研究人员在多个集群中识别出至少 22 个虚构身份。其中一个集群通过至少 8 个招聘平台向逾 1100 家公司申请职位，每天最多提交 60 份申请。研究人员评估认为，运营者极有可能已被至少 10 家机构雇用。

如此规模显示，这并非零散的简历造假，而是一套可复制的招聘系统。某个身份被发现后，运营者可以迅速调整、替换或重新启用其他身份，继续寻找进入企业的机会。

AI 如何帮助打造“求职者”

这些虚构身份并不只是配上一份假简历。根据 Recorded Future 的调查，运营者将伪造身份与 AI 生成的个人头像、定制化 ChatGPT 助手，以及通过非法渠道获得的身份文件结合使用。

AI 可以帮助他们针对不同职位改写申请材料，并在招聘流程的多个环节保持身份信息的一致性。据报道，在视频面试中，一些运营者使用实时转写和 AI 生成回答；翻译工具则被用于编写解释沟通或语言问题的说辞。

调查还描述了运营者同时管理多个身份的情况。会议录音和屏幕捕捉工具进一步增加了风险，因为这些工具可能暴露雇主系统中展示或讨论的信息。现有证据并不能证明每个虚构身份都使用了所有这些技术，但这些工具的组合说明：AI 正在降低大规模维护多重身份所需的时间和成本。

为什么“假员工”会变成安全问题

假求职者通常只能接触招聘环节；假员工则可能因为正式入职而获得企业信任。一旦进入公司，运营者可能接触源代码、内部工具、客户或财务信息、战略讨论以及公司凭证。实际暴露程度取决于岗位和访问控制，但远程办公会增加核实“究竟是谁在操作该账户和设备”的难度。

这类行动的经济动机还具有地缘政治属性。PurpleDelta 被认为与朝鲜的收入获取和情报收集活动有关；有关朝鲜 IT 劳工网络的报道则将非法就业所得与受制裁的国家项目及大规模杀伤性武器项目资金联系起来。

Recorded Future 的更广泛研究指出，合成身份对企业构成“双重威胁”：它们既能用于大规模金融欺诈，也可能帮助规避制裁、获取非法收入和窃取知识产权。

它与日益增加的就业诈骗有什么关系

PurpleDelta 是通过招聘流程攻击企业，而更常见的就业诈骗则把正在找工作的人作为目标。两者的受害者不同、手法也不同，但都利用了远程招聘、线上信任和身份核验不足等条件。

例如，BBB 北阿拉巴马分会曾警告一起冒用“Parkway Greenhouse LLC”名义的远程数据录入招聘骗局。求职者称自己很快就收到录用通知，随后被要求提供银行账户信息。

就业诈骗对消费者造成的损失也在快速上升。美国联邦贸易委员会（FTC）数据显示，求职和虚假职业介绍机构诈骗的报告损失从 2020 年的 9000 万美元增至 2024 年的 5.01 亿美元，相关报告数量同期接近增长至原来的 3 倍。 Better Business Bureau（BBB）则表示，2025 年就业诈骗投诉较上一年增加了一倍以上。

对招聘市场两端而言，最值得警惕的共同点是：一个看起来真实的数字身份，并不能证明背后是真实的人、真实的雇主，或真实的所在地。

企业应核验什么

Recorded Future 建议，企业应核验“账户背后的人”，而不能只核对身份证件、简历或网络资料。更稳健的流程应结合多个信号：

• 身份： 采用更严格的身份验证，包括实时或视频活体检测，并与权威身份记录进行比对。
• 所在地： 核查网络和 IP 数据、地理位置、时区、薪资与税务信息、工作许可是否与员工申报的所在地一致。
• 设备： 留意不同员工是否反复使用同一设备，检查异常设备指纹、远程控制软件、VPN 或代理，以及不寻常的登录模式。
• 持续验证： 入职后继续复核身份、设备和所在地，尤其是在员工更换账户、设备、收款信息或申报身份时。
• 最小权限： 在身份和行为得到确认前，限制新入职或远程连接员工能够访问的系统和数据范围。

这些措施应当相互配合，而不是依赖某一项检查作出简单的“通过”或“不通过”判断。一个看似熟悉的设备、一份合理的文件，或一次顺利的视频通话，在有人同时协调多个身份时，都可能造成误导。

远程招聘最重要的提醒

PurpleDelta 说明，身份验证不能在求职者接受录用通知后就结束。真正关键的问题不是简历看起来是否真实，而是：从入职到离职的整个生命周期中，是否始终由同一个经过核验的人，在经过核验的地点，使用获授权的设备进行操作。

虚构身份可以被随时弃用。删除一个账户或名字，并不意味着运营者不会换一个身份卷土重来。围绕身份、所在地、设备和访问行为开展持续核验，才更有机会发现背后的实际操作者，而不只是删除最新出现的那个资料。

研究人员在多个集群中识别出至少 22 个虚构身份。其中一个集群通过至少 8 个招聘平台向逾 1100 家公司申请职位，每天最多提交 60 份申请。研究人员评估认为，运营者极有可能已被至少 10 家机构雇用。

如此规模显示，这并非零散的简历造假，而是一套可复制的招聘系统。某个身份被发现后，运营者可以迅速调整、替换或重新启用其他身份，继续寻找进入企业的机会。

AI 如何帮助打造“求职者”

这些虚构身份并不只是配上一份假简历。根据 Recorded Future 的调查，运营者将伪造身份与 AI 生成的个人头像、定制化 ChatGPT 助手，以及通过非法渠道获得的身份文件结合使用。

AI 可以帮助他们针对不同职位改写申请材料，并在招聘流程的多个环节保持身份信息的一致性。据报道，在视频面试中，一些运营者使用实时转写和 AI 生成回答；翻译工具则被用于编写解释沟通或语言问题的说辞。

调查还描述了运营者同时管理多个身份的情况。会议录音和屏幕捕捉工具进一步增加了风险，因为这些工具可能暴露雇主系统中展示或讨论的信息。现有证据并不能证明每个虚构身份都使用了所有这些技术，但这些工具的组合说明：AI 正在降低大规模维护多重身份所需的时间和成本。

为什么“假员工”会变成安全问题

假求职者通常只能接触招聘环节；假员工则可能因为正式入职而获得企业信任。一旦进入公司，运营者可能接触源代码、内部工具、客户或财务信息、战略讨论以及公司凭证。实际暴露程度取决于岗位和访问控制，但远程办公会增加核实“究竟是谁在操作该账户和设备”的难度。

这类行动的经济动机还具有地缘政治属性。PurpleDelta 被认为与朝鲜的收入获取和情报收集活动有关；有关朝鲜 IT 劳工网络的报道则将非法就业所得与受制裁的国家项目及大规模杀伤性武器项目资金联系起来。

Recorded Future 的更广泛研究指出，合成身份对企业构成“双重威胁”：它们既能用于大规模金融欺诈，也可能帮助规避制裁、获取非法收入和窃取知识产权。

它与日益增加的就业诈骗有什么关系

PurpleDelta 是通过招聘流程攻击企业，而更常见的就业诈骗则把正在找工作的人作为目标。两者的受害者不同、手法也不同，但都利用了远程招聘、线上信任和身份核验不足等条件。

例如，BBB 北阿拉巴马分会曾警告一起冒用“Parkway Greenhouse LLC”名义的远程数据录入招聘骗局。求职者称自己很快就收到录用通知，随后被要求提供银行账户信息。

就业诈骗对消费者造成的损失也在快速上升。美国联邦贸易委员会（FTC）数据显示，求职和虚假职业介绍机构诈骗的报告损失从 2020 年的 9000 万美元增至 2024 年的 5.01 亿美元，相关报告数量同期接近增长至原来的 3 倍。 Better Business Bureau（BBB）则表示，2025 年就业诈骗投诉较上一年增加了一倍以上。

对招聘市场两端而言，最值得警惕的共同点是：一个看起来真实的数字身份，并不能证明背后是真实的人、真实的雇主，或真实的所在地。

企业应核验什么

Recorded Future 建议，企业应核验“账户背后的人”，而不能只核对身份证件、简历或网络资料。更稳健的流程应结合多个信号：

• 身份： 采用更严格的身份验证，包括实时或视频活体检测，并与权威身份记录进行比对。
• 所在地： 核查网络和 IP 数据、地理位置、时区、薪资与税务信息、工作许可是否与员工申报的所在地一致。
• 设备： 留意不同员工是否反复使用同一设备，检查异常设备指纹、远程控制软件、VPN 或代理，以及不寻常的登录模式。
• 持续验证： 入职后继续复核身份、设备和所在地，尤其是在员工更换账户、设备、收款信息或申报身份时。
• 最小权限： 在身份和行为得到确认前，限制新入职或远程连接员工能够访问的系统和数据范围。

这些措施应当相互配合，而不是依赖某一项检查作出简单的“通过”或“不通过”判断。一个看似熟悉的设备、一份合理的文件，或一次顺利的视频通话，在有人同时协调多个身份时，都可能造成误导。

远程招聘最重要的提醒

PurpleDelta 说明，身份验证不能在求职者接受录用通知后就结束。真正关键的问题不是简历看起来是否真实，而是：从入职到离职的整个生命周期中，是否始终由同一个经过核验的人，在经过核验的地点，使用获授权的设备进行操作。

虚构身份可以被随时弃用。删除一个账户或名字，并不意味着运营者不会换一个身份卷土重来。围绕身份、所在地、设备和访问行为开展持续核验，才更有机会发现背后的实际操作者，而不只是删除最新出现的那个资料。