Фальшивый сотрудник вместо фальшивой вакансии: как PurpleDelta использовала ИИ для найма на удалённую работу

Мошенничество с удалённым наймом больше не сводится к фальшивым вакансиям, которые выманивают у соискателей деньги или банковские реквизиты. Анализ Recorded Future описывает связанную с Северной Кореей операцию PurpleDelta, в рамках которой создавались вымышленные личности и применялись инструменты искусственного интеллекта для получения настоящей работы в зарубежных компаниях. Одна из групп подала заявки более чем в 1 100 компаний, а вся активность охватывала как минимум 22 персоны; операторы, вероятно, устроились минимум в десять организаций.

Здесь непосредственной целью становится не соискатель, а работодатель. Если такая схема срабатывает, оператор получает легитимные учётные данные, доступ к внутренним системам и доверенную позицию внутри компании.

Что выяснила Recorded Future

Группа Insikt Group, исследовательское подразделение Recorded Future, выявила несколько кластеров, связанных с PurpleDelta. Так компания обозначает активность северокорейских IT-специалистов, которые используют поддельные личности для трудоустройства. Изученный в отчёте период пришёлся главным образом на конец 2024 — начало 2025 года.

Среди целей были разработчики программного обеспечения и технологические компании, кадровые и консалтинговые фирмы, а также организации в сфере здравоохранения и биотехнологий.

Исследователи обнаружили не менее 22 вымышленных персон. Одна из групп подавала заявки более чем в 1 100 компаний через как минимум восемь рекрутинговых платформ — до 60 заявок в день. По оценке Recorded Future, операторы с высокой вероятностью были наняты как минимум в десять организаций.

Такой масштаб больше похож на отлаженную систему найма, чем на отдельные случаи подделки резюме. Личности можно было создавать, адаптировать и заменять по мере необходимости. Поэтому после обнаружения одной персоны оператор мог продолжить попытки под новым именем.

Как ИИ помогал поддерживать фальшивые личности

Речь шла не об одном поддельном резюме. Согласно материалам, связанным с исследованием Recorded Future, операторы объединяли вымышленные биографии с фотографиями профиля, созданными ИИ, специально настроенными ассистентами ChatGPT и документами, полученными через нелегальные каналы.

ИИ помогал адаптировать отклики под разные вакансии и сохранять последовательность легенды на этапах отбора. Во время видеособеседований некоторые операторы, как сообщается, использовали расшифровку разговора в реальном времени и сгенерированные ИИ ответы. Переводчики помогали объяснять проблемы с коммуникацией или языком.

Исследование также описывает одновременное управление несколькими личностями. Запись встреч и захват изображения с экрана создавали дополнительный риск: таким образом могли собираться сведения, которые обсуждались или отображались во внутренних системах работодателя. Доступные данные не доказывают, что каждая персона применяла все эти методы, однако их сочетание показывает, как ИИ снижает затраты времени и усилий на ведение нескольких идентичностей.

Почему фиктивный сотрудник опаснее фиктивного кандидата

Поддельный сотрудник может представлять большую угрозу, чем обычный мошенник на этапе отклика: сам факт найма создаёт доверие. После получения должности оператор потенциально получает доступ к исходному коду, внутренним инструментам, данным клиентов и финансовой информации, обсуждениям стратегии и корпоративным учётным данным.

Масштаб риска зависит от должности и настроек доступа, но при удалённой работе работодателю сложнее проверить, кто именно управляет аккаунтом и устройством. Успешно пройденное видеособеседование само по себе не подтверждает личность человека за экраном.

У схемы есть и геополитическое измерение. PurpleDelta связывают с получением доходов и сбором разведывательной информации в интересах Северной Кореи. Более широкие расследования северокорейских схем с IT-работниками связывали незаконные доходы от трудоустройства с санкционированными государственными программами и финансированием программ оружия массового уничтожения.

В более масштабном исследовании Recorded Future синтетические личности названы двойной угрозой для компаний: они могут использоваться одновременно для финансового мошенничества, обхода санкций, получения незаконных доходов и кражи интеллектуальной собственности.

Как PurpleDelta связана с волной мошенничества с вакансиями

PurpleDelta атакует компании через процесс найма, тогда как более привычные схемы обманывают людей, ищущих работу. Тактики различаются, но обе стороны используют удалённый формат, доверие к онлайн-профилям и недостаточно строгую проверку личности.

В одном из недавних случаев BBB North Alabama предупредило о предполагаемых удалённых вакансиях оператора по вводу данных, которые рекламировались от имени «Parkway Greenhouse LLC». Соискатели сообщали о быстрых предложениях работы, после которых у них запрашивали банковские реквизиты.

Проблема растёт и в количественном выражении. По данным Федеральной торговой комиссии США (FTC), заявленные потери от мошенничества с вакансиями и фиктивными агентствами по трудоустройству увеличились с 90 млн долларов в 2020 году до 501 млн долларов в 2024-м, а число сообщений о таких схемах почти утроилось. Better Business Bureau отдельно сообщило, что количество жалоб на мошенничество при трудоустройстве в 2025 году более чем удвоилось по сравнению с предыдущим годом.

Общий вывод для соискателей и работодателей прост: убедительный цифровой профиль ещё не доказывает, что за ним стоит реальный человек, настоящий работодатель или заявленное местоположение.

Что работодателям стоит проверять

Recorded Future рекомендует проверять человека, который стоит за аккаунтом, а не ограничиваться документами, резюме или профилем в интернете. Более надёжная процедура должна объединять несколько независимых сигналов:

• Личность. Использовать усиленную идентификацию, включая проверку присутствия человека в режиме реального времени или по видео, а также сопоставление с авторитетными документами и реестрами.
• Местоположение. Сверять сетевые и IP-данные, геолокацию, часовой пояс, сведения для расчёта зарплаты и налогов, а также разрешение на работу с заявленным местонахождением сотрудника.
• Устройства. Отслеживать повторное использование одних и тех же устройств в якобы независимых наймах, необычные отпечатки устройств, программы удалённого управления, VPN и прокси, а также нетипичные схемы входа.
• Проверка после найма. Повторять проверки личности, устройства и местоположения, особенно если сотрудник меняет аккаунт, оборудование, банковские реквизиты или заявленную идентичность.
• Минимально необходимые права. Ограничивать доступ нового или удалённо подключённого работника до тех пор, пока его личность и поведение не будут подтверждены.

Эти меры должны работать в комплексе, а не превращаться в единственный тест по принципу «прошёл — не прошёл». Знакомое устройство, правдоподобный документ или успешный видеозвонок могут вводить в заблуждение, если оператор координирует несколько персон.

Главный вывод для удалённого найма

PurpleDelta показывает, почему проверка личности не должна заканчиваться в момент, когда кандидат принимает предложение о работе. Важно установить не только то, выглядит ли резюме настоящим, но и совпадает ли проверенный человек, проверенное местоположение и разрешённое устройство на протяжении всего периода работы.

Фальшивая персона заменяема. Удаление одного аккаунта или имени не обязательно остановит оператора — он может вернуться с новой синтетической личностью. Постоянные проверки личности, местоположения, устройств и поведения при доступе дают работодателю больше шансов обнаружить самого оператора, а не просто удалить его очередной профиль.