PurpleDelta: identidades criadas com IA foram usadas para disputar vagas remotas

Golpes relacionados a vagas remotas não se limitam mais a anúncios falsos que enganam candidatos e roubam dinheiro ou dados bancários. Uma análise da Recorded Future descreve a PurpleDelta, uma operação ligada à Coreia do Norte que usou identidades fabricadas e ferramentas de inteligência artificial para tentar conseguir empregos reais em empresas estrangeiras.

Um dos grupos associados à operação enviou candidaturas para mais de 1.100 empresas. No conjunto da atividade, os pesquisadores identificaram pelo menos 22 personas falsas e avaliaram que os operadores provavelmente foram contratados por 10 ou mais organizações.

A diferença é importante: nesse modelo, o alvo imediato não é o candidato, mas a empresa. Uma contratação bem-sucedida pode fornecer credenciais legítimas, acesso a sistemas internos e uma posição de confiança dentro da organização.

O que a Recorded Future descobriu

O Insikt Group, unidade de pesquisa da Recorded Future, identificou diferentes grupos de atividade associados à PurpleDelta — nome usado pela empresa para acompanhar operações de trabalhadores de tecnologia norte-coreanos que recorrem a identidades fraudulentas. A atividade analisada ocorreu principalmente entre o fim de 2024 e o início de 2025.

Os alvos incluíam empresas de software e tecnologia, companhias de recrutamento e consultoria, além de organizações dos setores de saúde e biotecnologia. Em um dos grupos, os operadores usaram pelo menos oito plataformas de recrutamento e chegaram a enviar até 60 candidaturas por dia.

A escala indica um sistema de contratação repetível, e não casos isolados de falsificação de currículo. As identidades podiam ser criadas, adaptadas e substituídas conforme a necessidade, permitindo que os operadores continuassem tentando obter acesso mesmo depois que uma persona fosse descoberta.

Como a inteligência artificial ajudou a sustentar as identidades

As personas não eram apenas currículos falsos. Segundo os dados associados à investigação da Recorded Future, os operadores combinaram identidades fabricadas com fotos de perfil geradas por IA, assistentes do ChatGPT configurados para tarefas específicas e documentos de identidade obtidos por meios ilícitos.

A IA ajudava a adaptar candidaturas e a manter coerência em diferentes etapas do processo seletivo. Durante entrevistas por vídeo, alguns operadores teriam recorrido a transcrição em tempo real e a respostas geradas por IA. Ferramentas de tradução também eram usadas para formular justificativas relacionadas a dificuldades de comunicação ou de idioma.

A investigação descreveu ainda operadores administrando várias identidades simultaneamente. Gravações de reuniões e ferramentas de captura de tela acrescentavam outra camada de risco, pois poderiam registrar informações discutidas ou exibidas nos sistemas da empresa.

As evidências disponíveis não mostram que todas as personas tenham usado todas essas técnicas. Ainda assim, a combinação revela como a IA pode reduzir o tempo e o esforço necessários para manter várias identidades falsas em operação.

Por que uma contratação fraudulenta vira um problema de segurança

Um funcionário falso pode ser mais perigoso do que um candidato falso porque a contratação, por si só, cria confiança. Depois de entrar na empresa, um operador pode receber acesso a código-fonte, ferramentas internas, dados de clientes ou financeiros, discussões estratégicas e credenciais corporativas.

A exposição exata depende da função e dos controles de acesso da organização. No trabalho remoto, porém, pode ser mais difícil verificar quem está usando determinada conta e dispositivo — especialmente quando há intermediários, equipamentos controlados por terceiros ou acesso remoto.

O incentivo financeiro também tem uma dimensão geopolítica. A PurpleDelta é associada à geração de receita e à coleta de inteligência em favor da Coreia do Norte. Investigações sobre o esquema mais amplo de trabalhadores norte-coreanos de tecnologia relacionaram a receita obtida por empregos ilícitos a programas estatais sancionados e ao financiamento de programas de armas de destruição em massa.

A pesquisa mais ampla da Recorded Future descreve as identidades sintéticas como uma ameaça dupla às empresas: elas podem ser usadas tanto em fraudes financeiras quanto para driblar sanções, gerar receita ilícita e roubar propriedade intelectual.

Como a PurpleDelta se conecta à onda de golpes de emprego

A PurpleDelta mira empresas por meio do processo de contratação, enquanto os golpes de emprego mais conhecidos atacam pessoas que estão procurando trabalho. As táticas são diferentes, mas ambos os modelos exploram o recrutamento remoto, a confiança em perfis digitais e falhas na verificação de identidade.

Em um exemplo recente, a unidade North Alabama do Better Business Bureau (BBB) alertou para supostas vagas remotas de entrada de dados divulgadas em nome da “Parkway Greenhouse LLC”. Candidatos relataram receber ofertas rapidamente e, depois, pedidos de informações da conta bancária.

O impacto dos golpes de emprego contra consumidores também cresceu de forma acentuada. Dados da Comissão Federal de Comércio dos Estados Unidos (FTC) mostram que as perdas relatadas em golpes de emprego e de falsas agências de colocação aumentaram de US$ 90 milhões em 2020 para US$ 501 milhões em 2024, enquanto o número de denúncias quase triplicou no período.

Separadamente, o BBB informou que as reclamações sobre golpes de emprego mais que dobraram em 2025 em comparação com o ano anterior.

A lição comum para empresas e candidatos é direta: um perfil digital convincente não prova que existe uma pessoa real por trás dele — nem que o empregador, a localização ou a oportunidade sejam legítimos.

O que as empresas devem verificar

A recomendação central da Recorded Future é confirmar a pessoa por trás da conta, e não apenas validar documentos, currículo ou perfil on-line. Um processo mais robusto deve combinar diferentes sinais:

• Identidade: adotar procedimentos mais rigorosos, incluindo verificações de presença real ao vivo ou por vídeo e comparação com registros de identidade confiáveis.
• Localização: conferir se dados de rede e IP, geolocalização, fuso horário, informações de folha de pagamento e impostos e autorização de trabalho são compatíveis com o local declarado pelo funcionário.
• Dispositivos: procurar o uso repetido dos mesmos equipamentos em contratações supostamente não relacionadas, impressões digitais de dispositivo incomuns, softwares de controle remoto, VPNs ou proxies e padrões anormais de login.
• Verificação contínua: repetir as checagens de identidade, dispositivo e localização depois da contratação, principalmente quando houver mudança de conta, equipamento, dados bancários ou identidade declarada.
• Privilégio mínimo: limitar o acesso de novos funcionários ou trabalhadores conectados remotamente até que a identidade e o comportamento estejam devidamente estabelecidos.

Esses controles devem funcionar em conjunto, e não como um único teste de aprovação ou reprovação. Um dispositivo familiar, um documento plausível ou uma chamada de vídeo bem-sucedida podem ser enganosos quando um operador coordena várias personas.

A principal lição para o recrutamento remoto

A PurpleDelta mostra por que a verificação de identidade não pode terminar quando o candidato aceita a oferta. A pergunta mais importante não é apenas se o currículo parece autêntico, mas se a mesma pessoa verificada está usando, no mesmo local confirmado, o equipamento autorizado durante todo o ciclo de emprego.

Uma persona falsa pode ser descartada e substituída. Excluir uma conta ou bloquear um nome não impede necessariamente que o mesmo operador retorne com uma nova identidade sintética. Verificações contínuas de identidade, localização, dispositivos e comportamento de acesso aumentam as chances de identificar o operador — em vez de apenas apagar o perfil mais recente.