העובד שלא היה: כיצד PurpleDelta השתמשה ב-AI כדי לחדור למשרות מרחוק

הונאות בגיוס עובדים כבר אינן מסתכמות במודעות דרושים פיקטיביות שמטרתן לגרום למועמדים למסור כסף או פרטי חשבון בנק. ניתוח של Recorded Future מתאר מבצע המקושר לצפון קוריאה, שבו מפעילים השתמשו בזהויות מומצאות ובכלי AI כדי לנסות להתקבל לעבודה אמיתית בתוך חברות זרות. אשכול פעילות אחד הגיש מועמדות ליותר מ-1,100 חברות, והפעילות הרחבה יותר כללה לפחות 22 זהויות מזויפות והובילה, בסבירות גבוהה, להשמות בלפחות 10 ארגונים.

ההבדל משמעותי: במודל הזה, המעסיק — ולא רק מחפש העבודה — הוא היעד המיידי. קבלה מוצלחת לעבודה עשויה להעניק למפעיל הרשאות לגיטימיות, גישה למערכות פנימיות ומעמד של עובד מהימן בתוך החברה.

מה מצאה Recorded Future

קבוצת המחקר Insikt Group של Recorded Future זיהתה כמה אשכולות פעילות הקשורים ל-PurpleDelta — הכינוי שבו החברה משתמשת לתיאור פעילות של עובדי IT מצפון קוריאה המשתמשים בזהויות מזויפות. הפעילות שנבדקה התרחשה בעיקר בין סוף 2024 לתחילת 2025. בין היעדים היו חברות תוכנה וטכנולוגיה, חברות השמה וייעוץ, וכן ארגונים בתחומי הבריאות והביוטכנולוגיה.

בסך הכול זיהו החוקרים לפחות 22 זהויות מומצאות. אשכול אחד הגיש מועמדות ליותר מ-1,100 חברות, באמצעות לפחות שמונה פלטפורמות גיוס, ושלח עד 60 מועמדויות ביום. החוקרים העריכו בסבירות גבוהה שהמפעילים הועסקו בלפחות 10 ארגונים.

היקף כזה מצביע על מערכת גיוס שניתנת לשכפול — ולא על זיוף קורות חיים נקודתי. ניתן ליצור את הזהויות, להתאים אותן ולהחליף אותן לפי הצורך, כך שהמפעילים יוכלו להמשיך ולחפש גישה גם לאחר שזהות אחת נחשפת.

כיצד ה-AI חיזק את הזהויות המזויפות

הזהויות לא התבססו רק על קורות חיים שקריים. לפי הדיווחים סביב ממצאי Recorded Future, המפעילים שילבו זהויות מומצאות עם תמונות פרופיל שנוצרו ב-AI, עוזרי ChatGPT שהוגדרו במיוחד ומסמכי זהות שהושגו בערוצים לא חוקיים.

ה-AI סייע להתאים את המועמדויות ולשמור על עקביות בשלבים השונים של תהליך הגיוס. במהלך ראיונות וידאו, חלק מהמפעילים השתמשו לפי הדיווחים בתמלול בזמן אמת ובתשובות שנוצרו באמצעות AI. כלי תרגום סייעו להם להסביר קשיי תקשורת או בעיות שפה.

החקירה תיארה גם מפעילים שניהלו כמה זהויות במקביל. הקלטות של פגישות וכלים לצילום מסך הוסיפו שכבת סיכון, משום שהם עלולים לחשוף מידע שנאמר או הוצג בתוך מערכות המעסיק. הראיות הזמינות אינן מוכיחות שכל זהות השתמשה בכל אחת מהטכניקות, אך השילוב ביניהן ממחיש כיצד AI יכול לצמצם את הזמן והמאמץ הנדרשים לניהול כמה זהויות במקביל.

מדוע עובד שהתקבל במרמה הוא בעיית אבטחה

עובד מזויף עלול להיות מסוכן יותר ממועמד מזויף, משום שתהליך הקבלה לעבודה מעניק לו אמון מלכתחילה. לאחר הכניסה לארגון, המפעיל עשוי לקבל גישה לקוד מקור, לכלים פנימיים, למידע על לקוחות או על פעילות פיננסית, לדיוני אסטרטגיה ולפרטי התחברות. היקף החשיפה תלוי בתפקיד ובבקרות הגישה בארגון, אך עבודה מרחוק עלולה להקשות על האימות של האדם שמפעיל את החשבון והמכשיר.

גם לתמריץ הכספי יש ממד גיאופוליטי. PurpleDelta מקושרת ליצירת הכנסות ולאיסוף מודיעין עבור צפון קוריאה, ודיווחים על מערך עובדי ה-IT הצפון־קוריאני הרחב יותר קישרו את ההכנסות מהעסקה בלתי חוקית לתוכניות מדינה הנתונות לסנקציות ולמימון תוכניות נשק להשמדה המונית.

מחקר רחב יותר של Recorded Future מתאר זהויות סינתטיות כאיום כפול על ארגונים: הן יכולות לשמש להונאה פיננסית, ובמקביל לאפשר עקיפת סנקציות, יצירת הכנסות בלתי חוקיות וגניבת קניין רוחני.

כיצד PurpleDelta קשורה לגל הונאות התעסוקה

PurpleDelta תוקפת חברות דרך תהליך הגיוס, בעוד שהונאות תעסוקה מוכרות יותר מכוונות לאנשים שמחפשים עבודה. הטקטיקות שונות, אך שתיהן מנצלות גיוס מרחוק, אמון שנבנה ברשת ואימות זהות חלש.

בדוגמה עדכנית אחת, BBB North Alabama הזהיר מפני משרות הזנת נתונים מרחוק שהוצעו לכאורה בשם החברה "Parkway Greenhouse LLC". מועמדים דיווחו שקיבלו הצעות עבודה במהירות, ולאחר מכן התבקשו למסור פרטי חשבון בנק.

גם הפגיעה בצרכנים מהונאות תעסוקה גדלה בחדות. נתוני ה-FTC מראים שההפסדים המדווחים מהונאות עבודה ומסוכנויות השמה פיקטיביות עלו מ-90 מיליון דולר ב-2020 ל-501 מיליון דולר ב-2024, בעוד שמספר הדיווחים כמעט שולש באותה תקופה. במקביל, Better Business Bureau דיווח כי מספר התלונות על הונאות תעסוקה יותר מהוכפל ב-2025 לעומת השנה הקודמת.

המסקנה המשותפת לשני צדי שוק העבודה היא שפרופיל דיגיטלי משכנע אינו הוכחה לכך שמדובר באדם אמיתי, במעסיק אמיתי או במיקום לגיטימי.

מה מעסיקים צריכים לבדוק

ההמלצה המרכזית של Recorded Future היא לאמת את האדם שמאחורי החשבון — ולא להסתפק בבדיקת המסמכים, קורות החיים או הפרופיל המקוון. תהליך חזק יותר צריך לשלב כמה סוגי אותות:

• זהות: להשתמש באימות מחמיר יותר, כולל בדיקות חיות או בדיקות וידאו שמוודאות נוכחות של אדם אמיתי, והשוואה לרשומות זהות מוסמכות.
• מיקום: לבדוק אם נתוני הרשת וכתובת ה-IP, נתוני מיקום, אזור הזמן, פרטי השכר והמס והרשאת העבודה תואמים למיקום שעליו הצהיר העובד.
• מכשירים: לחפש שימוש חוזר באותם מכשירים אצל עובדים שאמורים להיות בלתי קשורים זה לזה, טביעות מכשיר חריגות, תוכנות שליטה מרחוק, שימוש ב-VPN או בפרוקסי ודפוסי התחברות לא רגילים.
• אימות מתמשך: לחזור על בדיקות הזהות, המכשיר והמיקום גם לאחר הקבלה לעבודה — במיוחד כאשר עובד מחליף חשבון, ציוד, פרטי בנק או זהות נטענת.
• הרשאות מינימליות: להגביל את הגישה של עובד חדש או של עובד שמתחבר מרחוק עד שזהותו והתנהגותו נבדקו והתבססו.

הבדיקות האלה צריכות לפעול יחד, ולא לשמש מבחן יחיד של "עבר" או "נכשל". מכשיר מוכר, מסמך שנראה אמין או שיחת וידאו מוצלחת — כל אחד מהם עלול להטעות כאשר מפעיל אחד מתאם כמה זהויות.

השורה התחתונה בגיוס מרחוק

PurpleDelta ממחישה מדוע אימות הזהות אינו יכול להסתיים ברגע שמועמד מקבל את הצעת העבודה. השאלה החשובה אינה רק אם קורות החיים נראים אותנטיים, אלא אם אותו אדם מאומת, באותו מיקום מאומת ובאמצעות אותו ציוד מורשה, ממשיך להפעיל את החשבון לאורך כל תקופת ההעסקה.

זהות מומצאת היא מתכלה וניתנת להחלפה. מחיקת חשבון או חסימת שם אחד לא בהכרח יעצרו את המפעיל, שעשוי לחזור תחת זהות סינתטית חדשה. בדיקות רציפות של זהות, מיקום, מכשירים ודפוסי גישה מעניקות למעסיקים סיכוי טוב יותר לזהות את המפעיל עצמו — ולא רק למחוק את הפרופיל האחרון שלו.