PurpleDelta, le identità create dall’IA usate per ottenere veri lavori da remoto

Le truffe legate alle assunzioni da remoto non consistono più soltanto in annunci falsi creati per sottrarre denaro o coordinate bancarie a chi cerca lavoro. L’analisi di Recorded Future sull’operazione PurpleDelta descrive un’attività collegata alla Corea del Nord che avrebbe usato identità costruite ad arte e strumenti di intelligenza artificiale per ottenere impieghi reali all’interno di aziende straniere.

Un gruppo ha presentato candidature a oltre 1.100 aziende. Nel complesso, i ricercatori hanno individuato almeno 22 identità fittizie e valutano come altamente probabile che gli operatori siano stati assunti da almeno 10 organizzazioni.

La differenza rispetto alla classica truffa ai danni dei candidati è decisiva: in questo caso il bersaglio immediato è l’azienda. Se l’operazione riesce, il falso dipendente può ricevere credenziali legittime, accedere ai sistemi interni e occupare una posizione considerata affidabile.

Che cosa ha scoperto Recorded Future

Il gruppo di ricerca Insikt Group di Recorded Future ha identificato diversi filoni di attività associati a PurpleDelta, la denominazione usata dall’azienda per indicare attività di lavoratori informatici nordcoreani basate su identità fraudolente. L’operazione analizzata si è svolta soprattutto tra la fine del 2024 e l’inizio del 2025.

I bersagli comprendevano aziende software e tecnologiche, società di selezione e consulenza, oltre a organizzazioni nei settori sanitario e biotecnologico. Un cluster ha inviato fino a 60 candidature al giorno attraverso almeno otto piattaforme di recruiting.

I numeri fanno pensare a un sistema di assunzione ripetibile e organizzato, non a episodi isolati di falsificazione dei curriculum. Un’identità poteva essere creata, modificata o sostituita quando necessario, permettendo agli operatori di continuare a cercare accesso anche dopo la scoperta di un profilo.

In che modo l’IA ha sostenuto le identità false

I profili non si basavano soltanto su un curriculum inventato. Secondo le informazioni associate all’indagine di Recorded Future, gli operatori combinavano identità fittizie con fotografie generate dall’IA, assistenti ChatGPT configurati su misura e documenti d’identità ottenuti attraverso canali illeciti.

Gli strumenti di IA permettevano di adattare le candidature alle diverse posizioni e di mantenere una certa coerenza nelle varie fasi della selezione. Durante alcuni colloqui video, gli operatori avrebbero utilizzato trascrizioni in tempo reale e risposte generate dall’IA; gli strumenti di traduzione servivano invece a giustificare eventuali difficoltà di comunicazione o linguistiche.

L’indagine descrive inoltre operatori capaci di gestire più identità contemporaneamente. La registrazione delle riunioni e gli strumenti di cattura dello schermo aggiungevano un ulteriore rischio: potevano esporre informazioni discusse o visualizzate nei sistemi dell’azienda. Le prove disponibili non dimostrano che ogni identità abbia impiegato tutte queste tecniche, ma il loro insieme mostra quanto l’IA possa ridurre tempo e costi necessari per coordinare profili multipli.

Perché un’assunzione fraudolenta è un problema di sicurezza

Un falso dipendente può essere più pericoloso di un falso candidato perché il processo di assunzione crea fiducia. Una volta ottenuto l’incarico, l’operatore può entrare in contatto con codice sorgente, strumenti interni, dati dei clienti o finanziari, discussioni strategiche e credenziali aziendali.

L’esposizione concreta dipende dal ruolo e dai controlli di accesso dell’organizzazione. Tuttavia, il lavoro da remoto può rendere più difficile verificare chi stia utilizzando realmente un account o un dispositivo.

Anche l’incentivo economico ha una dimensione geopolitica. PurpleDelta è associata alla generazione di entrate e alla raccolta di informazioni per la Corea del Nord; le indagini sul più ampio schema dei lavoratori informatici nordcoreani hanno collegato i proventi di impieghi illeciti a programmi statali sottoposti a sanzioni e al finanziamento di programmi di armi di distruzione di massa.

La ricerca più ampia di Recorded Future descrive le identità sintetiche come una minaccia duplice per le imprese: possono facilitare frodi finanziarie, elusione delle sanzioni, generazione di entrate illecite e sottrazione di proprietà intellettuale.

Il legame con l’aumento delle truffe sul lavoro

PurpleDelta colpisce le aziende attraverso il processo di selezione, mentre le truffe più note prendono di mira le persone in cerca di occupazione. Le tattiche cambiano, ma entrambi i fenomeni sfruttano il lavoro a distanza, la fiducia costruita online e procedure di verifica dell’identità non abbastanza solide.

In un caso recente, il Better Business Bureau del Nord Alabama ha messo in guardia da presunte offerte di lavoro da remoto per inserimento dati pubblicizzate con il nome di “Parkway Greenhouse LLC”. Alcuni candidati hanno riferito di aver ricevuto offerte rapide, seguite dalla richiesta di fornire le coordinate del conto bancario.

Anche l’impatto sulle vittime è cresciuto rapidamente. I dati della Federal Trade Commission mostrano che le perdite segnalate per le truffe legate al lavoro e alle false agenzie di collocamento sono passate da 90 milioni di dollari nel 2020 a 501 milioni nel 2024, mentre le segnalazioni sono quasi triplicate. Separatamente, il Better Business Bureau ha riferito che nel 2025 le denunce per truffe occupazionali sono più che raddoppiate rispetto all’anno precedente.

La lezione comune per candidati e aziende è semplice: un profilo digitale convincente non dimostra che dietro ci siano una persona reale, un datore di lavoro autentico o una sede legittima.

Che cosa dovrebbero verificare le aziende

La raccomandazione centrale di Recorded Future è verificare la persona che utilizza l’account, non soltanto i documenti, il curriculum o il profilo online. Un processo più solido dovrebbe combinare diversi segnali:

• Identità: adottare procedure di verifica più robuste, inclusi controlli di presenza reale tramite video o sessioni dal vivo e confronti con registri o fonti autorevoli.
• Posizione: controllare che dati di rete e indirizzo IP, geolocalizzazione, fuso orario, informazioni fiscali e relative alla busta paga e autorizzazione al lavoro siano coerenti con il luogo dichiarato.
• Dispositivi: cercare dispositivi ricorrenti associati a presunte assunzioni indipendenti, impronte digitali hardware insolite, software di controllo remoto, uso anomalo di VPN o proxy e schemi di accesso sospetti.
• Verifiche continue: ripetere i controlli su identità, dispositivo e posizione anche dopo l’assunzione, soprattutto quando cambiano account, apparecchiature, coordinate bancarie o identità dichiarata.
• Accesso minimo necessario: limitare ciò che un nuovo dipendente o un lavoratore collegato da remoto può raggiungere finché identità e comportamento non siano stati verificati.

Questi controlli dovrebbero essere combinati, non trasformati in un unico test decisivo. Un dispositivo familiare, un documento plausibile o un colloquio video riuscito possono essere fuorvianti quando un operatore coordina più identità.

La lezione per il lavoro da remoto

PurpleDelta dimostra perché la verifica dell’identità non dovrebbe terminare quando un candidato accetta un’offerta. La domanda più importante non è soltanto se un curriculum sembri autentico, ma se durante tutto il rapporto di lavoro lo stesso individuo verificato operi dalla stessa posizione verificata e utilizzi apparecchiature autorizzate.

Un’identità fittizia è facilmente sostituibile. Eliminare un account o un nome potrebbe non impedire allo stesso operatore di tornare con un profilo diverso. Controlli continuativi su identità, posizione, dispositivi e comportamento di accesso offrono alle aziende maggiori possibilità di individuare l’operatore, invece di limitarsi a cancellare l’ultimo profilo comparso.