PurpleDelta käytti tekoälyllä rakennettuja valehenkilöllisyyksiä etätyöpaikkojen tavoitteluun

Mittakaava viittaa järjestelmälliseen ja toistettavaan rekrytointimalliin, ei yksittäisiin väärennettyihin ansioluetteloihin. Kun yksi persoona paljastuu, sen voi korvata uudella ja pääsyä yrityksiin yrittää uudelleen.

Miten tekoäly auttoi valehenkilöllisyyksien rakentamisessa?

Persoonat eivät perustuneet vain yhteen väärennettyyn ansioluetteloon. Recorded Futuren havaintojen mukaan toimijat yhdistivät tekaistuja henkilötietoja, tekoälyn luomia profiilikuvia, tarkoitukseen muokattuja ChatGPT-avustajia ja laittomista lähteistä hankittuja henkilöllisyysasiakirjoja.

Tekoälyä voitiin käyttää hakemusten räätälöintiin ja siihen, että sama persoona vaikutti johdonmukaiselta rekrytoinnin eri vaiheissa. Videohaastatteluissa jotkut toimijat hyödynsivät tiettävästi reaaliaikaista puheentunnistusta ja tekoälyn tuottamia vastauksia. Käännöstyökalujen avulla puolestaan voitiin selitellä viestintä- tai kieliongelmia.

Tutkinta kuvasi myös tilanteita, joissa sama operaattori hallinnoi useita identiteettejä samanaikaisesti. Kokousten tallentaminen ja näytönkaappaustyökalut lisäävät riskiä, koska niiden avulla voidaan saada talteen työnantajan järjestelmissä näkyviä tai kokouksissa käsiteltäviä tietoja.

Saatavilla oleva näyttö ei osoita, että jokainen persoona olisi käyttänyt kaikkia näitä menetelmiä. Yhdessä ne kuitenkin osoittavat, kuinka tekoäly voi vähentää useiden identiteettien ylläpitämiseen tarvittavaa aikaa ja vaivaa.

Miksi vilpillinen työsuhde on kyberturvallisuusriski?

Valehenkilökuntaan liittyvä riski voi olla suurempi kuin valehakijaan liittyvä, koska palkkaaminen itsessään antaa luottamusta ja käyttöoikeuksia. Työntekijä voi tehtävästä ja yrityksen pääsynhallinnasta riippuen päästä käsiksi esimerkiksi lähdekoodiin, sisäisiin työkaluihin, asiakkaiden tai yrityksen taloustietoihin, strategiapuheisiin ja käyttäjätunnuksiin.

Etätyössä voi lisäksi olla vaikeampaa varmistaa, kuka tiliä ja laitetta tosiasiassa käyttää.

Taloudellisella hyödyllä on myös geopoliittinen ulottuvuus. PurpleDelta on yhdistetty Pohjois-Korean tulonhankintaan ja tiedustelutoimintaan. Laajempaa pohjoiskorealaista IT-työntekijäverkostoa koskevissa raporteissa laittomista työsuhteista saatuja tuloja on yhdistetty pakotteiden alaisiin valtion ohjelmiin ja joukkotuhoaseiden rahoittamiseen.

Recorded Futuren laajemman tutkimuksen mukaan synteettiset identiteetit muodostavat yrityksille kaksijakoisen uhan: niitä voidaan käyttää talouspetoksiin, mutta myös pakotteiden kiertämiseen, laittomaan tulonhankintaan ja teollisoikeuksien varastamiseen.

Miten PurpleDelta liittyy kasvaviin työpaikkahuijauksiin?

PurpleDelta kohdistuu yrityksiin rekrytointiprosessin kautta, kun taas tutummissa työpaikkahuijauksissa uhri on työnhakija. Menetelmät ovat erilaisia, mutta molemmat hyödyntävät etärekrytointia, verkossa syntyvää luottamusta ja puutteellista henkilöllisyyden varmistamista.

Yhdysvalloissa BBB North Alabama varoitti hiljattain etätyönä tarjotuista tietojensyöttötehtävistä, joita markkinoitiin “Parkway Greenhouse LLC” -nimellä. Hakijat kertoivat saaneensa nopean työtarjouksen ja joutuneensa sen jälkeen luovuttamaan pankkitietojaan.

Myös työpaikkahuijausten kuluttajavaikutus on kasvanut nopeasti. Yhdysvaltain kuluttajansuojaviranomaisen FTC:n mukaan työpaikka- ja tekaistujen työnvälitystoimistojen huijauksista ilmoitetut tappiot kasvoivat 90 miljoonasta dollarista vuonna 2020 yhteensä 501 miljoonaan dollariin vuonna 2024. Ilmoitusten määrä lähes kolminkertaistui samana aikana.

Better Business Bureau puolestaan kertoi, että työllisyyshuijauksia koskevat ilmoitukset yli kaksinkertaistuivat vuonna 2025 edellisvuoteen verrattuna.

Yhteinen opetus sekä työnhakijoille että työnantajille on selvä: uskottava digitaalinen profiili ei vielä todista, että kyseessä on oikea henkilö, todellinen työnantaja tai ilmoitettu sijainti.

Mitä työnantajien pitäisi tarkistaa?

Recorded Futuren keskeinen suositus on varmistaa tilin takana oleva henkilö – ei ainoastaan asiakirjoja, ansioluetteloa tai verkkoprofiilia. Vahvempi prosessi yhdistää useita eri signaaleja:

• Henkilöllisyys: Käytä vahvempaa henkilöllisyyden todentamista, kuten reaaliaikaista video- tai läsnäolotarkistusta ja vertailua luotettaviin viranomais- tai muihin auktoritatiivisiin rekistereihin.
• Sijainti: Tarkista, vastaavatko verkko- ja IP-tiedot, geolokaatio, aikavyöhyke, palkanmaksu- ja verotiedot sekä työskentelylupa työntekijän ilmoittamaa sijaintia.
• Laitteet: Etsi samoja laitteita näennäisesti toisistaan riippumattomien työntekijöiden takaa, epätavallisia laitetunnisteita, etähallintaohjelmistoja, VPN- tai välityspalvelinten käyttöä sekä poikkeavia kirjautumismalleja.
• Jatkuva varmistaminen: Toista henkilöllisyys-, laite- ja sijaintitarkistukset työsuhteen aikana, erityisesti kun työntekijä vaihtaa tiliä, laitetta, pankkitietoja tai ilmoitettua henkilöllisyyttä.
• Vähimpien oikeuksien periaate: Rajoita uuden tai etäyhteydellä työskentelevän työntekijän pääsyä järjestelmiin, kunnes henkilöllisyys ja käyttäytyminen on voitu varmistaa.

Tarkistusten ei pitäisi olla yksi yksittäinen hyväksytty–hylätty-testi. Tuttu laite, uskottava asiakirja tai onnistunut videopuhelu voi olla harhaanjohtava, jos sama operaattori koordinoi useita persoonia.

Etärekrytoinnin tärkein oppi

PurpleDelta osoittaa, ettei henkilöllisyyden varmistaminen voi päättyä työtarjouksen hyväksymiseen. Olennaista ei ole vain se, näyttääkö ansioluettelo aidolta, vaan se, käyttääkö sama varmennettu henkilö samaa valtuutettua laitetta varmennetusta sijainnista koko työsuhteen ajan.

Tekaistu persoona on vaihdettavissa. Yhden käyttäjätilin tai nimen poistaminen ei välttämättä estä samaa operaattoria palaamasta uuden synteettisen identiteetin turvin. Henkilöllisyyden, sijainnin, laitteiden ja käyttöoikeuksien jatkuva seuranta antaa työnantajalle paremmat mahdollisuudet tunnistaa itse toimija – eikä vain poistaa hänen viimeisintä profiiliaan.