美日澳德多国政府近日联合发布公告，直指北韩黑客组织WaterPlum（又称Contagious Interview）正在以“假求职面试”的方式实施大规模网络攻击。调查显示，该组织自2025年12月至2026年7月间，至少在全球100多个国家感染3万台装置，其中核心目标并非普通用户，而是网页设计师、工程师以及加密货币、区块链与Web3相关从业者。更令人警惕的是，他们从超过7000个加密货币钱包中窃取资金或凭证，金额已达到至少1071万美元量级，并被评估与北韩军需工工业系统相关人员有关。
这套作案流程相当“专业化”。WaterPlum会在社群媒体、求职网站与自由工作平台上，假冒AI、加密货币或NFT公司雇主，发布看似诱人的IT岗位与面试邀约。受害者进入面试环节后，攻击方会要求对方下载文件、完成线上代码测试，或处理视频会议软件的相关“技术问题”。一旦受害者照做，就可能触发恶意负载下载与执行。
技术细节同样暗藏玄机：调查指出，攻击者会在背后散布携带恶意代码的NPM套件，例如BeaverTail、InvisibleFerret、OtterCookie、OtterCandy与StoatWaffle等家族。工具被植入后，攻击者会部署远端访问木马（RAT），维持持续访问能力，并进一步进行横向移动，寻找更多可被利用的系统与账号。
一旦进入目标环境，窃取行为并不止于“勒索式破坏”。恶意程序会从浏览器凭证、键盘输入、屏幕截图等信息入手，扩大窃取范围；同时还会针对加密货币钱包资料进行专门抓取。更严重的是，被感染的设备还被用作通往企业内部网络的跳板，从而实施进一步渗透并窃取智慧财产。
这起事件再次提醒：在招聘与远程面试场景中，任何要求“下载文件”“安装不明插件”“处理异常脚本”的指令都可能是钓鱼攻击链的一部分。企业与个人都需要加强对开发生态与求职流程的安全校验，才能降低被拖入这类“看似正常却致命”的攻击风险。
