Noord-Koreaanse PurpleDelta gebruikte AI-persona’s om banen op afstand te bemachtigen

Die schaal wijst op een herhaalbaar wervingssysteem, niet op losse cv-fraude. Identiteiten konden worden aangemaakt, aangepast en vervangen zodra er één werd ontdekt. Zo konden de operators met een nieuwe naam opnieuw proberen toegang te krijgen.

Hoe AI de valse identiteiten ondersteunde

De persona’s bestonden niet uit slechts één vals cv. Volgens de berichtgeving rond de bevindingen van Recorded Future combineerden de operators vervalste identiteiten met door AI gegenereerde profielfoto’s, speciaal geconfigureerde ChatGPT-assistenten en identiteitsdocumenten uit illegale kanalen.

AI hielp bij het aanpassen van sollicitaties en het consistent houden van een identiteit tijdens verschillende fases van het selectieproces. Tijdens videogesprekken gebruikten sommige operators naar verluidt live transcriptie en door AI gegenereerde antwoorden. Vertaaltools hielpen hen om problemen met communicatie of taal te verklaren.

De onderzoekers beschreven ook hoe operators meerdere identiteiten tegelijk beheerden. Opnames van vergaderingen en hulpmiddelen voor schermopnames voegen daar een extra risico aan toe: ze kunnen informatie vastleggen die binnen de systemen van een werkgever wordt besproken of getoond. Het beschikbare bewijs laat niet zien dat elke persona alle technieken gebruikte. Wel toont de combinatie hoe AI de tijd en moeite verlaagt die nodig zijn om meerdere identiteiten te onderhouden.

Waarom een frauduleuze indiensttreding een beveiligingsprobleem is

Een nepwerknemer kan gevaarlijker zijn dan een nep-sollicitant, omdat het aannemen zelf vertrouwen verleent. Een operator kan vervolgens toegang krijgen tot broncode, interne hulpmiddelen, klant- of financiële informatie, strategische gesprekken en bedrijfsaccounts. Hoe groot de blootstelling is, hangt af van de functie en de toegangsbeveiliging van de organisatie. Bij werken op afstand kan het bovendien lastiger zijn om vast te stellen wie het account en apparaat daadwerkelijk bedient.

Ook financieel heeft de operatie een geopolitieke dimensie. PurpleDelta wordt in verband gebracht met Noord-Koreaanse inkomstenwerving en inlichtingenvergaring. Berichtgeving over het bredere Noord-Koreaanse IT-werknemersprogramma koppelt inkomsten uit illegale arbeid aan gesanctioneerde staatsprogramma’s en de financiering van programma’s voor massavernietigingswapens.

In breder onderzoek omschrijft Recorded Future synthetische identiteiten als een dubbele bedreiging voor bedrijven. Ze kunnen financiële fraude op grote schaal ondersteunen, maar ook het omzeilen van sancties, illegale inkomstenwerving en diefstal van intellectueel eigendom mogelijk maken.

De link met de bredere golf van banfraude

PurpleDelta richt zich via het wervingsproces op bedrijven, terwijl bekendere vormen van arbeidsfraude vooral werkzoekenden viseren. De tactieken verschillen, maar beide maken gebruik van werken op afstand, online vertrouwen en gebrekkige identiteitscontroles.

Een recent voorbeeld komt uit Noord-Alabama. De lokale afdeling van het Better Business Bureau waarschuwde voor vermeende thuiswerkbanen voor data-invoer die werden aangeboden onder de naam “Parkway Greenhouse LLC”. Sollicitanten meldden dat ze snel een aanbod kregen en daarna om hun bankgegevens werd gevraagd.

Ook de financiële schade voor consumenten neemt sterk toe. Volgens gegevens van de Amerikaanse Federal Trade Commission (FTC) stegen de gemelde verliezen door fraude met banen en nep-uitzendbureaus van 90 miljoen dollar in 2020 naar 501 miljoen dollar in 2024. Het aantal meldingen nam in dezelfde periode bijna drievoudig toe. Het Better Business Bureau meldde afzonderlijk dat het aantal klachten over arbeidsfraude in 2025 meer dan verdubbelde ten opzichte van het jaar ervoor.

De gedeelde les voor werkgevers én werkzoekenden: een overtuigend digitaal profiel bewijst niet dat er een echte persoon, een echte werkgever of een legitieme locatie achter zit.

Wat werkgevers moeten controleren

Recorded Future adviseert om de persoon achter een account te verifiëren, en niet alleen documenten, cv’s of online profielen te controleren. Een sterker proces combineert meerdere signalen:

• Identiteit: gebruik grondigere identiteitscontroles, waaronder live- of videobeoordelingen van aanwezigheid en vergelijkingen met gezaghebbende identiteitsregistraties.
• Locatie: controleer of netwerk- en IP-gegevens, geolocatie, tijdzone, loon- en belastinggegevens en werkvergunning overeenkomen met de opgegeven locatie.
• Apparaten: let op apparaten die terugkeren bij ogenschijnlijk ongerelateerde medewerkers, ongebruikelijke apparaatkenmerken, software voor beheer op afstand, VPN- of proxygebruik en afwijkende inlogpatronen.
• Doorlopende controle: herhaal controles van identiteit, apparaat en locatie na indiensttreding, vooral wanneer iemand van account, apparatuur, bankgegevens of opgegeven identiteit verandert.
• Minimale toegangsrechten: beperk wat een nieuwe of op afstand verbonden medewerker kan bereiken totdat identiteit en gedrag voldoende zijn vastgesteld.

Deze controles moeten elkaar aanvullen en niet als één enkele alles-of-niets-test worden gebruikt. Een bekend apparaat, een plausibel document of een geslaagd videogesprek kan afzonderlijk misleidend zijn wanneer één operator meerdere persona’s coördineert.

De belangrijkste les voor werken op afstand

PurpleDelta laat zien waarom identiteitscontrole niet mag stoppen zodra een sollicitant een aanbod accepteert. De kernvraag is niet alleen of een cv authentiek lijkt, maar of gedurende de hele arbeidsrelatie steeds dezelfde geverifieerde persoon, op dezelfde geverifieerde locatie en met dezelfde geautoriseerde apparatuur werkt.

Een vervalste persona is vervangbaar. Eén account of naam verwijderen betekent niet dat de operator niet met een nieuwe identiteit terugkeert. Door identiteit, locatie, apparaten en toegangs- en login gedrag voortdurend met elkaar te vergelijken, vergroten werkgevers de kans dat ze de operator herkennen in plaats van alleen het nieuwste profiel te verwijderen.