เมื่อผู้สมัครงานปลอมอาจกลายเป็นพนักงานจริง: เบื้องหลัง PurpleDelta

การหลอกลวงเกี่ยวกับงานรีโมตไม่ได้มีแค่ประกาศงานปลอมที่หลอกผู้สมัครให้โอนเงินหรือเปิดเผยข้อมูลบัญชีธนาคารอีกต่อไป รายงานของ Recorded Future ระบุว่า PurpleDelta ซึ่งเป็นชื่อที่ใช้เรียกกิจกรรมแรงงานไอทีของเกาหลีเหนือที่อาศัยตัวตนปลอม อาจใช้ AI สร้างบุคลากรเสมือนเพื่อเข้าไปทำงานจริงในบริษัทต่างประเทศ

กลุ่มหนึ่งส่งใบสมัครไปยังบริษัทมากกว่า 1,100 แห่ง ขณะที่การดำเนินงานในภาพรวมเกี่ยวข้องกับตัวตนปลอมอย่างน้อย 22 ราย และมีแนวโน้มว่าผู้ปฏิบัติการได้งานในองค์กรอย่างน้อย 10 แห่ง

ความแตกต่างสำคัญคือ ในรูปแบบนี้ “นายจ้าง” คือเป้าหมายโดยตรง ไม่ใช่ผู้หางาน หากหลอกผ่านกระบวนการคัดเลือกได้ ผู้ปฏิบัติการอาจได้รับบัญชีผู้ใช้ที่ถูกต้อง สิทธิ์เข้าถึงระบบภายใน และสถานะพนักงานที่องค์กรไว้วางใจ

Recorded Future พบอะไร

Insikt Group หน่วยวิจัยของ Recorded Future ระบุคลัสเตอร์กิจกรรมหลายกลุ่มที่เชื่อมโยงกับ PurpleDelta โดยกิจกรรมที่ตรวจสอบเกิดขึ้นเป็นหลักตั้งแต่ช่วงปลายปี 2024 ถึงต้นปี 2025 เป้าหมายครอบคลุมบริษัทซอฟต์แวร์และเทคโนโลยี บริษัทจัดหาบุคลากรและที่ปรึกษา รวมถึงองค์กรด้านการแพทย์และเทคโนโลยีชีวภาพ

นักวิจัยพบตัวตนที่สร้างขึ้นอย่างน้อย 22 ราย โดยคลัสเตอร์หนึ่งสมัครงานกับบริษัทมากกว่า 1,100 แห่งผ่านแพลตฟอร์มหางานอย่างน้อย 8 แห่ง และส่งใบสมัครได้สูงสุดวันละ 60 รายการ นักวิจัยประเมินว่า ผู้ปฏิบัติการมีความเป็นไปได้สูงที่จะได้ทำงานในองค์กรอย่างน้อย 10 แห่ง

ตัวเลขดังกล่าวสะท้อนระบบการหางานที่ทำซ้ำได้ในระดับอุตสาหกรรม มากกว่าจะเป็นการปลอมเรซูเม่เพียงครั้งคราว ตัวตนแต่ละรายสามารถสร้าง ปรับเปลี่ยน หรือเปลี่ยนใหม่ได้เมื่อถูกตรวจพบ ทำให้ผู้ปฏิบัติการยังคงพยายามเข้าถึงองค์กรต่อไปภายใต้ชื่ออื่น

AI ช่วยสร้างและบริหารตัวตนปลอมอย่างไร

ตัวตนเหล่านี้ไม่ได้อาศัยเพียงเรซูเม่ปลอมหนึ่งฉบับ ตามข้อมูลที่เกี่ยวข้องกับการค้นพบของ Recorded Future ผู้ปฏิบัติการใช้ตัวตนที่สร้างขึ้นร่วมกับภาพโปรไฟล์จาก AI ผู้ช่วย ChatGPT ที่กำหนดค่าเฉพาะงาน และเอกสารยืนยันตัวตนที่ได้มาจากช่องทางผิดกฎหมาย

AI ช่วยปรับใบสมัครให้เข้ากับตำแหน่งต่าง ๆ และรักษาความสอดคล้องของเรื่องราวระหว่างขั้นตอนการคัดเลือก ในการสัมภาษณ์ผ่านวิดีโอ มีรายงานว่าผู้ปฏิบัติการบางรายใช้ระบบถอดเสียงแบบเรียลไทม์และคำตอบที่สร้างโดย AI ขณะที่เครื่องมือแปลภาษาถูกใช้เพื่ออธิบายปัญหาด้านการสื่อสารหรือภาษา

การสอบสวนยังพบว่าผู้ปฏิบัติการสามารถดูแลหลายตัวตนพร้อมกันได้ การบันทึกการประชุมและการจับภาพหน้าจอยิ่งเพิ่มความเสี่ยง เพราะอาจทำให้ข้อมูลที่พูดถึงหรือแสดงอยู่ในระบบของนายจ้างถูกเปิดเผย อย่างไรก็ตาม หลักฐานที่มีอยู่ไม่ได้ยืนยันว่าทุกตัวตนใช้เทคนิคเหล่านี้ครบทั้งหมด สิ่งที่เห็นได้ชัดคือ เมื่อรวมเครื่องมือเหล่านี้เข้าด้วยกัน AI ช่วยลดเวลาและแรงงานในการบริหารหลายตัวตนลงอย่างมาก

ทำไมการรับพนักงานปลอมจึงเป็นปัญหาความปลอดภัย

พนักงานปลอมอาจเป็นภัยมากกว่าผู้สมัครปลอมทั่วไป เพราะกระบวนการจ้างงานมอบ “ความไว้วางใจ” ให้ตั้งแต่ต้น เมื่อเข้าไปอยู่ในองค์กรแล้ว ผู้ปฏิบัติการอาจเข้าถึงซอร์สโค้ด เครื่องมือภายใน ข้อมูลลูกค้าหรือข้อมูลการเงิน การประชุมเชิงกลยุทธ์ และข้อมูลรับรองบัญชีบริษัทได้ ขอบเขตความเสียหายขึ้นอยู่กับบทบาทและมาตรการควบคุมสิทธิ์ของแต่ละองค์กร แต่การทำงานทางไกลทำให้ตรวจสอบได้ยากขึ้นว่าใครเป็นผู้ใช้งานบัญชีและอุปกรณ์จริง

แรงจูงใจด้านการเงินยังมีมิติทางภูมิรัฐศาสตร์ด้วย PurpleDelta เชื่อมโยงกับการสร้างรายได้และการรวบรวมข่าวกรองให้เกาหลีเหนือ ขณะที่รายงานเกี่ยวกับโครงการแรงงานไอทีเกาหลีเหนือในวงกว้างระบุว่า รายได้จากการทำงานอย่างผิดกฎหมายเชื่อมโยงกับโครงการของรัฐที่อยู่ภายใต้มาตรการคว่ำบาตรและการสนับสนุนโครงการอาวุธทำลายล้างสูง

งานวิจัยอีกชิ้นของ Recorded Future อธิบายว่า “ตัวตนสังเคราะห์” เป็นภัยต่อองค์กรสองด้าน เพราะสามารถใช้ทั้งเพื่อการฉ้อโกงทางการเงิน การหลบเลี่ยงมาตรการคว่ำบาตร การสร้างรายได้ผิดกฎหมาย และการขโมยทรัพย์สินทางปัญญา

PurpleDelta เชื่อมโยงกับกระแสหลอกลวงงานที่เพิ่มขึ้นอย่างไร

PurpleDelta มุ่งโจมตีบริษัทผ่านกระบวนการรับสมัครงาน ขณะที่กลโกงงานที่คนคุ้นเคยมักมุ่งเป้าไปที่ผู้กำลังหางาน ทั้งสองรูปแบบแตกต่างกัน แต่ใช้ประโยชน์จากการรับสมัครงานออนไลน์ การทำงานทางไกล และการตรวจสอบตัวตนที่ยังมีช่องโหว่เหมือนกัน

ตัวอย่างล่าสุด BBB North Alabama เตือนเกี่ยวกับงานป้อนข้อมูลจากระยะไกลที่ใช้ชื่อ “Parkway Greenhouse LLC” ผู้สมัครหลายรายระบุว่าได้รับข้อเสนองานอย่างรวดเร็ว ก่อนถูกขอข้อมูลบัญชีธนาคาร

ผลกระทบต่อผู้บริโภคก็เพิ่มขึ้นอย่างชัดเจน ข้อมูลของคณะกรรมาธิการการค้าสหรัฐฯ (FTC) ระบุว่า ความเสียหายที่มีการรายงานจากกลโกงงานและบริษัทจัดหางานปลอมเพิ่มจาก 90 ล้านดอลลาร์ในปี 2020 เป็น 501 ล้านดอลลาร์ในปี 2024 ขณะที่จำนวนรายงานเพิ่มขึ้นเกือบสามเท่าในช่วงเวลาเดียวกัน ส่วน Better Business Bureau (BBB) รายงานว่า ข้อร้องเรียนเกี่ยวกับกลโกงงานในปี 2025 เพิ่มขึ้นมากกว่าสองเท่าเมื่อเทียบกับปีก่อนหน้า

บทเรียนร่วมของทั้งนายจ้างและผู้หางานคือ โปรไฟล์ดิจิทัลที่ดูน่าเชื่อถือไม่ได้พิสูจน์ว่าบุคคลนั้นมีอยู่จริง นายจ้างนั้นเป็นองค์กรจริง หรือสถานที่ทำงานที่อ้างนั้นถูกต้อง

นายจ้างควรตรวจสอบอะไรบ้าง

Recorded Future แนะนำให้ตรวจสอบ “บุคคลที่อยู่เบื้องหลังบัญชี” ไม่ใช่ตรวจเพียงเอกสาร เรซูเม่ หรือโปรไฟล์ออนไลน์ กระบวนการที่รัดกุมควรใช้สัญญาณหลายด้านประกอบกัน ได้แก่

• ตัวตน: ใช้การยืนยันตัวตนที่เข้มงวดขึ้น เช่น การตรวจสอบความมีชีวิตผ่านการถ่ายทอดสดหรือวิดีโอ และเปรียบเทียบกับข้อมูลจากแหล่งยืนยันตัวตนที่น่าเชื่อถือ
• สถานที่: ตรวจสอบว่าข้อมูลเครือข่ายและ IP พิกัด ตำแหน่งเขตเวลา ข้อมูลเงินเดือนและภาษี รวมถึงใบอนุญาตทำงาน สอดคล้องกับสถานที่ที่พนักงานอ้างหรือไม่
• อุปกรณ์: มองหาอุปกรณ์ชุดเดียวกันที่ปรากฏซ้ำในพนักงานซึ่งควรเป็นคนละราย ลายนิ้วมืออุปกรณ์ที่ผิดปกติ ซอฟต์แวร์ควบคุมระยะไกล การใช้ VPN หรือพร็อกซี และรูปแบบการเข้าสู่ระบบที่ผิดปกติ
• ตรวจสอบต่อเนื่อง: ตรวจสอบตัวตน อุปกรณ์ และสถานที่ซ้ำหลังรับเข้าทำงาน โดยเฉพาะเมื่อมีการเปลี่ยนบัญชี อุปกรณ์ รายละเอียดการรับเงิน หรืออัตลักษณ์ที่อ้าง
• จำกัดสิทธิ์เท่าที่จำเป็น: จำกัดการเข้าถึงของพนักงานใหม่หรือผู้เชื่อมต่อจากระยะไกล จนกว่าจะยืนยันตัวตนและพฤติกรรมการใช้งานได้ชัดเจน

มาตรการเหล่านี้ควรใช้ร่วมกัน ไม่ควรตัดสินจากการตรวจสอบเพียงข้อเดียว อุปกรณ์ที่ดูคุ้นเคย เอกสารที่ดูสมเหตุสมผล หรือการสัมภาษณ์วิดีโอที่ผ่านไปได้ ล้วนทำให้เข้าใจผิดได้ หากผู้ปฏิบัติการกำลังบริหารหลายตัวตนอย่างเป็นระบบ

บทเรียนสำคัญสำหรับการจ้างงานทางไกล

PurpleDelta แสดงให้เห็นว่า การยืนยันตัวตนไม่ควรจบลงเมื่อผู้สมัครตอบรับข้อเสนอ สิ่งที่นายจ้างต้องตอบให้ได้ไม่ใช่เพียง “เรซูเม่นี้ดูจริงหรือไม่” แต่คือบุคคลที่ผ่านการยืนยันแล้วใช่คนเดียวกันหรือไม่ อยู่ในสถานที่ที่ตรวจสอบแล้วหรือไม่ และใช้อุปกรณ์ที่ได้รับอนุญาตตลอดช่วงการทำงานหรือไม่

ตัวตนปลอมสามารถถูกทิ้งได้ง่าย การลบบัญชีหรือชื่อหนึ่งชื่อจึงอาจไม่หยุดผู้ปฏิบัติการจากการกลับเข้ามาใหม่ภายใต้อัตลักษณ์อื่น การตรวจสอบตัวตน สถานที่ อุปกรณ์ และพฤติกรรมการเข้าถึงอย่างต่อเนื่อง จะช่วยให้องค์กรมีโอกาสตรวจพบ “ผู้ปฏิบัติการ” ได้มากกว่าการลบเพียงโปรไฟล์ล่าสุด