الشرطة اليابانية و"إف بي آي" تكشفان مجموعة قرصنة كورية شمالية تستدرج مطوّرين بعروض وظائف وهمية لسرقة أصول رقمية

أفادت جهات رسمية، بينها الوكالة الوطنية للشرطة في اليابان ومكتب التحقيقات الفيدرالي الأمريكي، بأن مجموعة القرصنة الكورية الشمالية "ووتربلَم" WaterPlum المعروفة أيضاً باسم "المقابلة المُعدية" "Contagious Interview" تعتمد منذ فترة طويلة على انتحال صفة مسؤولي توظيف أو شركات تعمل في العملات المشفّرة لاستدراج مطوّري البرمجيات إلى تشغيل شيفرات خبيثة تحت غطاء اختبارات تقنية أو تعاون في مشاريع. وبحسب الإحاطة، بين ديسمبر 2025 ويوليو 2026 أصابت المجموعة أكثر من 30,000 جهاز في أكثر من 100 دولة، وتمكّنت من تحويل أموال أو سرقة بيانات اعتماد لأكثر من 7,000 محفظة عملات مشفّرة، وبقيمة لا تقل عن 10.71 مليون دولار من الأصول الرقمية. وعلى خلاف الهجمات السابقة التي ركّزت غالباً على منصات التداول والمؤسسات الكبيرة، وسّعت "ووتربلَم" نطاق الاستهداف ليشمل المطوّرين الأفراد، والعاملين المستقلين، ومحترفي Web3. ولا تتوقف المخاطر عند سرقة أصول المحافظ، إذ تُستخدم الأجهزة والهوية المُخترقة لاختراق شركات الضحايا لاحقاً، ما يفتح الباب لسرقة أسرار تجارية، أو ابتزاز، أو حتى التقدّم لوظائف بانتحال شخصية الضحية. مدخل الهجوم: "توظيف براتب مرتفع" الأسلوب الأكثر شيوعاً لبدء الهجوم ليس رسائل التصيّد، بل عرض عمل يبدو حقيقياً. ينتحل المهاجمون صفة شركات تعمل في الذكاء الاصطناعي أو العملات المشفّرة أو NFT، ويتواصلون مع المطوّرين عبر منصات التواصل، ومواقع الوظائف، ومنصات الأعمال الحرة. ثم يتم ترتيب مقابلة فيديو أو طلب إنجاز اختبار برمجي. المرحلة الحاسمة تقع أثناء "التقييم التقني": قد يُرسَل للمرشح مستودع شيفرة لتشغيله محلياً، أو إصلاح أخطاء، أو معالجة مشاكل مرتبطة ببرنامج الاجتماعات. تبدو المشاريع مثل أعمال JavaScript أو Python أو مشاريع VS Code عادية، لكنها تتضمن شيفرات خبيثة مخفية. تشير الجهات إلى أن المجموعة تستخدم كثيراً حزم NPM (مدير حزم Node.js) مُلوّثة، مع عدة عائلات برمجيات خبيثة مثل BeaverTail وInvisibleFerret وOtterCookie وOtterCandy وStoatWaffle. وفي بعض الحالات يجري استغلال ملف الإعداد .vscode/tasks.json لتنفيذ أوامر تلقائياً بمجرد فتح المستخدم لمجلد VS Code ومنحه الثقة. عملياً، قد يقتصر ما يفعله الضحية على تنزيل الشيفرة وفتح المشروع وتشغيله كما يطلب "المحاور"، بينما تُثبَّت البرمجيات الخبيثة بهدوء في الخلفية. بعد اختراق أولي، تُزرع أدوات تحكم عن بُعد للحفاظ على سيطرة طويلة الأمد، وتُستخدم برامج سرقة معلومات لجمع بيانات تشمل: - الحسابات وكلمات المرور المحفوظة في المتصفح - محتوى الحافظة، وسجلات ضغطات المفاتيح، ولقطات الشاشة - المفاتيح الخاصة لمحافظ العملات المشفّرة، وعبارات الاستعادة (Seed/Mnemonic) والبيانات المرتبطة - ملفات الجهاز والمجلدات المشتركة - صور وثائق الهوية مثل رخص القيادة وجوازات السفر وتُرسل هذه المعلومات إلى خوادم يسيطر عليها المهاجم. وحتى إن كانت المحفظة فارغة لحظة الاختراق، فإن تسريب المفتاح الخاص أو العبارة الاستردادية يمكّن المهاجم من مراقبة العنوان لفترة طويلة وتحويل أي أموال تصل لاحقاً. خطر يتجاوز الأفراد إلى الشركات تؤكد الإحاطة أن مطوّري البرمجيات غالباً ما يملكون صلاحيات للوصول إلى مستودعات الشيفرة وخدمات سحابية وأنظمة داخلية. وباستغلال بيانات الدخول أو الأذونات المخزنة على الجهاز، قد تخترق المجموعة أنظمة جهة العمل أو العملاء أو الشركاء، وتوسّع الاختراق داخل الشبكة، أو تسرق معلومات حساسة، أو تستخدمها للابتزاز. مراكز عمل عن بُعد في مساكن خارجية لإخفاء الهوية تضيف الجهات أن وثائق الهوية المسروقة تُستخدم أيضاً لتسهيل انتحال الضحايا من قبل عاملين في تكنولوجيا المعلومات مرتبطين بكوريا الشمالية للتقدّم لوظائف خارجية وتحصيل عملات أجنبية. ووفق التقييم، تتقاطع الكوادر والبنية التحتية بين نموذج نشر البرمجيات الخبيثة عبر إعلانات وظائف وهمية وبين نموذج توظيف عمال IT ينتحلون صفة مطوّرين في الخارج. وخلصت الوكالة الوطنية للشرطة اليابانية و"إف بي آي" إلى أن عناصر من "ووتربلَم" وبعض عمال IT المرتبطين بكوريا الشمالية يتبعون "المكتب 313" ضمن إدارة الصناعة العسكرية التابعة للجنة المركزية لحزب العمال الكوري. ولتجاوز إجراءات التحقق من الهوية ومكان العمل، يتعاون هؤلاء مع وسطاء في الخارج يجهزون حواسيب عمل داخل مساكن محلية، ويوفرون بيانات الهوية ويتولون استلام الرواتب، بينما يُنفّذ العمل فعلياً عن بُعد من داخل كوريا الشمالية وروسيا ومناطق أخرى. بهذه الطريقة يمكن الدخول إلى أنظمة الشركات عبر شبكات وأجهزة محلية في اليابان أو الولايات المتحدة، بما يوهم الشركات بأن الموظف موجود فعلياً هناك. كما يتلقى المساعدون أجهزة الشركة ووثائق الهوية وحسابات بنكية، ثم يحولون الرواتب إلى العاملين الحقيقيين. وذكرت الإحاطة أن هذه هي المرة الأولى التي تكشف فيها السلطات اليابانية عن منشأة من هذا النوع داخل اليابان، وأن التحقيق أظهر قيام المتورطين أيضاً بتحويل عشرات الملايين من الين إلى الخارج، بما يشمل أصولاً من العملات المشفّرة. وحذرت السلطات من أن توفير عمل أو دفع أموال لعمال IT المرتبطين بكوريا الشمالية، أو مساعدتهم عبر معلومات الهوية أو الحسابات البنكية أو الأجهزة البعيدة، قد يشكل مخالفة للقوانين المحلية وانتهاكاً للعقوبات المفروضة على كوريا الشمالية. وأضافت أن المخاطر على الشركات لا تقتصر على تدفق الأجور؛ إذ سُجلت حالات ابتزاز بسبب خلافات على الأجر ترافقت مع نشر شفرة مصدرية مملوكة للشركة، وحالات أخرى شهدت عبثاً متعمداً بالمواقع أدى إلى تعطّلها. سيرة ذاتية مزوّرة للتقدّم إلى منصة يابانية تعد شركات العملات المشفّرة من القطاعات المستهدفة. ففي مايو 2025 تلقت منصة يابانية للعملات المشفّرة طلب توظيف لوظيفة هندسية من مرشح يُشتبه أنه عامل IT كوري شمالي، دخل إلى إعلان الوظيفة عبر VPN وقدّم سيرة ذاتية مزورة. بدت السيرة "مثالية" على نحو مبالغ فيه: إتقان عدد كبير من لغات البرمجة وتقنيات البلوك تشين وأنظمة العملات المشفّرة والخدمات السحابية، مع سرد أكثر من عشر مهارات وخبرات مرتبطة بكل فئة. كما تضمنت خلفية تعليمية في جامعات أوروبية وخبرات عمل عبر عدة مدن في أوروبا وآسيا خلال فترة زمنية قصيرة. وخلال مقابلة الفيديو ادعى المرشح أنه وُلد في ماليزيا ويقيم في فنلندا، وأن لغتيه الأم هما الملايو والصينية. إلا أن مستوى الإنجليزية لم يكن متسقاً مع تلك الخلفية، إذ لم يستطع سوى الإجابة عن أسئلة بسيطة وعجز عن تقديم شروح تفصيلية لمعظم المهارات التقنية المدرجة. وتضمنت الإحاطة سمات متكررة رُصدت في مقابلات أخرى مع مشتبه بهم، منها: رفض اللقاءات الحضورية، طلب الدفع بالعملات المشفّرة، التطلع المتكرر إلى شاشة أخرى، سماع أصوات أشخاص آخرين أحياناً في الخلفية، وتكرر التقطّع في الصوت أو الصورة. ويُرجح أن النظر المتكرر إلى شاشة أخرى يشير إلى قراءة إجابات يزوّد بها طرف آخر، حتى لو ظهر شخص واحد فقط أمام الكاميرا. ماذا تفعل عند الاشتباه بالإصابة تشدد توصيات جهات دولية على أن إزالة البرمجية الخبيثة وحدها لا تكفي. حتى إن لم تُسحب الأصول بعد، فإن تشغيل شيفرة غير موثوقة على جهاز يتعامل مع محافظ أو بيانات حساسة يعني أن المفاتيح الخاصة أو عبارات الاستعادة أو بيانات الدخول للمتصفح قد تكون سُرقت دون تحرك فوري، وقد يُبقي المهاجمون باباً خلفياً بانتظار توقيت أنسب. وتوصي الإرشادات بعدم تشغيل أي شيفرة يرسلها غرباء مباشرة على أجهزة تُخزن أصولاً رقمية أو تتعامل مع بيانات حساسة. وعند الحاجة للاختبار، يُفضّل استخدام بيئة معزولة مثل Sandbox أو آلة افتراضية، وفحص المشروع بحثاً عن شيفرات مُموّهة أو غير مقروءة أو تقوم بتنزيل مكونات تلقائياً قبل التنفيذ. كما يلزم الحذر الشديد من السكربتات التي تتضمن أوامر مثل curl وbase64 وmshta وInvokeWebRequest أو غيرها من أوامر التنزيل أو الترميز أو إخفاء التنفيذ، وعدم تشغيلها دون فهم كامل لوظيفتها. إذا أبلغت برامج الحماية عن إصابة أو كنت قد شغلت سابقاً برنامجاً من جهة توظيف مشبوهة، توصي الإحاطة بقطع الاتصال بالشبكة فوراً. وحتى بعد إزالة البرمجية، ينبغي افتراض اختراق بيانات المحفظة: إنشاء محفظة جديدة كلياً على جهاز منفصل وآمن، تحويل جميع الأصول إليها، وحفظ العبارة الاستردادية الجديدة خارج الإنترنت. وبسبب احتمال وجود أبواب خلفية غير مكتشفة على الجهاز المصاب، يبقى الخيار الأكثر أماناً هو نسخ البيانات الضرورية ثم إعادة تثبيت نظام التشغيل أو إعادة ضبطه بالكامل بدلاً من الاستمرار في استخدام البيئة الحالية.