Recorded Future’ın Insikt Group araştırmacıları, sahte kimliklerle yürütülen Kuzey Kore bağlantılı BT çalışanı faaliyetlerini tanımlamak için PurpleDelta adını kullanıyor. İncelenen faaliyetler ağırlıklı olarak 2024’ün sonları ile 2025’in başları arasında gerçekleşti. Hedefler arasında yazılım ve teknoloji şirketleri, personel ve danışmanlık firmaları ile sağlık ve biyoteknoloji kuruluşları bulunuyordu.

Araştırmacılar operasyon genelinde en az 22 sahte persona belirledi. Bir küme, en az sekiz işe alım platformu üzerinden 1.100’den fazla şirkete başvurdu ve günde 60’a kadar başvuru gönderdi. Operatörlerin en az 10 kuruluşta istihdam edilmiş olma ihtimali yüksek olarak değerlendirildi.

Bu ölçek, münferit özgeçmiş sahtekârlığından çok tekrarlanabilir bir işe alım sistemiyle karşı karşıya olunduğuna işaret ediyor. Bir persona tespit edildiğinde başka bir kimlik oluşturulabiliyor, mevcut profil değiştirilebiliyor veya yeni bir persona devreye alınabiliyor.

Yapay zekâ sahte kimlikleri nasıl destekledi?

Personalar yalnızca sahte bir özgeçmişten oluşmuyordu. Recorded Future’ın bulgularına ilişkin raporlara göre operatörler; uydurma kimlikleri, yapay zekâyla üretilmiş profil fotoğraflarını, özel yapılandırılmış ChatGPT asistanlarını ve yasa dışı kanallardan edinilmiş kimlik belgelerini bir arada kullandı.

Yapay zekâ, başvuruların her pozisyona göre uyarlanmasına ve işe alım sürecinin farklı aşamalarında tutarlı bir kimlik sürdürülmesine yardımcı oldu. Bazı video mülakatlarında operatörlerin canlı deşifre ve yapay zekâ tarafından oluşturulan yanıtları kullandığı, iletişim veya dil sorunlarını açıklamak içinse çeviri araçlarından yararlandığı bildirildi.

İnceleme ayrıca bazı operatörlerin aynı anda birden fazla kimliği yönettiğini ortaya koydu. Toplantı kayıtları ve ekran görüntüsü alma araçları da ayrı bir risk oluşturdu; çünkü bu araçlar işverenin sistemlerinde konuşulan veya ekranda görünen bilgileri açığa çıkarabilir. Eldeki kanıtlar her personanın tüm bu teknikleri kullandığını göstermiyor. Ancak yöntemlerin birleşimi, yapay zekânın çok sayıda kimliği yönetmek için gereken zaman ve emeği ciddi ölçüde azaltabildiğini ortaya koyuyor.

Sahte bir çalışan neden siber güvenlik sorunu yaratıyor?

Sahte bir çalışan, sahte bir başvurudan daha tehlikeli olabilir; çünkü işe alım sürecinin kendisi güven sağlar. İşe kabul edilen bir operatör, rolüne ve şirketin erişim kontrollerine bağlı olarak kaynak kodlarına, kurum içi araçlara, müşteri veya finans bilgilerine, strateji görüşmelerine ve şirket hesaplarına erişebilir.

Uzaktan çalışma, hesabı ve cihazı kimin kullandığını doğrulamayı da zorlaştırabilir. Çalışan şirket sistemlerine uzaktan bağlandığında, görünürdeki profilin arkasındaki kişinin gerçekten işe alınan kişi olup olmadığını yalnızca bir video görüşmesiyle anlamak mümkün olmayabilir.

Finansal boyutun yanı sıra operasyonun jeopolitik bir yönü de var. PurpleDelta, Kuzey Kore’nin gelir elde etme ve istihbarat toplama faaliyetleriyle ilişkilendiriliyor. Kuzey Kore’nin daha geniş BT çalışanı ağına ilişkin haber ve yaptırım açıklamalarında ise yasa dışı istihdam gelirlerinin yaptırıma tabi devlet programlarına ve kitle imha silahları faaliyetlerine aktarılabildiği belirtiliyor.

Recorded Future’ın sentetik kimliklere ilişkin daha geniş araştırması, bu yapıların şirketler için çift yönlü bir tehdit oluşturduğunu vurguluyor: Sentetik kimlikler bir yandan büyük ölçekli finansal dolandırıcılığı, diğer yandan yaptırımlardan kaçınmayı, yasa dışı gelir elde etmeyi ve fikrî mülkiyet hırsızlığını kolaylaştırabiliyor.

PurpleDelta, artan iş dolandırıcılıklarıyla nasıl kesişiyor?

PurpleDelta, işe alım sürecini kullanarak şirketleri hedefliyor. Daha tanıdık istihdam dolandırıcılıklarında ise hedef, iş arayan kişiler. Taktikler farklı olsa da iki model de uzaktan işe alımın yaygınlığından, çevrim içi güven duygusundan ve zayıf kimlik doğrulama süreçlerinden yararlanıyor.

Yakın tarihli bir örnekte BBB North Alabama, “Parkway Greenhouse LLC” adı kullanılarak yayılan sözde uzaktan veri girişi işleri konusunda uyarıda bulundu. Başvuranlar, hızlı iş tekliflerinin ardından banka hesabı bilgilerinin istendiğini bildirdi.

İstihdam dolandırıcılıklarının tüketiciler üzerindeki etkisi de hızla büyüdü. FTC verilerine göre iş ve sahte istihdam ajansı dolandırıcılıklarında bildirilen kayıplar 2020’de 90 milyon dolardan 2024’te 501 milyon dolara çıktı; bildirim sayısı aynı dönemde neredeyse üç katına ulaştı. Better Business Bureau ise istihdam dolandırıcılığı şikâyetlerinin 2025’te bir önceki yıla göre iki kattan fazla arttığını bildirdi.

Her iki taraf için ortak ders şu: İnandırıcı görünen bir dijital profil; karşıdaki kişinin gerçek bir insan, işverenin gerçek bir şirket veya bildirilen konumun meşru olduğu anlamına gelmez.

İşverenler neleri doğrulamalı?

Recorded Future’ın temel önerisi, yalnızca belgeleri, özgeçmişi veya çevrim içi profili değil, hesabın arkasındaki kişiyi doğrulamak. Daha güçlü bir süreç şu sinyalleri birlikte değerlendirmeli:

• Kimlik: Canlılık kontrolü içeren yüz yüze veya video doğrulamalar kullanılmalı ve kimlik, güvenilir resmî kayıtlarla karşılaştırılmalı.
• Konum: Ağ ve IP verileri, coğrafi konum, saat dilimi, bordro ve vergi bilgileri ile çalışma izni, çalışanın bildirdiği konumla uyumlu mu kontrol edilmeli.
• Cihazlar: Birbirinden bağımsız görünen işe alımlarda aynı cihazların tekrar kullanılması, olağandışı cihaz parmak izleri, uzaktan kontrol yazılımları, VPN veya proxy kullanımı ve anormal giriş modelleri incelenmeli.
• Sürekli doğrulama: İşe alımdan sonra da kimlik, cihaz ve konum kontrolleri tekrarlanmalı. Özellikle çalışan hesap, ekipman, banka bilgileri veya beyan ettiği kimliği değiştirdiğinde yeniden doğrulama yapılmalı.
• En az ayrıcalık ilkesi: Yeni işe alınan ya da uzaktan bağlanan çalışanın erişebileceği sistemler, kimliği ve davranışları doğrulanana kadar sınırlandırılmalı.

Bu kontroller tek başına bir “geçti-kaldı” testi olarak görülmemeli; birlikte değerlendirilmelidir. Tanıdık görünen bir cihaz, makul bir belge veya başarılı bir video görüşmesi, birden fazla personayı koordine eden operatörler tarafından yanıltıcı biçimde kullanılabilir.

Uzaktan işe alım için ana mesaj

PurpleDelta vakası, kimlik doğrulamasının adayın iş teklifini kabul etmesiyle sona eremeyeceğini gösteriyor. Asıl soru, özgeçmişin gerçekçi görünüp görünmediği değil; çalışma süreci boyunca aynı doğrulanmış kişinin, doğrulanmış aynı konumdan ve yetkilendirilmiş aynı ekipmanla hesabı kullanıp kullanmadığı.

Sahte bir persona kolayca değiştirilebilir. Bir hesabı veya ismi silmek, operatörün yeni bir kimlikle geri dönmesini engellemeyebilir. Kimlik, konum, cihaz ve erişim davranışlarını işe alım sonrasında da izleyen sürekli kontroller, şirketlere yalnızca son profili silmekten ziyade profilin arkasındaki operatörü tespit etme şansı verir.

Recorded Future’ın Insikt Group araştırmacıları, sahte kimliklerle yürütülen Kuzey Kore bağlantılı BT çalışanı faaliyetlerini tanımlamak için PurpleDelta adını kullanıyor. İncelenen faaliyetler ağırlıklı olarak 2024’ün sonları ile 2025’in başları arasında gerçekleşti. Hedefler arasında yazılım ve teknoloji şirketleri, personel ve danışmanlık firmaları ile sağlık ve biyoteknoloji kuruluşları bulunuyordu.

Araştırmacılar operasyon genelinde en az 22 sahte persona belirledi. Bir küme, en az sekiz işe alım platformu üzerinden 1.100’den fazla şirkete başvurdu ve günde 60’a kadar başvuru gönderdi. Operatörlerin en az 10 kuruluşta istihdam edilmiş olma ihtimali yüksek olarak değerlendirildi.

Bu ölçek, münferit özgeçmiş sahtekârlığından çok tekrarlanabilir bir işe alım sistemiyle karşı karşıya olunduğuna işaret ediyor. Bir persona tespit edildiğinde başka bir kimlik oluşturulabiliyor, mevcut profil değiştirilebiliyor veya yeni bir persona devreye alınabiliyor.

Yapay zekâ sahte kimlikleri nasıl destekledi?

Personalar yalnızca sahte bir özgeçmişten oluşmuyordu. Recorded Future’ın bulgularına ilişkin raporlara göre operatörler; uydurma kimlikleri, yapay zekâyla üretilmiş profil fotoğraflarını, özel yapılandırılmış ChatGPT asistanlarını ve yasa dışı kanallardan edinilmiş kimlik belgelerini bir arada kullandı.

Yapay zekâ, başvuruların her pozisyona göre uyarlanmasına ve işe alım sürecinin farklı aşamalarında tutarlı bir kimlik sürdürülmesine yardımcı oldu. Bazı video mülakatlarında operatörlerin canlı deşifre ve yapay zekâ tarafından oluşturulan yanıtları kullandığı, iletişim veya dil sorunlarını açıklamak içinse çeviri araçlarından yararlandığı bildirildi.

İnceleme ayrıca bazı operatörlerin aynı anda birden fazla kimliği yönettiğini ortaya koydu. Toplantı kayıtları ve ekran görüntüsü alma araçları da ayrı bir risk oluşturdu; çünkü bu araçlar işverenin sistemlerinde konuşulan veya ekranda görünen bilgileri açığa çıkarabilir. Eldeki kanıtlar her personanın tüm bu teknikleri kullandığını göstermiyor. Ancak yöntemlerin birleşimi, yapay zekânın çok sayıda kimliği yönetmek için gereken zaman ve emeği ciddi ölçüde azaltabildiğini ortaya koyuyor.

Sahte bir çalışan neden siber güvenlik sorunu yaratıyor?

Sahte bir çalışan, sahte bir başvurudan daha tehlikeli olabilir; çünkü işe alım sürecinin kendisi güven sağlar. İşe kabul edilen bir operatör, rolüne ve şirketin erişim kontrollerine bağlı olarak kaynak kodlarına, kurum içi araçlara, müşteri veya finans bilgilerine, strateji görüşmelerine ve şirket hesaplarına erişebilir.

Uzaktan çalışma, hesabı ve cihazı kimin kullandığını doğrulamayı da zorlaştırabilir. Çalışan şirket sistemlerine uzaktan bağlandığında, görünürdeki profilin arkasındaki kişinin gerçekten işe alınan kişi olup olmadığını yalnızca bir video görüşmesiyle anlamak mümkün olmayabilir.

Finansal boyutun yanı sıra operasyonun jeopolitik bir yönü de var. PurpleDelta, Kuzey Kore’nin gelir elde etme ve istihbarat toplama faaliyetleriyle ilişkilendiriliyor. Kuzey Kore’nin daha geniş BT çalışanı ağına ilişkin haber ve yaptırım açıklamalarında ise yasa dışı istihdam gelirlerinin yaptırıma tabi devlet programlarına ve kitle imha silahları faaliyetlerine aktarılabildiği belirtiliyor.

Recorded Future’ın sentetik kimliklere ilişkin daha geniş araştırması, bu yapıların şirketler için çift yönlü bir tehdit oluşturduğunu vurguluyor: Sentetik kimlikler bir yandan büyük ölçekli finansal dolandırıcılığı, diğer yandan yaptırımlardan kaçınmayı, yasa dışı gelir elde etmeyi ve fikrî mülkiyet hırsızlığını kolaylaştırabiliyor.

PurpleDelta, artan iş dolandırıcılıklarıyla nasıl kesişiyor?

PurpleDelta, işe alım sürecini kullanarak şirketleri hedefliyor. Daha tanıdık istihdam dolandırıcılıklarında ise hedef, iş arayan kişiler. Taktikler farklı olsa da iki model de uzaktan işe alımın yaygınlığından, çevrim içi güven duygusundan ve zayıf kimlik doğrulama süreçlerinden yararlanıyor.

Yakın tarihli bir örnekte BBB North Alabama, “Parkway Greenhouse LLC” adı kullanılarak yayılan sözde uzaktan veri girişi işleri konusunda uyarıda bulundu. Başvuranlar, hızlı iş tekliflerinin ardından banka hesabı bilgilerinin istendiğini bildirdi.

İstihdam dolandırıcılıklarının tüketiciler üzerindeki etkisi de hızla büyüdü. FTC verilerine göre iş ve sahte istihdam ajansı dolandırıcılıklarında bildirilen kayıplar 2020’de 90 milyon dolardan 2024’te 501 milyon dolara çıktı; bildirim sayısı aynı dönemde neredeyse üç katına ulaştı. Better Business Bureau ise istihdam dolandırıcılığı şikâyetlerinin 2025’te bir önceki yıla göre iki kattan fazla arttığını bildirdi.

Her iki taraf için ortak ders şu: İnandırıcı görünen bir dijital profil; karşıdaki kişinin gerçek bir insan, işverenin gerçek bir şirket veya bildirilen konumun meşru olduğu anlamına gelmez.

İşverenler neleri doğrulamalı?

Recorded Future’ın temel önerisi, yalnızca belgeleri, özgeçmişi veya çevrim içi profili değil, hesabın arkasındaki kişiyi doğrulamak. Daha güçlü bir süreç şu sinyalleri birlikte değerlendirmeli:

• Kimlik: Canlılık kontrolü içeren yüz yüze veya video doğrulamalar kullanılmalı ve kimlik, güvenilir resmî kayıtlarla karşılaştırılmalı.
• Konum: Ağ ve IP verileri, coğrafi konum, saat dilimi, bordro ve vergi bilgileri ile çalışma izni, çalışanın bildirdiği konumla uyumlu mu kontrol edilmeli.
• Cihazlar: Birbirinden bağımsız görünen işe alımlarda aynı cihazların tekrar kullanılması, olağandışı cihaz parmak izleri, uzaktan kontrol yazılımları, VPN veya proxy kullanımı ve anormal giriş modelleri incelenmeli.
• Sürekli doğrulama: İşe alımdan sonra da kimlik, cihaz ve konum kontrolleri tekrarlanmalı. Özellikle çalışan hesap, ekipman, banka bilgileri veya beyan ettiği kimliği değiştirdiğinde yeniden doğrulama yapılmalı.
• En az ayrıcalık ilkesi: Yeni işe alınan ya da uzaktan bağlanan çalışanın erişebileceği sistemler, kimliği ve davranışları doğrulanana kadar sınırlandırılmalı.

Bu kontroller tek başına bir “geçti-kaldı” testi olarak görülmemeli; birlikte değerlendirilmelidir. Tanıdık görünen bir cihaz, makul bir belge veya başarılı bir video görüşmesi, birden fazla personayı koordine eden operatörler tarafından yanıltıcı biçimde kullanılabilir.

Uzaktan işe alım için ana mesaj

PurpleDelta vakası, kimlik doğrulamasının adayın iş teklifini kabul etmesiyle sona eremeyeceğini gösteriyor. Asıl soru, özgeçmişin gerçekçi görünüp görünmediği değil; çalışma süreci boyunca aynı doğrulanmış kişinin, doğrulanmış aynı konumdan ve yetkilendirilmiş aynı ekipmanla hesabı kullanıp kullanmadığı.

Sahte bir persona kolayca değiştirilebilir. Bir hesabı veya ismi silmek, operatörün yeni bir kimlikle geri dönmesini engellemeyebilir. Kimlik, konum, cihaz ve erişim davranışlarını işe alım sonrasında da izleyen sürekli kontroller, şirketlere yalnızca son profili silmekten ziyade profilin arkasındaki operatörü tespit etme şansı verir.