي جرى توزيع بعضها داخل حزم NPM ضارة.
وبمجرد نجاح عملية الاختراق، تمكن المهاجمون من إنشاء أبواب خلفية داخل الأجهزة المصابة، واستخدام أدوات للتحكم عن بُعد والحفاظ على وجودهم داخل الأنظمة، إضافة إلى التحرك بين موارد مختلفة داخل البيئات المخترقة.
كما استخدمت المجموعة أدوات متخصصة في سرقة المعلومات لجمع بيانات حساسة، شملت بيانات اعتماد المتصفحات وضغطات لوحة المفاتيح ولقطات الشاشة ومحتويات الحافظة، إلى جانب المفاتيح الخاصة وعبارات الاسترداد المرتبطة بمحافظ العملات الرقمية.
وامتدت عمليات جمع البيانات إلى وثائق الهوية المخزنة على الأجهزة أو المجلدات المشتركة، بما في ذلك جوازات السفر ورخص القيادة.
ولم تتوقف أنشطة السلطات عند تتبع الهجمات الإلكترونية، إذ كشفت التحقيقات عن بنية موازية استخدمها عمال تكنولوجيا المعلومات الكوريون الشماليون للحصول على وظائف خارجية وإخفاء مواقعهم الحقيقية.
وقالت السلطات اليابانية إنها فككت ما وصفته بأول «مزرعة حواسيب محمولة» معروفة داخل اليابان مرتبطة بهذه الأنشطة، حيث كان وسيط محلي يحتفظ بأجهزة الكمبيوتر في منزله، بينما يتحكم العمال فيها عن بُعد من مواقع أخرى.
وسمح هذا الأسلوب للعمال باستخدام أجهزة موجودة فعليًا في اليابان أثناء تنفيذ مهامهم من خارج البلاد، كما استُخدمت وثائق هوية لأشخاص مقيمين في اليابان لانتحال هوياتهم عند التقدم للحصول على عقود عمل.
وفي بعض الحالات، كانت أجور العمل تُحوّل إلى حسابات مصرفية يديرها الوسطاء، قبل نقل الأموال إلى جهات أخرى.
وبحسب وكالة الشرطة الوطنية اليابانية، أرسل العمال المرتبطون بالتحقيقات عملات رقمية وأصولًا أخرى بقيمة مئات الملايين من الينات إلى خارج البلاد. وكان بعضهم يعمل من كوريا الشمالية، بينما تمركز آخرون في الصين وروسيا، مع وجود أعداد أقل في مناطق من أفريقيا وجنوب شرق آسيا.
كما ساهم استخدام مزارع الحواسيب المحمولة وخوادم VPN في إخفاء المواقع الفعلية للعمال أثناء حصولهم على وظائف عبر منصات العمل الحر المحلية والدولية.
وتزامنت التحقيقات اليابانية مع إجراءات أمريكية استهدفت أنشطة مشابهة مرتبطة بعمال تكنولوجيا المعلومات الكوريين الشماليين.
وخلال عام 2026، صدرت أحكام بالسجن لمدة 18 شهرًا بحق رجلين أمريكيين، بعد إدانتهما بمساعدة عمال كوريين شماليين على الوصول عن بُعد إلى أجهزة كمبيوتر تابعة لشركات.
وقالت وزارة العدل الأمريكية إن المخططات شملت نحو 70 شركة وحققت أكثر من 1.2 مليون دولار، بينما ارتفع عدد الوسطاء المرتبطين بمزارع الحواسيب المحمولة الذين صدرت بحقهم أحكام في الولايات المتحدة إلى ثمانية خلال خمسة أشهر.
كما اتجهت السلطات الأمريكية إلى تتبع العائدات المالية لهذه العمليات عبر تحقيقات مرتبطة بالعملات الرقمية.
وفي سبتمبر، صدر أمر قضائي اتحادي بمصادرة نحو 212,700 دولار من عملتي USDC وUSDT، بعدما تمكن المحققون من تتبع الأموال إلى عناوين دفع مرتبطة بعمال تكنولوجيا المعلومات الكوريين الشماليين.
وتأتي هذه العملية ضمن جهود أوسع لوزارة العدل الأمريكية استهدفت أكثر من 7.74 مليون دولار من الأصول الرقمية المرتبطة بهذه الأنشطة.
وكشفت التحقيقات اليابانية أيضًا عن محاولة منفصلة للحصول على وظيفة لدى منصة تداول العملات الرقمية bitFlyer، بعدما تقدم في مايو 2025 شخص يُشتبه في ارتباطه ببرنامج عمال تكنولوجيا المعلومات الكوريين الشماليين للحصول على منصب هندسي.
وقدم المتقدم سيرته الذاتية مستخدمًا هوية شخص آخر، وتواصل مع المنصة عبر عنوان Gmail، كما استعان بخدمات VPN ووكلاء للاتصال، من بينها NETNUT Proxy وAstrill VPN وHigh Speed Rabbit Proxy.
وخلال المقابلة عبر الإنترنت، ادعى أنه مواطن ماليزي يقيم في فنلندا، بينما تضمنت سيرته الذاتية خبرات في البرمجة والبلوكشين والعملات الرقمية والخدمات السحابية، إلى جانب دراسة وعمل في مدن أوروبية وآسيوية.
ووفق التحقيقات، تمكن المتقدم من الإجابة عن الأسئلة البسيطة المرتبطة بالمهارات التي ذكرها في سيرته الذاتية، لكنه قدم إجابات عامة أو تجنب الرد على الأسئلة التقنية الأكثر تعقيدًا.
كما لاحظ المحققون أنه كان ينظر بشكل متكرر إلى شاشة أخرى أثناء المقابلة، إلى جانب وجود أصوات في الخلفية وانقطاعات متكررة في بث الفيديو.
ورفض المتقدم الانتقال إلى اليابان، كما أصر على تلقي راتبه بالعملات الرقمية. وتمكنت bitFlyer من رصد المؤشرات المشبوهة وقررت عدم إتمام عملية التوظيف، دون تسجيل أضرار ناجمة عن المحاولة.
وسجلت منصة Kraken بدورها محاولة توظيف اعتُبرت مشابهة، بعدما شارك متقدم يُشتبه في ارتباطه بكوريا الشمالية في مقابلة مستخدمًا اسمًا مختلفًا عن الاسم الوارد في سيرته الذاتية، بينما بدا أنه يتلقى مساعدة خلال المقابلة في الوقت الفعلي.
وربطت المنصة لاحقًا عنوان البريد الإلكتروني المستخدم في الطلب ببيانات سبق أن أثارت تحذيرات داخل قطاع العملات الرقمية.
وأظهرت التحقيقات اليابانية وجود مؤشرات تقنية تربط بين هجمات WaterPlum وأنشطة عمال تكنولوجيا المعلومات الكوريين الشماليين ومحاولة التوظيف لدى bitFlyer.
وقالت وكالة الشرطة الوطنية اليابانية إن بعض عناوين IP التي ظهرت في هجمات WaterPlum تطابقت مع عناوين استخدمها عمال تكنولوجيا المعلومات الكوريون الشماليون للوصول إلى مزارع الحواسيب المحمولة ومنصات العمل الحر.
كما استخدم المتقدم المشتبه في ارتباطه بكوريا الشمالية لدى bitFlyer جزءًا من البنية التحتية نفسها، بحسب نتائج التحقيق.
وخلصت وكالة الشرطة الوطنية اليابانية ومكتب التحقيقات الفيدرالي الأمريكي إلى أن المكتب 313 كان له دور في أنشطة WaterPlum، وكذلك في بعض العمليات التي استخدم فيها عمال تكنولوجيا المعلومات الكوريون الشماليون وظائف خارجية لتوليد العملات الأجنبية.
