Chiến dịch PurpleDelta dùng danh tính AI giả để nhắm vào việc làm từ xa

Lừa đảo tuyển dụng từ xa không còn chỉ là những tin đăng việc làm giả nhằm lấy tiền hoặc thông tin tài khoản ngân hàng của người tìm việc. Phân tích của Recorded Future về PurpleDelta cho thấy một hoạt động liên quan đến Triều Tiên đã dùng danh tính được dựng lên và công cụ AI để tìm cách được tuyển dụng thật vào các công ty nước ngoài. Một nhóm đã nộp đơn vào hơn 1.100 công ty; toàn bộ hoạt động liên quan đến ít nhất 22 danh tính và nhiều khả năng đã đưa người vận hành vào ít nhất 10 tổ chức.

Điểm đáng chú ý là trong mô hình này, doanh nghiệp—chứ không phải ứng viên—mới là mục tiêu trực tiếp. Nếu được tuyển dụng thành công, người vận hành có thể nhận thông tin đăng nhập hợp pháp, quyền truy cập hệ thống nội bộ và một vị trí đáng tin cậy bên trong công ty.

Recorded Future phát hiện gì?

Nhóm Insikt của Recorded Future xác định nhiều cụm hoạt động liên quan đến PurpleDelta—tên gọi của Recorded Future dành cho hoạt động của các nhân sự công nghệ thông tin Triều Tiên sử dụng danh tính gian lận. Hoạt động được phân tích diễn ra chủ yếu từ cuối năm 2024 đến đầu năm 2025, nhắm đến các công ty phần mềm và công nghệ, doanh nghiệp tuyển dụng và tư vấn, cùng các tổ chức trong lĩnh vực y tế và công nghệ sinh học.

Các nhà nghiên cứu xác định ít nhất 22 danh tính giả trong toàn bộ chiến dịch. Một cụm đã nộp đơn vào hơn 1.100 công ty thông qua ít nhất tám nền tảng tuyển dụng, với số lượng có thể lên tới 60 đơn mỗi ngày. Recorded Future đánh giá những người vận hành nhiều khả năng đã được tuyển dụng tại ít nhất 10 tổ chức.

Quy mô này cho thấy đây là một hệ thống tuyển dụng có thể lặp lại, thay vì những vụ làm giả hồ sơ riêng lẻ. Khi một danh tính bị phát hiện, người vận hành có thể tạo, điều chỉnh hoặc thay thế bằng danh tính khác để tiếp tục tìm đường tiếp cận doanh nghiệp.

AI đã hỗ trợ các danh tính giả như thế nào?

Các danh tính này không chỉ dựa trên một bản lý lịch giả. Theo những thông tin xoay quanh phát hiện của Recorded Future, người vận hành kết hợp danh tính được dựng lên với ảnh hồ sơ do AI tạo, trợ lý ChatGPT được cấu hình riêng và giấy tờ tùy thân có nguồn gốc bất hợp pháp.

AI giúp họ điều chỉnh hồ sơ ứng tuyển và duy trì sự nhất quán qua nhiều vòng tuyển dụng. Trong các cuộc phỏng vấn video, một số người được cho là đã sử dụng công cụ chép lời trực tiếp và câu trả lời do AI tạo; công cụ dịch cũng được dùng để giải thích các vấn đề về giao tiếp hoặc ngôn ngữ.

Cuộc điều tra còn mô tả việc người vận hành quản lý nhiều danh tính cùng lúc. Công cụ ghi âm cuộc họp và chụp màn hình làm gia tăng rủi ro, bởi chúng có thể để lộ thông tin được trao đổi hoặc hiển thị trong hệ thống của nhà tuyển dụng. Bằng chứng hiện có không cho thấy mọi danh tính đều sử dụng tất cả kỹ thuật này, nhưng sự kết hợp trên cho thấy AI có thể giảm đáng kể thời gian và công sức cần thiết để vận hành nhiều danh tính.

Vì sao một nhân sự giả lại trở thành vấn đề an ninh?

Một nhân viên giả có thể nguy hiểm hơn một ứng viên giả, bởi chính quy trình tuyển dụng đã trao cho họ sự tin cậy. Sau khi vào công ty, người vận hành có thể được tiếp cận mã nguồn, công cụ nội bộ, dữ liệu khách hàng hoặc tài chính, các cuộc thảo luận chiến lược và thông tin xác thực của doanh nghiệp. Mức độ rủi ro phụ thuộc vào vị trí cũng như cơ chế kiểm soát truy cập, nhưng hình thức làm việc từ xa có thể khiến doanh nghiệp khó xác minh ai đang điều khiển tài khoản và thiết bị.

Động cơ tài chính của hoạt động này cũng mang màu sắc địa chính trị. PurpleDelta được liên hệ với hoạt động tạo doanh thu và thu thập thông tin tình báo cho Triều Tiên; các báo cáo về mạng lưới nhân sự công nghệ Triều Tiên rộng hơn cho rằng nguồn thu từ việc làm bất hợp pháp có liên quan đến những chương trình nhà nước bị trừng phạt và hoạt động tài trợ cho vũ khí hủy diệt hàng loạt.

Nghiên cứu rộng hơn của Recorded Future mô tả danh tính tổng hợp là mối đe dọa kép đối với doanh nghiệp: chúng có thể phục vụ gian lận tài chính, đồng thời hỗ trợ né tránh lệnh trừng phạt, tạo doanh thu bất hợp pháp và đánh cắp tài sản trí tuệ.

PurpleDelta liên quan thế nào đến làn sóng lừa đảo việc làm?

PurpleDelta nhắm vào doanh nghiệp thông qua quy trình tuyển dụng, trong khi các vụ lừa đảo việc làm quen thuộc thường nhắm vào người đang tìm việc. Cách thức khác nhau, nhưng cả hai đều khai thác môi trường làm việc từ xa, niềm tin trên mạng và quy trình xác minh danh tính còn lỏng lẻo.

Trong một ví dụ gần đây, BBB North Alabama cảnh báo về các công việc nhập dữ liệu từ xa được quảng bá dưới tên “Parkway Greenhouse LLC”. Những người nộp đơn cho biết họ nhanh chóng nhận được lời mời làm việc, sau đó bị yêu cầu cung cấp thông tin tài khoản ngân hàng.

Tác động đối với người tiêu dùng cũng tăng mạnh. Dữ liệu của Ủy ban Thương mại Liên bang Mỹ (FTC) cho thấy thiệt hại được báo cáo từ các vụ lừa đảo việc làm và công ty môi giới việc làm giả tăng từ 90 triệu USD năm 2020 lên 501 triệu USD năm 2024, trong khi số báo cáo gần như tăng gấp ba trong cùng giai đoạn. Better Business Bureau (BBB) cũng cho biết số khiếu nại về lừa đảo việc làm tăng hơn gấp đôi trong năm 2025 so với năm trước.

Bài học chung cho cả người tìm việc và doanh nghiệp là: một hồ sơ số thuyết phục không chứng minh được đó là người thật, nhà tuyển dụng thật hay vị trí làm việc hợp pháp.

Doanh nghiệp nên xác minh những gì?

Recorded Future khuyến nghị doanh nghiệp xác minh người đứng sau tài khoản, thay vì chỉ kiểm tra giấy tờ, lý lịch hoặc hồ sơ trực tuyến. Một quy trình chặt chẽ hơn nên kết hợp nhiều tín hiệu:

• Danh tính: Tăng cường xác minh, bao gồm kiểm tra khả năng hiện diện trực tiếp qua video hoặc hình thức kiểm tra tình trạng sống, đồng thời đối chiếu với hồ sơ danh tính có thẩm quyền.
• Vị trí: Kiểm tra xem dữ liệu mạng và IP, vị trí địa lý, múi giờ, thông tin trả lương và thuế, cũng như giấy phép lao động có phù hợp với nơi ở mà nhân viên khai báo hay không.
• Thiết bị: Tìm dấu hiệu một thiết bị được lặp lại ở nhiều nhân sự tưởng như không liên quan, dấu vân tay thiết bị bất thường, phần mềm điều khiển từ xa, việc dùng VPN hoặc proxy và các mẫu đăng nhập khác thường.
• Xác minh liên tục: Lặp lại việc kiểm tra danh tính, thiết bị và vị trí sau khi tuyển dụng, đặc biệt khi nhân viên thay đổi tài khoản, thiết bị, thông tin ngân hàng hoặc danh tính khai báo.
• Quyền truy cập tối thiểu: Hạn chế phạm vi hệ thống mà nhân sự mới hoặc nhân sự kết nối từ xa có thể truy cập cho đến khi danh tính và hành vi đã được xác lập rõ ràng.

Các biện pháp này nên được phối hợp thay vì dùng như một bài kiểm tra đạt hoặc trượt duy nhất. Một thiết bị quen thuộc, giấy tờ có vẻ hợp lệ hay một cuộc gọi video thành công đều có thể gây hiểu lầm nếu người vận hành đang điều phối nhiều danh tính.

Bài học lớn đối với tuyển dụng từ xa

PurpleDelta cho thấy việc xác minh danh tính không thể kết thúc ngay khi ứng viên nhận lời mời làm việc. Câu hỏi quan trọng nhất không phải là bản lý lịch có trông chân thực hay không, mà là liệu cùng một người đã được xác minh có đang ở đúng địa điểm đã xác minh và sử dụng đúng thiết bị được cấp phép trong suốt vòng đời làm việc hay không.

Một danh tính giả có thể bị loại bỏ rất dễ dàng. Xóa một tài khoản hoặc một cái tên chưa chắc ngăn được người vận hành quay lại bằng danh tính mới. Việc liên tục kiểm tra danh tính, vị trí, thiết bị và hành vi truy cập giúp doanh nghiệp có cơ hội phát hiện người đứng sau—thay vì chỉ xóa hồ sơ mới nhất.