北韓「PurpleDelta」用 AI 分身混入遙距招聘，鎖定逾 1,100 間公司

遙距招聘騙案，已經唔只係假職位廣告，誘使求職者交出金錢或者銀行資料。Recorded Future 對「PurpleDelta」的分析顯示，一個與北韓有關的行動，利用虛構身份及 AI 工具，向外國企業申請真正職位，甚至可能成功入職。單一行動集群曾向逾 1,100 間公司遞交申請；整體活動涉及至少 22 個身份，並很可能在至少 10 間機構取得職位。

關鍵分別在於：今次即時目標唔係求職者，而係僱主。一旦成功入職，營運者就可能取得合法公司帳戶、內部系統權限，以及一個受信任的企業身份。

Recorded Future 發現咗乜？

Recorded Future 旗下 Insikt Group 確認多個與 PurpleDelta 有關的活動集群。PurpleDelta 是該機構用來指稱北韓 IT 工作者以欺詐身份求職的名稱。報告所分析的活動，主要發生於 2024 年底至 2025 年初，目標包括軟件及科技公司、招聘及顧問公司，以及醫療和生物科技機構。

研究人員在行動中辨識出至少 22 個虛構身份。其中一個集群透過至少 8 個招聘平台，向逾 1,100 間公司申請職位，每日最多提交 60 份申請。研究人員評估，營運者極有可能已受聘於至少 10 間機構。

呢個規模顯示，事件唔似單純個別人士偽造履歷，而更似一套可以重複運作的招聘系統。當其中一個身份被揭穿，營運者可以換名、改資料，再用另一個身份重新接近企業。

AI 點樣協助建立假身份？

呢批身份唔係靠一份假履歷就完成。根據 Recorded Future 相關調查，營運者把虛構身份，配合 AI 生成的個人頭像、度身設定的 ChatGPT 助手，以及透過非法渠道取得的身份文件。

AI 可以協助針對不同職位修改申請內容，並在招聘過程各階段維持身份資料的一致性。進行視像面試時，部分營運者據報使用即時轉錄及 AI 生成答案；翻譯工具則可協助編寫解釋溝通或語言問題的說法。

調查亦描述，有營運者同時管理多個身份。會議錄音及螢幕擷取工具，更令人擔心企業內部討論和畫面上的資料可能被記錄。現有證據未能證明每一個身份都使用全部技術，但整套做法顯示，AI 正降低同時營運多個假身份所需的時間和成本。

點解「假員工」比「假求職者」更危險？

假員工的威脅，在於入職本身已經替對方建立信任。獲聘後，營運者可能接觸原始碼、內部工具、客戶或財務資料、公司策略討論，以及各類企業帳戶。實際風險取決於職位和公司的權限管理，但遙距工作亦可能令企業更難確認，到底係邊個人在操作帳戶和裝置。

當中的金錢利益亦帶有地緣政治層面。PurpleDelta 與北韓的收入來源及情報搜集活動有關；有關北韓 IT 工作者計劃的報道，亦將非法受聘所得收入，與受制裁的國家項目及大規模殺傷性武器計劃資金聯繫起來。

Recorded Future 另一項研究指出，合成身份對企業構成雙重威脅：既可以用於大規模金融詐騙，亦可能協助逃避制裁、產生非法收入，以及竊取知識產權。

同近期求職騙案有咩關係？

PurpleDelta 係透過招聘流程攻擊公司；大家較熟悉的求職騙案，則主要針對搵工人士。兩者方向唔同，但都利用遙距招聘、網上信任，以及身份核實不足等弱點。

例如，BBB North Alabama 最近警告一宗疑似遙距資料輸入工作騙案。騙徒以「Parkway Greenhouse LLC」名義刊登職位，求職者表示很快收到聘用通知，之後被要求提供銀行帳戶資料。

求職騙案造成的消費者損失亦大幅上升。美國聯邦貿易委員會（FTC）數據顯示，求職及假招聘代理騙案的申報損失，由 2020 年的 9,000 萬美元增至 2024 年的 5.01 億美元；同期申報宗數接近增加 3 倍。 Better Business Bureau（BBB）則表示，2025 年的招聘騙案投訴較前一年增加超過一倍。

對求職者和企業來講，共同教訓都係：一個睇落真實的網上身份，唔代表背後一定係真實人物、真正僱主，或者所聲稱的所在地。

企業應該核實啲乜？

Recorded Future 建議，企業要核實的是帳戶背後的真人，而唔係只睇文件、履歷或網上個人檔案。較完整的流程可以結合以下幾類訊號：

• 身份： 加強身份驗證，包括即時或視像「真人驗證」，並與可靠的官方身份紀錄作比對。
• 所在地： 核對網絡及 IP 資料、地理位置、時區、出糧及稅務資料、工作許可，是否與員工聲稱的所在地吻合。
• 裝置： 留意看似無關的不同新聘員工是否重複使用同一部裝置，亦要檢查異常裝置指紋、遙距控制軟件、VPN 或代理伺服器，以及不尋常的登入模式。
• 持續核實： 入職後繼續重複檢查身份、裝置及所在地；尤其當員工更換帳戶、設備、收款銀行資料，或者聲稱身份出現變更時。
• 最小權限： 新入職或遙距連線的員工，在身份及行為尚未建立可信度前，只授予完成工作所需的最低權限。

以上檢查應該互相配合，而唔係用單一項目作為「通過／不通過」的唯一標準。一部熟悉的裝置、一份合理的文件，甚至一次成功的視像通話，單獨來看都可能具有誤導性，尤其當有人同時協調多個身份。

遙距招聘最重要的提醒

PurpleDelta 說明，身份驗證唔應該在求職者接受聘書嗰一刻就結束。真正重要的問題唔係履歷睇落似唔似真，而係：整個受聘期間，是否一直由同一個已核實的人，在同一個已核實的所在地，使用獲授權的設備操作帳戶？

虛構身份可以隨時棄置。企業刪除一個帳戶或名字，未必可以阻止同一個營運者用新身份再次出現。持續比對身份、所在地、裝置及存取行為，先較有機會揪出背後的操作者，而唔係只刪走最新一個假檔案。