Cyberangriff: Nordkorea stiehlt 10,7 Millionen Dollar über 30.000 Geräte

Sicherheitsbehörden aus Japan und den Vereinigten Staaten haben eine weitreichende Cyberoperation aufgedeckt, die Nordkorea zugerechnet wird. Wie die japanische Polizeibehörde NPA und die US-Bundespolizei FBI laut Berichten vom 18. September 2026 bekanntgaben, wurden im Zuge der Kampagne weltweit mehr als 30.000 Geräte infiziert. Die Täter erbeuteten dabei Kryptowährungen im Wert von mindestens 10,71 Millionen US-Dollar, was rund 1,7 Milliarden Yen entspricht.

Schadsoftware in fingierten Bewerbungsaufgaben

Verantwortlich für die Angriffe ist nach Angaben der Ermittler eine Gruppierung namens WaterPlum. Zwischen Dezember 2025 und Juli 2026 infizierte die Gruppe über 30.000 Geräte in mehr als 100 Ländern und Regionen. Dabei stahl sie Zugangsdaten von rund 7.000 Krypto-Wallets beziehungsweise Krypto-Konten.

Auf Wallets, die von WaterPlum kontrolliert werden, gingen demnach Gelder in Höhe von mindestens 1,7 Milliarden Yen ein, umgerechnet rund 10,7 Millionen US-Dollar.

Die Akteure gingen dabei mit einer Methode vor, die unter der Bezeichnung „Contagious Interview“ bekannt ist: Sie gaben sich auf Job-Plattformen und in sozialen Netzwerken als Personalvermittler von Krypto-, KI- und NFT-Unternehmen aus, um gezielt arbeitssuchende IT-Fachkräfte zu ködern.

Die eigentliche Schadsoftware versteckte die Gruppe in vermeintlichen Aufgaben für den Bewerbungsprozess. Zu den Betroffenen gehören Softwareentwickler weltweit, mit Angriffszielen in Japan, den USA, Europa sowie in Deutschland.

Internationale Warnung vor Devisenbeschaffung

Die öffentliche Zuschreibung wird von sieben Organisationen aus vier Staaten getragen. Neben der NPA und dem FBI beteiligen sich auch deutsche Stellen an den Warnhinweisen: Das Bundesamt für Verfassungsschutz (BfV) und der Bundesnachrichtendienst (BND) veröffentlichten gemeinsam mit den US- und japanischen Ermittlern einen Sicherheitshinweis zur illegalen Devisenbeschaffung durch nordkoreanische Cyberaktivitäten.

Angesichts der globalen Zunahme von Cyberangriffen und komplexen Phishing-Methoden wird die proaktive Absicherung für Betriebe jeder Größe zur Pflicht. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Trends für Unternehmen jetzt kostenlos lesen

Zudem warnen BfV und BND zusammen mit Partnerbehörden aus den USA, Japan und Australien vor WaterPlum und weisen auf Angriffe auf Ziele in Deutschland hin.

Nach Angaben von BfV und BND dient die Kampagne primär dazu, Finanzmittel für die Gehälter des nordkoreanischen Führungszirkels und des Militärs zu beschaffen. Zudem drohten den betroffenen Unternehmen Spionage und der Diebstahl geistigen Eigentums.

Behörden betonen, dass die Erlöse der Operation Nordkoreas Rüstungsprogramm finanzieren und dazu beitragen, die seit rund zwei Jahrzehnten bestehenden UN-Sanktionen zu umgehen. China und Russland hatten weitere Strafmaßnahmen gegen Nordkorea zuletzt blockiert.

Wer die Sicherheit im eigenen Unternehmen stärken möchte, findet in diesem praktischen Leitfaden effektive Strategien zur Abwehr gezielter Manipulationsversuche. Das kostenlose Anti-Phishing-Paket zeigt Ihnen in 4 einfachen Schritten, wie Sie Ihr Unternehmen wirksam gegen Cyberkriminalität schützen. Anti-Phishing-Paket für Unternehmen gratis herunterladen

Steuerung durch das Munitionsindustrieministerium

Behörden aus Japan und den USA sehen WaterPlum sowie nordkoreanische IT-Arbeiter unter direkter Kontrolle des Büros 313, einer Einheit des Munitionsindustrieministeriums der nordkoreanischen Arbeiterpartei.

Nordkoreanische Fachkräfte erschlichen sich unter falschen Identitäten aus Nordkorea, China und Russland heraus Remote-Stellen im Ausland und transferierten in den vergangenen Jahren mehrere hundert Millionen Yen in den isolierten Staat. Das BfV hatte bereits im Oktober 2024 vor dieser Vorgehensweise gewarnt.

In Japan zerschlugen die Behörden zudem eine inländische Laptop-Farm, die für diese Art nordkoreanischer Remote-Arbeit betrieben wurde. Einer der Tatverdächtigen hatte sich den Ermittlungen zufolge im Mai 2025 vergeblich um eine Ingenieurstelle bei der Kryptobörse bitFlyer beworben.

de | wissenschaft | 70127672 |