Noord-Koreaanse hackers stelen miljoenen via nepvacatures

De hackersgroep achter de aanvallen heet WaterPlum en staat ook bekend als Contagious Interview. Vooral softwareontwikkelaars, engineers en andere technische specialisten vormen een doelwit. Voor Nederlandse cryptobeleggers laat de aanval vooral zien hoe belangrijk het is om voorzichtig te zijn met onbekende bestanden en software, ook als die onderdeel lijken van een normale sollicitatieprocedure.

Nepvacature leidt naar malware

WaterPlum zoekt slachtoffers via sociale media, vacaturesites, freelanceplatforms en andere websites waar ontwikkelaars naar werk zoeken. De hackers doen zich daarbij voor als recruiters van echte bedrijven in onder meer de crypto-, AI– en NFT-sector.

Vervolgens begint een sollicitatieprocedure die op het eerste gezicht normaal lijkt. Een kandidaat krijgt bijvoorbeeld een programmeeropdracht die hij lokaal moet uitvoeren. In andere gevallen ontstaat er zogenaamd een probleem met de software voor het videogesprek en moet de kandidaat een bestand downloaden.

Daar zit het gevaar. Het bestand bevat malware waarmee de aanvallers toegang krijgen tot de computer.

Malware is software die speciaal is gemaakt om schade aan te richten, gegevens te verzamelen of toegang tot een apparaat te krijgen. WaterPlum gebruikt onder meer zogenoemde infostealers. Deze programma’s zoeken naar waardevolle informatie, zoals wachtwoorden, browsersessies en gegevens van cryptowallets.

Meer dan 7.000 cryptowallets geraakt

De omvang van de campagne is aanzienlijk. Volgens een gezamenlijke waarschuwing van veiligheidsdiensten uit de Verenigde Staten, Duitsland, Japan en Australië raakte WaterPlum minstens 30.000 apparaten in meer dan 100 landen.

Tussen december 2025 en juli 2026 wisten de aanvallers geld of accountgegevens uit meer dan 7.000 cryptowallets te bemachtigen. De bekende financiële schade bedraagt minimaal $10,7 miljoen.

De werkelijke impact kan groter zijn. De hackers zoeken namelijk niet alleen naar crypto. Ze verzamelen ook identiteitsdocumenten en andere persoonlijke gegevens.

Die informatie kan later opnieuw waarde krijgen. Met gestolen identiteitsdocumenten kunnen andere Noord-Koreaanse IT-medewerkers zich bijvoorbeeld voordoen als iemand anders. Gevoelige bedrijfsinformatie kan daarnaast worden gebruikt voor afpersing.

Bedrijven lopen eveneens risico

Een besmette computer vormt niet alleen een probleem voor de eigenaar. Een ontwikkelaar kan vanaf hetzelfde apparaat toegang hebben tot interne systemen, broncode of andere gevoelige bedrijfsinformatie.

Daarmee ontstaat voor WaterPlum een tweede ingang. Na een succesvolle aanval op één sollicitant kunnen de hackers proberen om verder door te dringen in het bedrijf waar die persoon werkt.

De campagne sluit aan bij een bredere Noord-Koreaanse strategie. Amerikaanse en Japanse autoriteiten waarschuwen dat Noord-Koreaanse IT-medewerkers onder valse identiteiten proberen binnen te komen bij buitenlandse bedrijven. Sommige betrokken personen worden in verband gebracht met het Noord-Koreaanse Munitions Industry Department.

Vervalste cv’s maken deel uit van de aanpak

Een incident bij een Japanse crypto-exchange laat zien dat Noord-Koreaanse activiteiten niet altijd beginnen met malware. Een vermoedelijke Noord-Koreaanse IT-medewerker solliciteerde daar op een technische functie met een vervalst cv.

Tijdens het sollicitatiegesprek ontstond argwaan. De kandidaat kon verschillende technische vaardigheden die op het cv stonden niet goed uitleggen. Na verdere controle ontdekte de exchange meer afwijkingen en wees het bedrijf de sollicitant af.

Ook Consensys ontdekte eerder dat het onbewust een ontwikkelaar met banden met Noord-Korea als consultant had ingehuurd. Het bedrijf trok de toegang in nadat het de dreiging ontdekte. Uit het daaropvolgende onderzoek kwam volgens Consensys geen diefstal van geld of gegevens naar voren. Ook vond het bedrijf geen schadelijke code of gevolgen voor gebruikers.

Noord-Korea richt zich al langer op crypto

De cryptosector vormt al jaren een belangrijk doelwit voor Noord-Koreaanse hackers. Digitale valuta kunnen relatief snel over landsgrenzen worden verplaatst, waardoor gestolen crypto aantrekkelijk is voor internationaal opererende cybercriminelen.

Een van de grootste voorbeelden vond plaats in februari 2025. Bij de aanval op crypto-exchange Bybit verdween ongeveer $1,5 miljard aan crypto. De FBI schreef die hack toe aan Noord-Korea.

De aanpak met nepvacatures verschilt van een directe aanval op een exchange. WaterPlum probeert eerst het vertrouwen van één persoon te winnen en gebruikt daarna diens computer als toegangspunt.

Vooral ontwikkelaars die met crypto werken lopen daardoor extra risico. Zij beschikken vaak over technische toegang tot projecten en gebruiken soms dezelfde computer voor werk, persoonlijke accounts en crypto.

Wat kunnen cryptogebruikers hiervan leren?

Een professioneel LinkedIn-profiel, een bekende bedrijfsnaam of een overtuigend sollicitatiegesprek bewijst niet automatisch dat een recruiter betrouwbaar is. Vooral onverwachte verzoeken om software te installeren of code lokaal uit te voeren verdienen extra aandacht.

Controleer daarom via de officiële website van het bedrijf of een vacature daadwerkelijk bestaat en of de recruiter daar werkt. Het is ook verstandig om onbekende programmeeropdrachten niet uit te voeren op een computer waarop cryptowallets of belangrijke accounts staan.

Voor ontwikkelaars kan een aparte, geïsoleerde testomgeving helpen. Daarmee blijft verdachte code gescheiden van persoonlijke bestanden, wallets en bedrijfsgegevens.

Conclusie

De WaterPlum-campagne laat zien dat cryptodiefstal niet altijd begint met een gehackte exchange of een verdachte wallet-transactie. Soms begint de aanval gewoon met een aantrekkelijke vacature.

Met nepvacatures wist de Noord-Koreaanse groep minstens 30.000 apparaten te besmetten en meer dan 7.000 cryptowallets te raken. De bekende schade bedraagt minimaal $10,7 miljoen. Voor cryptogebruikers en ontwikkelaars is daarom niet alleen walletbeveiliging belangrijk. Ook een sollicitatiebestand kan een serieus beveiligingsrisico vormen.

Veelgestelde vragen

Wat is WaterPlum?

WaterPlum is een Noord-Koreaanse hackersgroep die ook bekendstaat als Contagious Interview. De groep benadert onder meer softwareontwikkelaars met valse vacatures en probeert via de sollicitatieprocedure malware op hun computers te installeren.

Hoe stelen hackers crypto via een nepvacature?

De aanvallers sturen bijvoorbeeld een programmeeropdracht of vragen het slachtoffer software te installeren voor een videogesprek. Het bestand bevat malware die toegang kan geven tot wachtwoorden, accounts en gegevens van cryptowallets.

Hoe groot is de schade?

Tussen december 2025 en juli 2026 werden minstens 30.000 apparaten in meer dan 100 landen getroffen. De aanvallers kregen geld of accountgegevens uit meer dan 7.000 cryptowallets in handen. De bekende financiële schade bedraagt minimaal $10,7 miljoen.