Como falsas entrevistas de emprego rendem milhões em cripto à Coreia do Norte

Um grupo ligado à Coreia do Norte está a usar entrevistas de emprego fictícias para instalar malware em computadores de profissionais de tecnologia, como programadores, numa operação que já comprometeu milhares de dispositivos em todo o mundo.

As autoridades de segurança da Austrália, Alemanha, Japão e Estados Unidos emitiram um alerta conjunto sobre uma campanha de ciberespionagem e fraude financeira.

Conforme reportado, entre dezembro de 2025 e julho de 2026, a iniciativa infetou mais de 30 mil dispositivos em mais de 100 países e comprometeu mais de sete mil carteiras de criptomoedas, gerando pelo menos 10,71 milhões de dólares, valor que terá sido canalizado para a Coreia do Norte.

O grupo responsável, identificado pelos investigadores como WaterPlum e comummente chamado “Contagious Interview”, tem como alvos preferenciais programadores, designers web e profissionais que trabalham com criptomoedas e tecnologias Web3, pela facilidade com que estes lidam diariamente com código proveniente de fontes externas.

Como funciona o esquema

Pegando numa estratégia de engenharia social, os membros do grupo fazem-se passar por recrutadores e contactam as potenciais vítimas com propostas de trabalho aparentemente legítimas, avançando depois para uma fase do processo de contratação que inclui um teste técnico ou exercício de programação.

Ao abrir o ficheiro correspondente a esse teste, a vítima acaba por instalar malware capaz de conceder aos atacantes acesso remoto persistente ao sistema, mesmo depois de terminada a suposta entrevista.

A partir desse momento, os cibercriminosos passam a ter capacidade para recolher credenciais de acesso, dados da área de transferência, teclas premidas, informação de carteiras de criptomoedas, documentos de identificação e ficheiros confidenciais.

Indo além da vítima, se o equipamento comprometido voltar a ser usado para fins profissionais, a ameaça pode estender-se à entidade empregadora.

Ligação a uma rede mais ampla de fraude norte-coreana

Segundo o alerta das autoridades, os documentos de identidade roubados poderão ainda servir para que trabalhadores de tecnologia da informação (TI) norte-coreanos disfarcem a sua verdadeira identidade ao candidatarem-se a empregos no estrangeiro, contornando as sanções internacionais impostas ao regime.

Aliás, estima-se que cerca de 100 mil trabalhadores de TI norte-coreanos procurem emprego, ou já estejam empregados, um pouco por todo o mundo, recorrendo a identidades falsas para conseguirem colocações em empresas norte-americanas e de outros países que mantêm sanções contra a Coreia do Norte.

Parte destes trabalhadores recorre às chamadas laptop farms, geridas por cúmplices locais, para simularem que estão a operar a partir do país onde foram contratados. No conjunto, este tipo de atividade poderá gerar mais de 500 milhões de dólares anuais para o regime norte-coreano.

Sinais de alerta e recomendações

As empresas têm vindo a familiarizar-se com determinados indícios que podem sugerir que um candidato está a usar uma identidade falsa, como os seguintes:

• Currículos que não correspondem ao desempenho demonstrado nas entrevistas;
• Recusa em reunir presencialmente;
• Problemas técnicos recorrentes durante videochamadas;
• Pedidos de pagamento em criptomoedas.

Há ainda relatos do uso de ferramentas de troca de rosto com recurso a Inteligência Artificial (IA) durante as entrevistas, uma técnica que pode deixar falhas visuais percetíveis e que leva alguns candidatos a desligar a câmara pouco depois do início da chamada.

As autoridades recomendam que qualquer empresa que suspeite ter contratado, sem saber, um trabalhador de TI fraudulento ligado à Coreia do Norte, realize uma investigação forense completa, partindo do princípio de que palavras-passe, sistemas e dados sensíveis possam ter sido comprometidos.

Leia também: