Nordkoreansk operasjon brukte KI-profiler for å få fjernjobber

Omfanget tyder på et systematisert ansettelsesopplegg, ikke enkeltstående CV-juks. Identitetene kunne opprettes, tilpasses og byttes ut etter behov. Dermed kunne operatørene fortsette å søke tilgang selv etter at én persona ble avslørt.

Slik ble KI brukt til å bygge identitetene

Personaene besto ikke bare av én falsk CV. Ifølge omtalen av Recorded Futures funn kombinerte operatørene oppdiktede identiteter med KI-genererte profilbilder, spesialkonfigurerte ChatGPT-assistenter og identitetsdokumenter fra ulovlige kilder.

KI gjorde det enklere å tilpasse søknader og holde historien konsistent gjennom ulike deler av rekrutteringen. Under videointervjuer skal enkelte operatører ha brukt direktetranskribering og KI-genererte svar. Oversettelsesverktøy ble også brukt til å forklare utfordringer med kommunikasjon eller språk.

Undersøkelsen beskrev dessuten hvordan operatørene håndterte flere identiteter samtidig. Verktøy for opptak av møter og skjermbilder skaper en ekstra bekymring, fordi de kan fange opp informasjon som blir diskutert eller vist i arbeidsgiverens systemer.

Det finnes ikke belegg for at alle personaene brukte alle metodene. Kombinasjonen viser likevel hvordan KI kan redusere tiden og innsatsen som kreves for å drive flere falske identiteter parallelt.

Hvorfor en falsk ansettelse er et sikkerhetsproblem

En falsk ansatt kan være farligere enn en falsk søker, fordi selve ansettelsen skaper tillit. Når operatøren først er innenfor, kan vedkommende få tilgang til kildekode, interne verktøy, kunde- og finansinformasjon, strategidiskusjoner og virksomhetens brukerkontoer.

Den konkrete eksponeringen avhenger av stillingen og virksomhetens tilgangskontroller. Ved fjernarbeid kan det imidlertid være vanskeligere å kontrollere hvem som faktisk bruker kontoen og enheten.

Det økonomiske motivet har også en geopolitisk side. PurpleDelta knyttes til nordkoreansk inntektsgenerering og etterretningsinnhenting. Rapportering om det bredere nordkoreanske IT-arbeiderprogrammet har koblet inntekter fra ulovlig arbeid til sanksjonerte statlige programmer og finansiering av masseødeleggelsesvåpen.

Recorded Futures bredere forskning beskriver syntetiske identiteter som en dobbel trussel mot virksomheter. De kan brukes til omfattende økonomisk svindel, men også til sanksjonsomgåelse, ulovlig inntektsgenerering og tyveri av immaterielle verdier.

En annen side av den voksende jobbsvindelen

PurpleDelta angriper selskaper gjennom ansettelsesprosessen, mens den mer kjente typen jobbsvindel rammer mennesker som leter etter arbeid. Metodene er ulike, men begge utnytter fjernrekruttering, digital tillit og svak identitetskontroll.

I et ferskt eksempel advarte BBB North Alabama om påståtte fjernjobber innen dataregistrering som ble markedsført under navnet «Parkway Greenhouse LLC». Søkere fortalte at de fikk raske jobbtilbud, før de ble bedt om opplysninger om bankkontoen sin.

Forbrukere blir også utsatt for jobbsvindel i langt større omfang enn tidligere. Tall fra Federal Trade Commission (FTC), det amerikanske konkurranse- og forbrukertilsynet, viser at rapporterte tap fra jobb- og falske bemanningsbyråsvindler økte fra 90 millioner dollar i 2020 til 501 millioner dollar i 2024. Antallet rapporter nær tredoblet seg i samme periode.

Better Business Bureau rapporterte separat at klager på jobbsvindel mer enn doblet seg i 2025 sammenlignet med året før.

Lærdommen gjelder begge sider av arbeidsmarkedet: En overbevisende digital profil er ikke i seg selv et bevis på at personen, arbeidsgiveren eller arbeidsstedet er ekte.

Dette bør arbeidsgivere kontrollere

Recorded Future anbefaler at virksomheter kontrollerer personen bak kontoen – ikke bare dokumentene, CV-en eller nettprofilen. En mer robust prosess bør kombinere flere typer signaler:

• Identitet: Bruk sterkere identitetskontroll, blant annet direkte kontroll av at personen er til stede i en video- eller livlighetssjekk, og sammenlign opplysningene med autoritative identitetsregistre.
• Sted: Kontroller om nettverks- og IP-data, geolokasjon, tidssone, lønns- og skatteopplysninger og arbeidstillatelse stemmer med stedet den ansatte oppgir.
• Enheter: Se etter at samme enhet brukes av tilsynelatende uavhengige ansatte, uvanlige enhetsavtrykk, fjernstyringsprogrammer, VPN- eller proxybruk og unormale innloggingsmønstre.
• Løpende kontroll: Gjenta identitets-, enhets- og stedskontroller etter ansettelse, særlig når en medarbeider bytter konto, utstyr, bankopplysninger eller oppgitt identitet.
• Minste privilegium: Begrens hva en nyansatt eller fjernpålogget medarbeider får tilgang til, inntil identiteten og arbeidsmønsteret er bedre etablert.

Kontrollene bør ses i sammenheng, ikke brukes som én enkelt ja- eller nei-test. En kjent enhet, et troverdig dokument eller en vellykket videosamtale kan hver for seg være misvisende når en operatør koordinerer flere personaer.

Den viktigste lærdommen for fjernrekruttering

PurpleDelta viser hvorfor identitetskontrollen ikke bør avsluttes når søkeren takker ja til tilbudet. Det avgjørende spørsmålet er ikke bare om CV-en ser ekte ut, men om den samme verifiserte personen – på det samme verifiserte stedet og med det samme godkjente utstyret – bruker kontoen gjennom hele arbeidsforholdet.

En falsk persona kan enkelt erstattes. Å stenge én konto eller fjerne ett navn trenger derfor ikke å stoppe operatøren fra å komme tilbake med en ny identitet. Kontinuerlig kontroll av identitet, sted, enheter og tilgangsmønstre gir arbeidsgivere bedre mulighet til å oppdage personen bak operasjonen, i stedet for bare å slette den nyeste profilen.