WaterPlum
| WaterPlum | |
|---|---|
| Typ | státem sponzorovaná kybernetická skupina (APT) |
| Sídlo | Pchjongjang, operace z Číny a Ruska |
WaterPlum (v komunitě kybernetické bezpečnosti známá rovněž pod označením kampaně Contagious Interview, či pod identifikátory MITRE jako G1052) je vysoce sofistikovaná, státem sponzorovaná kybernetická a hackerská skupina pocházející z Korejské lidově demokratické republiky (KLDR). Skupina se specializuje na pokročilé formy sociálního inženýrství, kyberšpionáž a rozsáhlé krádeže virtuálních aktiv, přičemž jejím primárním cílem je získávání tvrdé měny pro severokorejský totalitní režim, jenž je pod uvalením těžkých mezinárodních sankcí.
Na rozdíl od tradičních hackerských skupin, které zneužívají technické zranitelnosti v infrastruktuře firem, se WaterPlum zaměřuje na zneužívání lidské důvěry v rámci profesionálních náborových procesů. Skupina cílí výhradně na vysoce kvalifikované IT profesionály, programátory, blockchainové inženýry a vývojáře po celém světě. Vydává se za náboráře renomovaných společností z oblasti umělé inteligence (AI), decentralizovaných financí (DeFi) a kryptoměn. Skrze falešné pracovní pohovory a programátorské testy (tzv. coding assignments) nutí uchazeče instalovat škodlivý kód maskovaný jako legitimní vývojářské nástroje.
🗓 Současnost a bezprecedentní mezinárodní varování (2026)
Do širokého celosvětového povědomí vstoupila skupina WaterPlum ve dnech 17. až 19. září 2026, kdy došlo k takzvané veřejné atribuci (public attribution). Tato koordinovaná diplomatická a zpravodajská akce měla za cíl veřejně odhalit a paralyzovat aktivity skupiny.
Dne 18. září 2026 vydalo sedm klíčových zpravodajských a policejních agentur ze čtyř států světa – vedených japonskou Národní policejní agenturou (NPA) a americkým Federálním úřadem pro vyšetřování (FBI) – společnou technickou zprávu (Joint Cybersecurity Advisory) detailně popisující taktiky, techniky a procedury (TTPs) této skupiny.
Z odtajněných dat vyplynulo, že v období od prosince 2025 do července 2026 skupina WaterPlum napadla a kompromitovala více než 30 000 koncových zařízení ve více než 100 zemích světa. Během této jediné kampaně se severokorejským operátorům podařilo odcizit přístupové údaje k přibližně 7 000 kryptoměnovým peněženkám. Hodnota odcizených prostředků, které byly následně vyvedeny přes mixéry do infrastruktury kontrolované vládou v Pchjongjangu, přesáhla 1,7 miliardy japonských jenů (přibližně 10,71 milionu amerických dolarů).
Souběžně s odhalením kybernetických útoků rozkryly japonské úřady a FBI logistickou síť podporovatelů. Ta zahrnovala jedince žijící legálně na území Japonska a dalších států, kteří severokorejským operátorům poskytovali krycí infrastrukturu – nakupovali pro ně servery, zakládali bankovní účty a poskytovali své průkazy totožnosti k zakládání falešných firemních profilů.
⏳ Původ a napojení na severokorejský stát
Činnost skupiny WaterPlum není izolovanou kriminální aktivitou, nýbrž integrální součástí státní politiky Kim Čong-una. Podle analytických závěrů amerického Ministerstva obrany (DC3) a japonských zpravodajců operuje WaterPlum přímo pod velením Úřadu 313 (313 General Bureau). Tento úřad je pevnou součástí Oddělení vojenského průmyslu Ústředního výboru Korejské strany práce.
Cílem tohoto oddělení je zajišťovat financování severokorejského zbrojního, jaderného a balistického programu. Vzhledem k tomu, že KLDR je odstřižena od globálního finančního systému SWIFT a podléhá nejpřísnějším sankcím OSN, staly se kybernetické krádeže kryptoměn jedním z hlavních pilířů státní ekonomiky. Skupina WaterPlum se v tomto ekosystému etablovala jako specializovaná buňka zaměřená na mikro-infiltraci jednotlivců, což ji odlišuje například od sesterské skupiny Lazarus Group, která se soustředí spíše na miliardové hacky samotných kryptoměnových burz.
Zpravodajské agentury na základě shody IP adres potvrdily, že operátoři WaterPlum sdílejí technickou infrastrukturu se státním programem takzvaných severokorejských IT pracovníků (interně označovaných jako projekt "WageMole").
🔬 Modus operandi a technická specifikace útoku
Útoky skupiny WaterPlum nevyužívají plošný rozesílacích e-mailů (spam), ale aplikují metodu vysoce cíleného sociálního inženýrství (spear-phishing) provázaného s kompromitací dodavatelského řetězce softwaru. Celý útok (známý jako kampaň Contagious Interview) se skládá ze čtyř fází.
1. Fáze: Prvotní kontakt a budování důvěry
Útočníci si vytvářejí vysoce propracované, falešné profily na profesní sociální síti LinkedIn a na dalších platformách pro freelancery. Vydávají se za personalisty (headhuntery) inovativních technologických start-upů. Většinou deklarují, že hledají seniorní programátory pro vývoj aplikací v oblastech decentralizovaných financí, vývoje NFT nebo umělé inteligence. Nabízejí vysoce nadprůměrné platové ohodnocení a možnost plně vzdálené práce (remote work). Komunikace probíhá profesionální angličtinou a trvá často i několik týdnů, čímž útočníci dokonale uspí ostražitost oběti.
2. Fáze: Technický pohovor (Contagious Interview)
Pokud oběť projeví zájem, je pozvána k technickému pohovoru, který probíhá přes běžné komunikační platformy (často přes textové či hlasové kanály, zřídka přes video). V rámci prověření technických schopností obdrží programátor zadání testovacího úkolu. Zkušební kód je oběti předán buď formou sdíleného dokumentu, nebo, a to mnohem častěji, formou odkazu na repozitář na službách GitHub či Bitbucket. Úkol působí zcela legitimně (např. oprava chyby ve zdrojovém kódu jednoduché kryptoměnové burzy).
3. Fáze: Infekce (Trojanizované balíčky)
Aby mohl programátor úkol vypracovat, musí si stáhnout repozitář do svého vývojářského prostředí (nejčastěji Visual Studio Code) a nainstalovat softwarové závislosti pomocí správců balíčků (jako je Node Package Manager – npm). Právě v tomto okamžiku dochází k infekci. Skupina WaterPlum upravuje běžné, volně dostupné open-source balíčky a vkládá do nich obfuskovaný (šifrovaný a zmatený) škodlivý kód. Jakmile oběť zadá příkaz k instalaci závislostí a spuštění testovacího kódu, skrytý instalační skript (pre-install script) stáhne ze serveru ovládaného útočníky primární malware.
4. Fáze: Nasazení malwaru a exfiltrace
Skupina využívá vlastní vysoce sofistikované malwarové nástroje. Analytici bezpečnostních společností (např. Palo Alto Networks Unit 42 a NTT Security) identifikovali tři stěžejní programy:
- BeaverTail: Informační zloděj (infostealer), který prohledává počítač oběti a hledá soubory spojené s kryptoměnovými peněženkami (např. soubory wallet.dat, privátní klíče, seed fráze) a krade hesla i relační soubory (cookies) uložené v prohlížečích (Chrome, Firefox, MetaMask).
- InvisibleFerret: Skrytá zadní vrátka (backdoor) napsaná v jazyce Python, která útočníkům poskytují trvalý vzdálený přístup do napadeného stroje. Dokáže zaznamenávat stisky kláves (keylogging) a stahovat další škodlivé moduly.
- OtterCookie: Zdokonalený modul, u kterého byla v roce 2025 objevena verze v4, schopná detekovat, zda je spuštěna ve virtuálním stroji (sandbox evasion), což výrazně ztěžuje práci analytikům. Zaměřuje se speciálně na krádež dat z rozšíření MetaMask.
Jakmile malware získá přístupové údaje, automaticky převede veškeré prostředky z kryptoměnových peněženek oběti na adresy útočníků.
🌐 Program "WageMole" a prolínání s IT pracovníky
Mezinárodní vyšetřování odhalilo úzké propojení skupiny WaterPlum s paralelním programem severokorejského státu, takzvanými "IT pracovníky" (projekt WageMole).
Severní Korea vysílá tisíce státem prověřených programátorů do ciziny (především do pohraničních oblastí Číny a východního Ruska). Tito pracovníci zde žijí v uzavřených buňkách pod dohledem státních agentů. Pomocí odcizených nebo zakoupených identit z celého světa, a s využitím zprostředkovatelů na Západě (tzv. laptop farms, kde je americký nebo evropský notebook fyzicky připojen k internetu a Korejec jej ovládá vzdáleně), se tito lidé nechávají zaměstnat u legitimních technologických firem ve Spojených státech a v Evropě.
Tito pracovníci vykonávají zcela běžnou, legální programátorskou činnost. Svůj vysoký plat v tvrdé měně (až statisíce dolarů ročně) však odevzdávají severokorejskému režimu (odhaduje se, že takto režim získá přes 500 milionů USD ročně). Zářijová zpráva agentury FBI z roku 2026 potvrdila, že infrastruktura a IP adresy, které používá útočný malware WaterPlum, se shodují s adresami, odkud se tito severokorejští IT pracovníci připojují ke svým legitimním západním zaměstnavatelům.
🇨🇿 Stopa v České republice a reakce NÚKIB
Aktivity skupiny WaterPlum se nevyhnuly ani evropskému prostoru. V pátek 18. září a v sobotu 19. září 2026 vydal Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) plošné varování pro české organizace a IT profesionály.
NÚKIB na svých platformách varoval před bezprecedentním zneužíváním pracovních a náborových procesů. Úřad explicitně upozornil na rizika spojená se stahováním testovacích programátorských balíčků při online pohovorech. Pro české technologické firmy a softwarová studia to znamenalo nutnost zavést přísnější bezpečnostní protokoly při prověřování uchazečů ze zahraničí, jelikož severokorejští hackeři cílí i na tuzemské firmy s nabídkou "levné a kvalitní" práce přes proxy servery, aby následně zevnitř sítě provedli kybernetický útok a exfiltraci firemních dat.
📈 Statistiky a data
Následující tabulky detailně shrnují fakta zveřejněná při bezprecedentní mezinárodní atribuci skupiny WaterPlum ze září 2026 a katalogizují aktivity i pseudonymy této hrozby. Žádná data nebyla filtrována ani zkrácena.
Zúčastněné bezpečnostní a zpravodajské organizace (Public Attribution)
Seznam státních úřadů, které se dne 18. září 2026 podílely na společném demaskování operace WaterPlum.
| Zkratka | Plný název organizace | Stát | Role v odhalení |
|---|---|---|---|
| NPA | National Police Agency (Národní policejní agentura) | Japonsko | Iniciátor vyšetřování, analýza ukradených peněz, rozkrytí logistiky. |
| NCO | National Cybersecurity Office (Národní úřad pro kybernetickou bezpečnost) | Japonsko | Technická analýza vektoru útoku. |
| FBI | Federal Bureau of Investigation (Federální úřad pro vyšetřování) | USA | Kriminální vyšetřování, sledování finančních toků v kryptoměnách, napojení na KLDR. |
| DC3 | Department of Defense Cyber Crime Center | USA | Forenzní analýza škodlivého kódu (BeaverTail, InvisibleFerret). |
| ASD / ACSC | Australian Signals Directorate / Cyber Security Centre | Austrálie | Posouzení regionálního dopadu a sdílení indikátorů kompromitace (IoC). |
| BND | Bundesnachrichtendienst (Spolková zpravodajská služba) | Německo | Zpravodajská analýza a vnější ohrožení evropského průmyslu. |
| BfV | Bundesamt für Verfassungsschutz (Spolkový úřad na ochranu ústavy) | Německo | Ochrana vnitřní ekonomiky před severokorejskou špionáží. |
Aliasy a označení skupiny v bezpečnostní komunitě
Vzhledem k tomu, že kybernetické útoky analyzují různé nezávislé komerční organizace, je skupina WaterPlum a její kampaň označována množstvím pseudonymů. Tabulka shrnuje všechna známá označení platná k roku 2026.
| Alias / Pseudonym | Původ označení / Organizace | Vztah k hrozbě |
|---|---|---|
| WaterPlum | Zpravodajské agentury (Japonsko, FBI) | Zastřešující označení pro samotnou hackerskou buňku pod Úřadem 313. |
| Contagious Interview | Bezpečnostní analytici (Palo Alto Networks) | Označení specifické kampaně zneužívající falešné pracovní pohovory. |
| G1052 | Databáze MITRE ATT&CK | Technický identifikátor hrozby v mezinárodním registru. |
| Famous Chollima | CrowdStrike | Standardní nomenklatura firmy CrowdStrike pro severokorejské hrozby (Chollima). |
| DEV#POPPER | Securonix | Označení pro kampaň zaměřenou na vývojáře (developers). |
| DeceptiveDevelopment | Komerční sféra | Alternativní popisný název pro útoky na dodavatelský řetězec. |
| PurpleBravo | Mandiant / Google Cloud | Označení klastru aktivit zaměřených na krádeže virtuálních měn. |
| CL-STA-0240 | NTT Security | Interní klastrové označení japonské analytické firmy. |
Statistiky kampaně "Contagious Interview" (Prosinec 2025 – Červenec 2026)
Agregovaná data pocházející ze společné zprávy FBI a japonské NPA dokumentující rozsah škod.
| Sledovaný ukazatel | Zjištěná hodnota | Metodika / Cíl |
|---|---|---|
| Počet infikovaných koncových zařízení | Více než 30 000 | Potvrzené infekce malwarem BeaverTail a InvisibleFerret na systémech Windows, macOS a Linux. |
| Počet zasažených zemí | Více než 100 | Globální plošný útok bez ohledu na geopolitickou příslušnost oběti. |
| Kompromitované kryptoměnové peněženky | Více než 7 000 | Unikátní adresy (zejména ze sítě Ethereum), od kterých útočníci získali privátní klíče. |
| Vyčíslené odcizené prostředky | 10,71 milionu USD (1,7 mld. JPY) | Ztráty reálně dohledané na blockchainu a odeslané do infrastruktury KLDR. |
| Odhadované zisky sesterského programu "WageMole" | Přibližně 500 milionů USD ročně | Prostředky vygenerované nelegální prací IT specialistů kryjících se za ukradené západní identity. |
💡 Pro laiky
Když se řekne počítačový hacker, většina z nás si představí člověka v kapuci, který se snaží prolomit složitá hesla do bankovního systému. Skupina WaterPlum ale na prolamování hesel vůbec nespoléhá – místo toho vsází na psychologii a naši důvěru.
Představte si, že jste šikovný programátor. Na profesní síti se vám ozve milý náborář (headhunter) s tím, že hledá experty pro novou firmu s umělou inteligencí z Londýna a nabízí vám snový plat. Projdete přes zprávy úvodním povídáním a náborář vám pošle odkaz na zkušební úkol – máte opravit malou část kódu, aby si ověřili vaše schopnosti. Jelikož jako programátor zkušební kódy stahujete z internetu běžně, úkol si uložíte a na svém počítači jej spustíte, abyste ho mohli opravit.
V ten moment se ale na pozadí, aniž byste cokoli viděli, spustí malý skrytý program. Tento program (malware) okamžitě prohledá váš počítač, najde všechna hesla uložená ve vašem prohlížeči (Chrome) a především najde klíče k vašim kryptoměnám. Během několika vteřin tyto informace odešle útočníkovi a vy vzápětí zjistíte, že váš účet s virtuálními penězi je prázdný.
Díky mezinárodnímu vyšetřování dnes víme, že na druhém konci neseděl žádný personalista z Londýna, ale státní zaměstnanec Severní Koreje. Peníze, které vám byly odcizeny, nejdou na luxusní auta pro zloděje, ale přímo diktátoru Kim Čong-unovi na financování jeho raketového a jaderného programu.