Hvad fandt Recorded Future?

Recorded Futures Insikt Group identificerede flere aktivitetsgrupper, som forbindes med PurpleDelta – selskabets betegnelse for nordkoreansk IT-arbejde udført med falske identiteter. Den undersøgte aktivitet foregik primært fra slutningen af 2024 til begyndelsen af 2025 og ramte blandt andet software- og teknologivirksomheder, bemandings- og konsulentfirmaer samt organisationer inden for sundhed og bioteknologi.

Forskerne identificerede mindst 22 opdigtede profiler. Én af grupperne søgte hos over 1.100 virksomheder via mindst otte rekrutteringsplatforme og indsendte op til 60 ansøgninger om dagen. Recorded Future vurderer, at operatørerne med stor sandsynlighed blev ansat i mindst 10 organisationer.

Omfanget peger på et systematiseret rekrutteringssetup snarere end enkelte falske CV'er. Identiteterne kunne oprettes, tilpasses og udskiftes, så operatørerne kunne fortsætte, selv efter at én profil blev afsløret.

Sådan blev AI brugt til at opbygge profilerne

Profilerne bestod ikke kun af et falsk CV. Ifølge rapporteringen om Recorded Futures resultater kombinerede operatørerne opdigtede identiteter med AI-genererede profilbilleder, specialkonfigurerede ChatGPT-assistenter og identitetsdokumenter, der var skaffet gennem ulovlige kanaler.

AI gjorde det lettere at målrette jobansøgninger og holde historien sammen gennem de forskellige trin i rekrutteringen. Under videosamtaler brugte nogle operatører angiveligt live-transskribering og AI-genererede svar, mens oversættelsesværktøjer hjalp med at forklare problemer med kommunikation eller sprog.

Undersøgelsen beskrev også operatører, der håndterede flere identiteter på samme tid. Optagelser af møder og værktøjer til skærmoptagelse skaber yderligere bekymring, fordi de kan afsløre oplysninger, der bliver vist eller diskuteret i virksomhedens systemer. Det er ikke dokumenteret, at alle profiler brugte alle metoderne, men kombinationen viser, hvordan AI kan mindske den tid og indsats, der kræves for at drive flere falske identiteter.

Hvorfor en falsk ansættelse er et sikkerhedsproblem

En falsk medarbejder kan være farligere end en falsk ansøger, fordi selve ansættelsen skaber tillid. Når operatøren først er lukket ind, kan vedkommende få adgang til kildekode, interne værktøjer, kunde- eller finansoplysninger, strategiske drøftelser og virksomhedens legitimationsoplysninger.

Den konkrete risiko afhænger af stillingen og virksomhedens adgangskontroller. Fjernarbejde kan dog gøre det vanskeligere at kontrollere, hvem der faktisk bruger kontoen og enheden.

Der er også en geopolitisk dimension. PurpleDelta forbindes med nordkoreansk indtjening og efterretningsindsamling, og rapportering om det bredere nordkoreanske IT-arbejderprogram har knyttet indtægter fra ulovlige ansættelser til sanktionerede statsprogrammer og finansiering af masseødelæggelsesvåben.

Recorded Futures bredere forskning beskriver syntetiske identiteter som en dobbelt trussel mod virksomheder: De kan bruges til økonomisk svindel, men også til sanktionsomgåelse, ulovlig indtjening og tyveri af intellektuel ejendom.

En anden side af den voksende jobsvindel

PurpleDelta går efter virksomheder gennem ansættelsesprocessen, mens mere velkendte jobsvindler går efter mennesker, der leder efter arbejde. Metoderne er forskellige, men begge udnytter fjernrekruttering, digital tillid og utilstrækkelig kontrol af identitet.

I et nyere eksempel advarede BBB North Alabama om angivelige dataindtastningsjob, der blev slået op under navnet "Parkway Greenhouse LLC". Ansøgere fortalte, at de hurtigt modtog jobtilbud og derefter blev bedt om oplysninger om deres bankkonto.

Konsekvenserne for forbrugerne er samtidig vokset markant. Data fra den amerikanske Federal Trade Commission (FTC) viser, at rapporterede tab fra jobsvindel og falske arbejdsformidlere steg fra 90 millioner dollar i 2020 til 501 millioner dollar i 2024, mens antallet af rapporter næsten blev tredoblet. Better Business Bureau (BBB) oplyser separat, at klager over jobsvindel blev mere end fordoblet i 2025 sammenlignet med året før.

Den fælles læring for både virksomheder og jobsøgende er, at en overbevisende digital profil ikke beviser, at personen, arbejdsgiveren eller den oplyste placering er ægte.

Hvad bør virksomheder kontrollere?

Recorded Futures vigtigste anbefaling er at kontrollere personen bag kontoen – ikke kun dokumenterne, CV'et eller den online profil. En mere robust proces bør kombinere flere signaler:

• Identitet: Brug stærkere identitetskontrol, herunder live- eller videobaserede liveness-tjek og sammenligning med autoritative identitetsregistre.
• Placering: Undersøg, om netværks- og IP-data, geolokation, tidszone, løn- og skatteoplysninger samt arbejdstilladelse stemmer overens med den placering, medarbejderen oplyser.
• Enheder: Se efter genbrug af de samme enheder på tværs af tilsyneladende uafhængige ansættelser, usædvanlige enhedsfingeraftryk, fjernstyringssoftware, VPN- eller proxybrug og unormale loginmønstre.
• Løbende kontrol: Gentag kontroller af identitet, enhed og placering efter ansættelsen – især hvis medarbejderen skifter konto, udstyr, bankoplysninger eller identitet.
• Begrænsede rettigheder: Begræns, hvad en nyansat eller fjernforbundet medarbejder kan tilgå, indtil identitet og adfærd er blevet bekræftet.

Kontrollerne bør ses som et samlet billede og ikke som én enkelt test, der afgør, om en person er godkendt eller afvist. En velkendt enhed, et troværdigt dokument eller en vellykket videosamtale kan hver for sig være vildledende, hvis en operatør koordinerer flere profiler.

Den vigtigste lære for fjernrekruttering

PurpleDelta viser, hvorfor identitetskontrollen ikke bør slutte, når en ansøger har sagt ja til jobbet. Det afgørende spørgsmål er ikke blot, om et CV ser ægte ud, men om den samme verificerede person, fra den samme verificerede placering og med det samme godkendte udstyr bruger kontoen gennem hele ansættelsesforløbet.

En falsk profil kan kasseres og erstattes. Hvis virksomheden blot fjerner ét navn eller én konto, kan den samme operatør vende tilbage med en ny identitet. Løbende kontrol af identitet, placering, enheder og adgangsadfærd giver derfor bedre mulighed for at opdage operatøren – ikke kun den seneste falske profil.

Hvad fandt Recorded Future?

Recorded Futures Insikt Group identificerede flere aktivitetsgrupper, som forbindes med PurpleDelta – selskabets betegnelse for nordkoreansk IT-arbejde udført med falske identiteter. Den undersøgte aktivitet foregik primært fra slutningen af 2024 til begyndelsen af 2025 og ramte blandt andet software- og teknologivirksomheder, bemandings- og konsulentfirmaer samt organisationer inden for sundhed og bioteknologi.

Forskerne identificerede mindst 22 opdigtede profiler. Én af grupperne søgte hos over 1.100 virksomheder via mindst otte rekrutteringsplatforme og indsendte op til 60 ansøgninger om dagen. Recorded Future vurderer, at operatørerne med stor sandsynlighed blev ansat i mindst 10 organisationer.

Omfanget peger på et systematiseret rekrutteringssetup snarere end enkelte falske CV'er. Identiteterne kunne oprettes, tilpasses og udskiftes, så operatørerne kunne fortsætte, selv efter at én profil blev afsløret.

Sådan blev AI brugt til at opbygge profilerne

Profilerne bestod ikke kun af et falsk CV. Ifølge rapporteringen om Recorded Futures resultater kombinerede operatørerne opdigtede identiteter med AI-genererede profilbilleder, specialkonfigurerede ChatGPT-assistenter og identitetsdokumenter, der var skaffet gennem ulovlige kanaler.

AI gjorde det lettere at målrette jobansøgninger og holde historien sammen gennem de forskellige trin i rekrutteringen. Under videosamtaler brugte nogle operatører angiveligt live-transskribering og AI-genererede svar, mens oversættelsesværktøjer hjalp med at forklare problemer med kommunikation eller sprog.

Undersøgelsen beskrev også operatører, der håndterede flere identiteter på samme tid. Optagelser af møder og værktøjer til skærmoptagelse skaber yderligere bekymring, fordi de kan afsløre oplysninger, der bliver vist eller diskuteret i virksomhedens systemer. Det er ikke dokumenteret, at alle profiler brugte alle metoderne, men kombinationen viser, hvordan AI kan mindske den tid og indsats, der kræves for at drive flere falske identiteter.

Hvorfor en falsk ansættelse er et sikkerhedsproblem

En falsk medarbejder kan være farligere end en falsk ansøger, fordi selve ansættelsen skaber tillid. Når operatøren først er lukket ind, kan vedkommende få adgang til kildekode, interne værktøjer, kunde- eller finansoplysninger, strategiske drøftelser og virksomhedens legitimationsoplysninger.

Den konkrete risiko afhænger af stillingen og virksomhedens adgangskontroller. Fjernarbejde kan dog gøre det vanskeligere at kontrollere, hvem der faktisk bruger kontoen og enheden.

Der er også en geopolitisk dimension. PurpleDelta forbindes med nordkoreansk indtjening og efterretningsindsamling, og rapportering om det bredere nordkoreanske IT-arbejderprogram har knyttet indtægter fra ulovlige ansættelser til sanktionerede statsprogrammer og finansiering af masseødelæggelsesvåben.

Recorded Futures bredere forskning beskriver syntetiske identiteter som en dobbelt trussel mod virksomheder: De kan bruges til økonomisk svindel, men også til sanktionsomgåelse, ulovlig indtjening og tyveri af intellektuel ejendom.

En anden side af den voksende jobsvindel

PurpleDelta går efter virksomheder gennem ansættelsesprocessen, mens mere velkendte jobsvindler går efter mennesker, der leder efter arbejde. Metoderne er forskellige, men begge udnytter fjernrekruttering, digital tillid og utilstrækkelig kontrol af identitet.

I et nyere eksempel advarede BBB North Alabama om angivelige dataindtastningsjob, der blev slået op under navnet "Parkway Greenhouse LLC". Ansøgere fortalte, at de hurtigt modtog jobtilbud og derefter blev bedt om oplysninger om deres bankkonto.

Konsekvenserne for forbrugerne er samtidig vokset markant. Data fra den amerikanske Federal Trade Commission (FTC) viser, at rapporterede tab fra jobsvindel og falske arbejdsformidlere steg fra 90 millioner dollar i 2020 til 501 millioner dollar i 2024, mens antallet af rapporter næsten blev tredoblet. Better Business Bureau (BBB) oplyser separat, at klager over jobsvindel blev mere end fordoblet i 2025 sammenlignet med året før.

Den fælles læring for både virksomheder og jobsøgende er, at en overbevisende digital profil ikke beviser, at personen, arbejdsgiveren eller den oplyste placering er ægte.

Hvad bør virksomheder kontrollere?

Recorded Futures vigtigste anbefaling er at kontrollere personen bag kontoen – ikke kun dokumenterne, CV'et eller den online profil. En mere robust proces bør kombinere flere signaler:

• Identitet: Brug stærkere identitetskontrol, herunder live- eller videobaserede liveness-tjek og sammenligning med autoritative identitetsregistre.
• Placering: Undersøg, om netværks- og IP-data, geolokation, tidszone, løn- og skatteoplysninger samt arbejdstilladelse stemmer overens med den placering, medarbejderen oplyser.
• Enheder: Se efter genbrug af de samme enheder på tværs af tilsyneladende uafhængige ansættelser, usædvanlige enhedsfingeraftryk, fjernstyringssoftware, VPN- eller proxybrug og unormale loginmønstre.
• Løbende kontrol: Gentag kontroller af identitet, enhed og placering efter ansættelsen – især hvis medarbejderen skifter konto, udstyr, bankoplysninger eller identitet.
• Begrænsede rettigheder: Begræns, hvad en nyansat eller fjernforbundet medarbejder kan tilgå, indtil identitet og adfærd er blevet bekræftet.

Kontrollerne bør ses som et samlet billede og ikke som én enkelt test, der afgør, om en person er godkendt eller afvist. En velkendt enhed, et troværdigt dokument eller en vellykket videosamtale kan hver for sig være vildledende, hvis en operatør koordinerer flere profiler.

Den vigtigste lære for fjernrekruttering

PurpleDelta viser, hvorfor identitetskontrollen ikke bør slutte, når en ansøger har sagt ja til jobbet. Det afgørende spørgsmål er ikke blot, om et CV ser ægte ud, men om den samme verificerede person, fra den samme verificerede placering og med det samme godkendte udstyr bruger kontoen gennem hele ansættelsesforløbet.

En falsk profil kan kasseres og erstattes. Hvis virksomheden blot fjerner ét navn eller én konto, kan den samme operatør vende tilbage med en ny identitet. Løbende kontrol af identitet, placering, enheder og adgangsadfærd giver derfor bedre mulighed for at opdage operatøren – ikke kun den seneste falske profil.