ตำรวจญี่ปุ่นและ FBI เปิดโปงแฮกเกอร์เกาหลีเหนือ ใช้ประกาศงานปลอมล่อขโมยคริปโต

18 กันยายน หน่วยงานหลายแห่งนำโดยสำนักงานตำรวจแห่งชาติญี่ปุ่น (NPA) และสำนักงานสอบสวนกลางสหรัฐ (FBI) ออกมาเปิดเผยการปฏิบัติการของกลุ่มแฮกเกอร์เกาหลีเหนือ WaterPlum หรือที่รู้จักในชื่อ "Contagious Interview" ซึ่งปลอมตัวเป็นผู้สรรหางานหรือบริษัทคริปโตเพื่อหลอกนักพัฒนาให้รันโค้ดอันตราย โดยอ้างว่าเป็นแบบทดสอบเขียนโปรแกรมหรือโปรเจกต์ร่วมพัฒนา รายงานระบุว่า ระหว่างเดือนธันวาคม 2025 ถึงกรกฎาคม 2026 กลุ่มดังกล่าวติดมัลแวร์ให้กับอุปกรณ์มากกว่า 30,000 เครื่องในกว่า 100 ประเทศ โอนเงินหรือขโมยข้อมูลการเข้าถึงจากกระเป๋าคริปโตมากกว่า 7,000 ใบ คิดเป็นมูลค่าอย่างน้อย 10.71 ล้านดอลลาร์สหรัฐในสินทรัพย์ดิจิทัล โดยจุดเปลี่ยนสำคัญคือการขยายเป้าหมายจากตลาดซื้อขายคริปโตและสถาบันขนาดใหญ่ ไปสู่รายบุคคล เช่น นักพัฒนา ฟรีแลนซ์ และผู้ทำงานสาย Web3 NPA และ FBI ชี้ว่า WaterPlum ไม่ได้หยุดแค่การดูดทรัพย์จากวอลเล็ต แต่ยังใช้คอมพิวเตอร์และข้อมูลตัวตนที่ยึดได้เพื่อเจาะเข้าสู่ระบบของบริษัทเหยื่อ เปิดทางสู่การขโมยความลับทางการค้า การกรรโชก หรือแม้แต่สวมรอยเหยื่อไปสมัครงานต่อ กลยุทธ์ "ประกาศรับสมัครเงินเดือนสูง" เป็นจุดเริ่มโจมตี ช่องทางเข้าถึงที่พบบ่อยที่สุดไม่ใช่อีเมลฟิชชิง แต่คือข้อเสนองานที่ดูน่าเชื่อถือ ผู้โจมตีปลอมเป็นบริษัท AI คริปโต หรือ NFT ติดต่อผ่านโซเชียลมีเดีย เว็บหางาน แพลตฟอร์มรับจ้างงาน และตลาดฟรีแลนซ์ จากนั้นนัดสัมภาษณ์วิดีโอหรือให้ทำแบบทดสอบโค้ด การโจมตีจริงเกิดในช่วง "ประเมินทักษะ" ผู้สมัครมักได้รับลิงก์รีโพซิทอรีโค้ดให้รันบนเครื่อง แก้บั๊ก หรือช่วยแก้ปัญหาโปรแกรมประชุมออนไลน์ โครงการเหล่านี้ดูเป็นงาน JavaScript, Python หรือโปรเจกต์ VS Code ทั่วไป แต่แฝงโค้ดอันตรายไว้ภายใน WaterPlum ถูกระบุว่าใช้แพ็กเกจ NPM (Node.js package manager) ที่ฝังมัลแวร์อยู่บ่อยครั้ง ครอบคลุมหลายตระกูล เช่น BeaverTail, InvisibleFerret, OtterCookie, OtterCandy และ StoatWaffle บางกรณีอาศัยไฟล์ตั้งค่า .vscode/tasks.json เพื่อสั่งรันโค้ดอัตโนมัติทันทีที่ผู้ใช้เปิดโฟลเดอร์และกด "trust" ใน VS Code สำหรับเหยื่อ ขั้นตอนอาจดูเหมือนแค่ดาวน์โหลดโค้ด เปิดโปรเจกต์ และรันตามคำแนะนำของ "ผู้สัมภาษณ์" ขณะที่มัลแวร์ติดตั้งตัวเองเงียบ ๆ เบื้องหลัง หลังยึดเครื่องได้ ผู้โจมตีมักลงโทรจันควบคุมระยะไกลเพื่อคงการเข้าถึงระยะยาว และใช้โปรแกรมขโมยข้อมูลเพื่อเก็บข้อมูลสำคัญ เป้าหมายหลัก ได้แก่ - บัญชีและรหัสผ่านที่บันทึกในเบราว์เซอร์ - ข้อมูลคลิปบอร์ด บันทึกการพิมพ์ และภาพหน้าจอ - กุญแจส่วนตัววอลเล็ต วลีกู้คืน (recovery phrase/seed phrase) และข้อมูลที่เกี่ยวข้อง - ไฟล์ในเครื่องและโฟลเดอร์ที่แชร์ - รูปเอกสารยืนยันตัวตน เช่น ใบขับขี่และพาสปอร์ต ข้อมูลทั้งหมดจะถูกส่งไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม แม้ตอนนั้นวอลเล็ตของเหยื่อจะยังไม่มีสินทรัพย์ หากกุญแจส่วนตัวหรือวลีช่วยจำหลุดไปแล้ว ผู้โจมตียังสามารถเฝ้าดูที่อยู่นั้นระยะยาวและย้ายเงินทันทีเมื่อมีเงินเข้ามา ความเสี่ยงไม่ได้จบที่วอลเล็ตส่วนตัว เพราะนักพัฒนาจำนวนมากมีสิทธิ์เข้าถึงรีโพซิทอรีโค้ดของบริษัท บริการคลาวด์ และระบบภายใน WaterPlum สามารถใช้ข้อมูลล็อกอินและสิทธิ์ที่ถูกเก็บไว้บนเครื่องเพื่อเจาะเข้าองค์กรของนายจ้าง ลูกค้า หรือพาร์ตเนอร์ ขยายการโจมตีแบบ lateral movement ขโมยความลับ หรือใช้ข้อมูลอ่อนไหวเพื่อกรรโชก ฐาน "ทำงานระยะไกล" ที่ซ่อนอยู่ในที่พักต่างประเทศ NPA ระบุว่า เอกสารตัวตนที่ขโมยได้ เช่น ใบขับขี่และพาสปอร์ต ถูกนำไปใช้อีกทางหนึ่ง คือส่งต่อให้บุคลากรไอทีเกาหลีเหนือใช้สวมรอยสมัครงานต่างประเทศเพื่อหาเงินตราต่างประเทศ โดย WaterPlum เน้นแพร่มัลแวร์ผ่านประกาศงานปลอม ขณะที่บุคลากรไอทีเกาหลีเหนือสวมเป็นนักพัฒนาต่างชาติแทรกซึมเข้าไปในบริษัท และสองกลุ่มมีความทับซ้อนทั้งด้านบุคคลและโครงสร้างพื้นฐาน NPA และ FBI ประเมินว่า สมาชิกของ WaterPlum และบุคลากรไอทีเกาหลีเหนือบางส่วนเกี่ยวข้องกับ Bureau 313 ของ Military Industry Department ภายใต้คณะกรรมการกลางพรรคแรงงานเกาหลี (Workers' Party of Korea) เพื่อเลี่ยงการตรวจสอบตัวตนและสถานที่ทำงาน บุคลากรไอทีเกาหลีเหนือทำงานร่วมกับตัวกลางในต่างประเทศให้ตั้งคอมพิวเตอร์ไว้ตามบ้าน ใช้เครือข่ายท้องถิ่น จัดหาเอกสารยืนยันตัวตน และรับเงินเดือนแทน ขณะที่ผู้ปฏิบัติงานจริงอยู่ในเกาหลีเหนือ รัสเซีย และพื้นที่อื่น โมเดลนี้ทำให้พวกเขาเข้าสู่ระบบบริษัทผ่านคอมพิวเตอร์และเครือข่ายในญี่ปุ่นหรือสหรัฐ จนบริษัทเข้าใจว่าพนักงานอยู่ในประเทศนั้นจริง ทางการญี่ปุ่นระบุว่า นี่เป็นครั้งแรกที่พบลักษณะสถานที่แบบนี้ภายในญี่ปุ่น การสืบสวนพบว่าผู้เกี่ยวข้องไม่เพียงช่วยปกปิดตัวตนและจัดหางานให้บุคลากรไอทีเกาหลีเหนือ แต่ยังโอนเงินออกนอกประเทศมูลค่าหลายสิบล้านเยน รวมถึงสินทรัพย์คริปโตด้วย ประกาศเตือนยังชี้ว่า บริษัทหรือบุคคลที่ให้การจ้างงาน จ่ายเงิน หรือช่วยจัดหาเอกสารตัวตน บัญชีธนาคาร หรืออุปกรณ์ทำงานระยะไกล อาจเข้าข่ายฝ่าฝืนกฎหมายท้องถิ่นและละเมิดมาตรการคว่ำบาตรต่อเกาหลีเหนือ ความเสี่ยงต่อบริษัทไม่ได้มีแค่เงินเดือนรั่วไหลไปเกาหลีเหนือ รายงานยกตัวอย่างกรณีบุคลากรไอทีรายหนึ่งกรรโชกนายจ้างจากปัญหาค่าตอบแทนและปล่อยซอร์สโค้ดกรรมสิทธิ์ของบริษัทสู่สาธารณะ อีกกรณีผู้รับจ้างดูแลเว็บไซต์จงใจแก้ไขจนเว็บไซต์ล่มไม่สามารถใช้งานได้ ปลอมประวัติสมัครงานกับตลาดซื้อขายคริปโตในญี่ปุ่น อุตสาหกรรมคริปโตถูกระบุว่าเป็นหนึ่งในเป้าหมายหลักของบุคลากรไอทีเกาหลีเหนือ เดือนพฤษภาคม 2025 ตลาดซื้อขายคริปโตในญี่ปุ่นแห่งหนึ่งได้รับใบสมัครตำแหน่งวิศวกรจากผู้สมัครที่ถูกสงสัยว่าเป็นบุคลากรไอทีเกาหลีเหนือ ผู้สมัครเข้าถึงประกาศงานผ่าน VPN และยื่นเรซูเม่ปลอม เรซูเม่ดู "ครบเครื่อง" อย่างผิดสังเกต อ้างความเชี่ยวชาญทั้งภาษาโปรแกรม เทคโนโลยีบล็อกเชน ระบบคริปโต และบริการคลาวด์ พร้อมระบุทักษะและประสบการณ์ในแต่ละหมวดมากกว่า 10 รายการ ประวัติส่วนตัวระบุจบมหาวิทยาลัยในยุโรปและมีประสบการณ์ทำงานหลายเมืองในยุโรปและเอเชียภายในช่วงเวลาสั้น ๆ ระหว่างสัมภาษณ์วิดีโอ ผู้สมัครอ้างว่าเกิดที่มาเลเซีย อาศัยในฟินแลนด์ และมีภาษามลายูกับภาษาจีนเป็นภาษาแม่ แต่ทักษะภาษาอังกฤษกลับไม่สอดคล้องกับพื้นเพที่กล่าวอ้าง ตอบได้เพียงคำถามพื้นฐาน และอธิบายเชิงลึกเกี่ยวกับทักษะเทคนิคส่วนใหญ่ในเรซูเม่ไม่ได้ ประกาศยังสรุปพฤติกรรมที่พบร่วมกันในผู้ต้องสงสัยรายอื่น เช่น ปฏิเสธนัดพบตัวจริง เรียกรับค่าตอบแทนเป็นคริปโต มองไปยังอีกหน้าจอบ่อยครั้ง ได้ยินเสียงบุคคลอื่นเป็นบางช่วง และสัญญาณวิดีโอหรือเสียงหน่วงซ้ำ ๆ การเหลือบมองอีกหน้าจออาจสะท้อนว่ากำลังอ่านคำตอบที่มีคนส่งให้ แม้บนจอจะเห็นเพียงคนเดียว แต่เบื้องหลังอาจมีหลายคนร่วมกันปั้นภาพทักษะเทคนิคให้ดูน่าเชื่อ คำแนะนำเมื่อสงสัยติดมัลแวร์: ลบอย่างเดียวไม่พอ หน่วยงานต่างประเทศหลายแห่งเตือนว่า แม้ตรวจพบการติดมัลแวร์ การลบโปรแกรมอันตรายออกเพียงอย่างเดียวอาจไม่ทำให้ปลอดภัย แม้วอลเล็ตจะยังไม่ถูกโอนทรัพย์ มัลแวร์อาจขโมยกุญแจส่วนตัว วลีช่วยจำ หรือข้อมูลล็อกอินในเบราว์เซอร์ไปแล้ว และแค่รอจังหวะเหมาะเพื่อย้ายเงิน นอกจากนี้ยังอาจฝัง backdoor เพื่อกลับมาได้อีก แนวทางป้องกันที่แนะนำคือ ไม่ควรรันโค้ดจากคนแปลกหน้าบนเครื่องที่เก็บสินทรัพย์คริปโตหรือข้อมูลอ่อนไหว หากจำเป็นต้องทดสอบ ให้ใช้ sandbox หรือ virtual machine แยกจากสภาพแวดล้อมการใช้งานจริง และตรวจโปรเจกต์ก่อนรัน โดยเฉพาะโค้ดที่ถูกทำให้ดูอ่านไม่รู้เรื่อง หรือมีพฤติกรรมดาวน์โหลดโค้ดอัตโนมัติ ระวังสคริปต์ที่มีคำสั่งอย่าง curl, base64, mshta, InvokeWebRequest หรือคำสั่งอื่นที่ใช้ดาวน์โหลด เข้ารหัส หรือซ่อนการรัน ไม่ควรรันหากไม่เข้าใจหน้าที่อย่างชัดเจน หากแอนติไวรัสแจ้งติดเชื้อ หรือเคยรันโปรแกรมจากผู้ว่าจ้างที่น่าสงสัย ให้ตัดการเชื่อมต่อเครือข่ายทันที แม้ภายหลังจะลบมัลแวร์ได้ ควรถือว่าข้อมูลวอลเล็ตอาจถูกเจาะแล้ว ให้สร้างวอลเล็ตใหม่บนอุปกรณ์อีกเครื่องที่ปลอดภัย โอนสินทรัพย์ทั้งหมดไปยังวอลเล็ตใหม่ และเก็บวลีช่วยจำชุดใหม่แบบออฟไลน์ เพื่อหลีกเลี่ยงความเสี่ยงจาก backdoor ที่อาจยังซ่อนอยู่ วิธีที่ปลอดภัยที่สุดคือสำรองข้อมูลสำคัญ แล้วติดตั้งระบบปฏิบัติการใหม่หรือรีเซ็ตเครื่องทั้งหมด แทนการใช้งานสภาพแวดล้อมเดิมต่อไป