Falešní zaměstnanci s pomocí AI: operace PurpleDelta cílila na více než 1 100 firem

Podvod s náborem pracovníků už nemusí znamenat jen falešný inzerát, který se snaží z uchazeče vylákat peníze nebo údaje k bankovnímu účtu. Analýza společnosti Recorded Future popisuje operaci PurpleDelta spojovanou se Severní Koreou, v níž útočníci pomocí smyšlených identit a nástrojů umělé inteligence usilovali o skutečné zaměstnání v zahraničních firmách. Jedna skupina se přihlásila na více než 1 100 pracovních míst, zatímco celá popsaná aktivita zahrnovala nejméně 22 falešných identit a pravděpodobné zaměstnání nejméně v 10 organizacích.

Rozdíl oproti běžnému pracovnímu podvodu je zásadní: bezprostředním cílem tentokrát není uchazeč, ale zaměstnavatel. Úspěšné přijetí může operátorovi zajistit legitimní přihlašovací údaje, přístup k interním systémům a důvěryhodnou pozici uvnitř firmy.

Co zjistil Recorded Future

Výzkumná skupina Insikt Group společnosti Recorded Future identifikovala několik klastrů spojených s označením PurpleDelta. Tímto názvem firma označuje aktivitu severokorejských IT pracovníků využívajících podvodné identity. Zkoumaná činnost probíhala především od konce roku 2024 do začátku roku 2025. Mezi zasažené sektory patřily softwarové a technologické firmy, personální a poradenské společnosti i organizace ve zdravotnictví a biotechnologiích.

Výzkumníci napříč operací odhalili nejméně 22 smyšlených identit. Jeden z klastrů se prostřednictvím nejméně osmi náborových platforem ucházel o práci ve více než 1 100 firmách a odesílal až 60 žádostí denně. Podle hodnocení výzkumníků je velmi pravděpodobné, že operátoři byli zaměstnáni nejméně v 10 organizacích.

Takový rozsah naznačuje opakovatelný náborový systém, nikoli jednotlivé zfalšované životopisy. Identity bylo možné vytvářet, upravovat a podle potřeby nahrazovat. Odhalení jedné z nich proto nemuselo znamenat konec celé operace.

Jak AI pomáhala falešné identity udržovat

Persony nevznikaly jen z jediného smyšleného životopisu. Podle zjištění popsaných v souvislosti s analýzou Recorded Future operátoři kombinovali falešné identity s fotografiemi profilů vytvořenými pomocí AI, speciálně nastavenými asistenty ChatGPT a doklady totožnosti získanými z nelegálních zdrojů.

Umělá inteligence pomáhala přizpůsobovat pracovní žádosti konkrétním pozicím a udržovat konzistentní příběh v různých fázích náboru. Při videopohovorech někteří operátoři podle dostupných zpráv využívali živý přepis a odpovědi generované AI. Překladové nástroje jim zase pomáhaly vysvětlovat potíže s komunikací nebo jazykem.

Vyšetřování rovněž popsalo případy, kdy operátoři spravovali několik identit současně. Nahrávání schůzek a nástroje pro snímání obrazovky představují další riziko, protože mohou zachytit informace probírané nebo zobrazované v interních systémech zaměstnavatele. Dostupné důkazy nepotvrzují, že každá persona používala všechny uvedené techniky. Jejich kombinace však ukazuje, jak může AI snížit časovou i organizační náročnost provozování více identit.

Proč falešný zaměstnanec představuje bezpečnostní problém

Falešný zaměstnanec může být nebezpečnější než falešný uchazeč, protože samotné přijetí do práce mu poskytne důvěru. Po nástupu může získat přístup ke zdrojovému kódu, interním nástrojům, zákaznickým nebo finančním údajům, strategickým diskusím a firemním přihlašovacím údajům. Konkrétní rozsah závisí na pracovní roli a nastavení přístupových práv, práce na dálku však může ztížit ověření toho, kdo účet a zařízení skutečně používá.

Finanční motivace má navíc geopolitický rozměr. PurpleDelta je spojována s generováním příjmů a shromažďováním zpravodajských informací pro Severní Koreu. Zprávy o širším severokorejském programu IT pracovníků dávají nelegální příjmy z takto získaného zaměstnání do souvislosti se sankcionovanými státními programy a financováním programů zbraní hromadného ničení.

Širší výzkum Recorded Future popisuje syntetické identity jako dvojí hrozbu pro firmy: mohou sloužit k rozsáhlým finančním podvodům, ale také k obcházení sankcí, získávání nelegálních příjmů a krádežím duševního vlastnictví.

Jak PurpleDelta souvisí s vlnou pracovních podvodů

PurpleDelta útočí na firmy prostřednictvím náborového procesu, zatímco známější pracovní podvody cílí na lidi hledající zaměstnání. Taktiky se liší, oba typy podvodů však těží z práce na dálku, důvěry v online prostředí a nedostatečného ověřování identity.

V jednom z nedávných případů varovala organizace BBB North Alabama před údajnými pozicemi vzdáleného zadávání dat nabízenými pod jménem „Parkway Greenhouse LLC“. Uchazeči uváděli, že dostali rychlou nabídku práce a následně byli požádáni o údaje k bankovnímu účtu.

Dopad pracovních podvodů na spotřebitele výrazně roste. Podle dat americké Federální obchodní komise (FTC) vzrostly nahlášené ztráty z podvodů s pracovními nabídkami a falešnými pracovními agenturami z 90 milionů dolarů v roce 2020 na 501 milionů dolarů v roce 2024. Počet oznámení se za stejné období téměř ztrojnásobil. Better Business Bureau samostatně uvedla, že počet hlášení pracovních podvodů v roce 2025 více než dvojnásobně překonal předchozí rok.

Společné poučení pro uchazeče i zaměstnavatele zní: přesvědčivý digitální profil není důkazem, že za ním stojí skutečný člověk, skutečný zaměstnavatel nebo legitimní místo výkonu práce.

Co by měli zaměstnavatelé ověřovat

Recorded Future doporučuje ověřovat člověka, který účet používá, nikoli pouze dokumenty, životopis nebo online profil. Robustnější proces by měl kombinovat několik signálů:

• Identita: Zavést důkladnější ověření, včetně živých kontrol přítomnosti člověka prostřednictvím videa a porovnání s autoritativními doklady totožnosti.
• Místo výkonu práce: Prověřit, zda údaje o síti a IP adrese, geolokace, časové pásmo, mzdové a daňové údaje i pracovní oprávnění odpovídají místu, které zaměstnanec uvádí.
• Zařízení: Vyhledávat opakované používání stejných zařízení u údajně nesouvisejících náborů, neobvyklé otisky zařízení, software pro vzdálené ovládání, VPN či proxy servery a nestandardní vzorce přihlašování.
• Průběžné ověřování: Kontroly identity, zařízení a lokality opakovat i po nástupu, zejména při změně účtů, vybavení, bankovních údajů nebo deklarované identity.
• Princip nejmenších oprávnění: Nově přijatému nebo vzdáleně připojenému pracovníkovi omezit přístup k systémům, dokud se nepotvrdí jeho identita a chování.

Jednotlivé kontroly by měly fungovat společně, nikoli jako jediný test typu „vyhověl/nevyhověl“. Známé zařízení, věrohodný dokument nebo úspěšný videohovor mohou být zavádějící, pokud jeden operátor koordinuje více identit.

Hlavní poučení pro nábor na dálku

PurpleDelta ukazuje, proč by ověřování identity nemělo končit ve chvíli, kdy uchazeč přijme pracovní nabídku. Nejdůležitější otázkou není jen to, zda životopis vypadá autenticky, ale zda stejný ověřený člověk používá po celý pracovní cyklus stejné autorizované zařízení a pracuje z ověřené lokality.

Falešná persona je snadno nahraditelná. Smazání jednoho účtu nebo jména proto nemusí operátorovi zabránit, aby se vrátil s novou identitou. Průběžné kontroly identity, lokality, zařízení a chování při přístupu dávají zaměstnavatelům větší šanci odhalit skutečného operátora, nikoli jen odstranit jeho poslední profil.