Detsembrist 2025 kuni juulini 2026 nakatas Põhja-Korea rühmitus WaterPlum umbes 30 000 seadet enam kui 100 riigis. Kompromiteeriti 7000 krüptorahakotti ning Põhja-Koreasse kanti üle üle 10 miljoni dollari. Jaapani, Austraalia, Saksamaa ja USA ametivõimud, sealhulgas Föderaalne Juurdlusbüroo (FBI) ning kaitseministeeriumi küberkuritegude keskus, andsid välja ühise küberturvalisuse hoiatuse. Rühmitus on tegutsenud alates 2023. aastast nii rahaliselt motiveeritud rünnete kui küberluurega.
Tarkvaraarendajaid ja IT-spetsialiste meelitatakse võltsitud tööpakkumistega sotsiaalmeedias, tööportaalides, gigimajanduse saitidel ja vabakutseliste turgudel. Ohvreid palutakse osaleda virtuaalsetes tehnilistes intervjuudes või täita koodiülesandeid ning seejärel alla laadida pahatahtlikke faile, mis on majutatud koostööplatvormidel ja koodihoidlates, sealhulgas pahatahtlike Node Package Manageri (NPM) pakettidena. Juurdepääsu saades varastatakse brauseriparoolid, ekraanipildid, failid ja krüptorahakoti andmed; nakatunud arvuti võib avada tee ka tööandja võrku intellektuaalomandi varguseks ja spionaažiks.
Tegevus kattub skeemiga, kus Põhja-Korea kodanikud varjavad asukohta ja isikut, et saada kaugtööd välismaa firmades. Varastatud isikutõendeid kasutatakse lepingute saamiseks ja välisvaluuta vastuvõtmiseks; tundlikku teavet kasutatakse ka väljapressimiseks. Ühel juhul avaldati ettevõtte lähtekood, teisel rikuti veebileht. Tööandjatele antud vihjed: eelistatakse krüptoraha makseid teise isiku nimele, intervjuudel kasutatakse tehisintellekti (AI) näovahetustarkvara ning video lülitatakse välja; Põhja-Korea pühadel mängitakse mänge ja vaadatakse jalgpallivideoid.