Фальшиві працівники, справжній доступ: як PurpleDelta використовувала ШІ для працевлаштування на віддалені роботи

Віддалене працевлаштування дедалі частіше стає мішенню не лише для шахраїв, які виманюють гроші у кандидатів. Аналіз Recorded Future описує операцію, пов’язану з Північною Кореєю, у якій вигадані особистості та інструменти штучного інтелекту використовувалися для отримання справжньої роботи в іноземних компаніях. Одна з груп подала заявки до понад 1 100 компаній, а загалом дослідники виявили щонайменше 22 цифрові особистості. Оператори, ймовірно, були працевлаштовані щонайменше у десяти організаціях.

Це принципово інша модель загрози: безпосередньою мішенню стає не претендент, а роботодавець. Успішне працевлаштування може надати оператору легітимні облікові дані, доступ до внутрішніх систем і довіру, яку складно отримати внаслідок звичайної кібератаки.

Що виявила Recorded Future

Дослідницька група Insikt Group компанії Recorded Future виявила кілька кластерів, пов’язаних із PurpleDelta — так компанія позначає активність північнокорейських ІТ-працівників, які використовують шахрайські особистості. Досліджений період припадає переважно на кінець 2024-го та початок 2025 року. Серед цілей були компанії у сфері програмного забезпечення й технологій, кадрові та консалтингові фірми, а також організації у сферах охорони здоров’я та біотехнологій.

Дослідники ідентифікували щонайменше 22 вигадані особистості. Один із кластерів подавав заявки до понад 1 100 компаній щонайменше через вісім рекрутингових платформ — до 60 заявок на день. Оператори, за оцінкою Recorded Future, з високою ймовірністю отримали роботу щонайменше у десяти організаціях.

Такий масштаб більше схожий на налагоджену систему найму, ніж на поодиноке підроблення резюме. Особистості можна було створювати, адаптувати та замінювати, якщо одну з них викривали.

Як ШІ допомагав підтримувати фальшиві особистості

Операція не обмежувалася одним підробленим резюме. За даними, пов’язаними з розслідуванням Recorded Future, оператори поєднували вигадані біографії зі згенерованими ШІ фотографіями профілю, спеціально налаштованими асистентами ChatGPT і документами, отриманими через незаконні канали.

ШІ допомагав адаптувати заявки під різні вакансії та підтримувати узгодженість особистості на різних етапах відбору. Під час відеоспівбесід деякі оператори, за повідомленнями, використовували транскрипцію в реальному часі та згенеровані ШІ відповіді. Інструменти перекладу допомагали пояснювати труднощі з мовою або комунікацією.

Розслідування також описує одночасне керування кількома особистостями. Запис зустрічей і захоплення зображення з екрана створювали додатковий ризик: ці інструменти могли фіксувати інформацію, яку обговорювали або демонстрували у внутрішніх системах роботодавця. Доступні докази не підтверджують, що кожна особистість використовувала всі ці методи, однак їхнє поєднання показує, як ШІ зменшує час і зусилля, потрібні для роботи з кількома вигаданими профілями.

Чому фальшивий працівник — це проблема кібербезпеки

Фальшивий працівник може бути небезпечнішим за фальшивого кандидата, адже сам процес найму надає йому кредит довіри. Після працевлаштування оператор потенційно отримує доступ до вихідного коду, внутрішніх інструментів, даних клієнтів або фінансової інформації, стратегічних обговорень і корпоративних облікових записів. Конкретний рівень ризику залежить від посади та контролю доступу, але під час віддаленої роботи складніше перевірити, хто саме користується обліковим записом і пристроєм.

Фінансовий стимул має й геополітичний вимір. PurpleDelta пов’язують із генеруванням доходів і збором розвідданих на користь Північної Кореї. У ширшій схемі північнокорейських ІТ-працівників незаконні доходи від працевлаштування пов’язували із санкційними державними програмами та фінансуванням програм зброї масового ураження.

За оцінкою Recorded Future, синтетичні особистості становлять подвійну загрозу для бізнесу: вони можуть підтримувати фінансове шахрайство, а також сприяти обходу санкцій, отриманню незаконних доходів і крадіжці інтелектуальної власності.

Як PurpleDelta пов’язана з ширшою хвилею шахрайства з роботою

PurpleDelta атакує компанії через процес найму, тоді як звичніші схеми працевлаштування обманюють людей, які шукають роботу. Тактики різні, але обидві моделі використовують віддалений формат роботи, довіру до онлайн-профілів і слабку перевірку особи.

В одному з нещодавніх прикладів BBB North Alabama попередила про нібито віддалені вакансії оператора введення даних, які рекламувалися від імені «Parkway Greenhouse LLC». Кандидати повідомляли, що швидко отримували пропозиції роботи, після чого їх просили надати банківські реквізити.

Масштаб шахрайства з працевлаштуванням для споживачів також різко зріс. За даними Федеральної торгової комісії США (FTC), заявлені збитки від шахрайства з вакансіями та фіктивними кадровими агентствами збільшилися з 90 мільйонів доларів у 2020 році до 501 мільйона доларів у 2024-му, а кількість повідомлень майже потроїлася. Better Business Bureau окремо повідомило, що кількість скарг на шахрайство з працевлаштуванням у 2025 році більш ніж удвічі перевищила показник попереднього року.

Спільний висновок для роботодавців і кандидатів простий: переконливий цифровий профіль ще не доводить, що за ним стоїть реальна людина, справжня компанія або заявлене місце перебування.

Що роботодавцям варто перевіряти

Recorded Future радить перевіряти людину, яка стоїть за обліковим записом, а не лише документи, резюме чи онлайн-профіль. Надійніший процес має поєднувати кілька сигналів:

• Особу. Використовуйте посилену перевірку, зокрема перевірку присутності людини наживо або під час відеодзвінка та зіставлення з авторитетними документами й реєстрами.
• Місце перебування. Перевіряйте, чи відповідають заявленій локації мережеві та IP-дані, геолокація, часовий пояс, відомості для нарахування зарплати й податків, а також дозвіл на роботу.
• Пристрої. Звертайте увагу на повторне використання однакових пристроїв у нібито не пов’язаних між собою працівників, незвичні цифрові відбитки пристроїв, програми віддаленого керування, VPN або проксі та нетипові моделі входу в систему.
• Постійну перевірку. Повторюйте перевірки особи, пристрою та місця перебування після найму, особливо коли працівник змінює облікові записи, обладнання, банківські реквізити або заявлену особистість.
• Мінімально необхідний доступ. Не надавайте новому чи віддаленому працівникові більше доступу, ніж потрібно для роботи, доки його особу та поведінку не буде підтверджено.

Ці заходи мають працювати в комплексі, а не бути одним формальним тестом «пройдено/не пройдено». Знайомий пристрій, правдоподібний документ або успішна відеоспівбесіда окремо можуть ввести в оману, якщо оператор координує кілька особистостей.

Головний висновок для віддаленого найму

PurpleDelta показує, чому перевірка особи не повинна завершуватися в момент прийняття пропозиції роботи. Важливо не лише те, чи виглядає резюме справжнім, а й те, чи та сама перевірена людина, у тому самому підтвердженому місці та з використанням того самого дозволеного обладнання працює протягом усього періоду працевлаштування.

Вигадана особистість одноразова й легко замінюється. Видалення одного облікового запису або імені може не завадити оператору повернутися під новою назвою. Постійні перевірки особи, місця перебування, пристроїв і поведінки під час доступу дають роботодавцям більше шансів виявити самого оператора, а не лише видалити його останній профіль.