Serviços de IA Generativa impulsionam golpes de contratação de TI da RPDC

Resumo Executivo

Nos últimos meses, a Okta Threat Intelligence conduziu uma pesquisa aprofundada sobre serviços online usados por indivíduos identificados pelas autoridades dos EUA e terceiros confiáveis como agentes da República Popular Democrática da Coreia (RPDC).

Membros de nossa equipe publicaram agora um conjunto de observáveis relacionados a esses dispositivos, que estão disponíveis para contatos de segurança de clientes autenticados em security.okta.com. Observe que esses dispositivos podem ser usados para fins legítimos - ou não autorizados, mas benignos - por funcionários e, por si só, não são um indicador de atividade da RPDC.

História

Esquemas fraudulentos de trabalhadores de TI

Várias prisões e indiciamentos (ver Apêndice B) revelaram a escala em que indivíduos operando em nome da RPDC foram mobilizados para países vizinhos para obter emprego fraudulento em organizações em todo o mundo.

O principal objetivo desses esquemas é arrecadar fundos para a RPDC e compensar as significativas sanções financeiras aplicadas ao regime norte-coreano. As agências dos EUA também identificaram vários casos atípicos em que o acesso aos sistemas fornecidos para emprego foi usado para facilitar a espionagem ou extorsão de dados.

Os alvos desses esquemas fraudulentos parecem oportunistas e baseados na disponibilidade de funções técnicas remotas. Os empregadores mais em risco são empresas de tecnologia que são mais propensas a aceitar candidatos remotos para funções de TI ou engenharia de software, geralmente de forma contingente. No entanto, essas campanhas também se estendem a verticais do setor muito além do setor de tecnologia.

Okta Threat Intelligence utilizou indicadores associados a facilitadores e agentes conhecidos da RPDC para rastrear o uso de aplicativos GenAI. Também trabalhamos com clientes e parceiros altamente visados para desenvolver controles preventivos para este modelo de ameaça exclusivo. No processo, a Okta revisou seus próprios processos de integração, compartilhou materiais de conscientização e desenvolveu inúmeros métodos de detecção.

A pesquisa teve uma influência direta nas melhorias de recursos incorporadas ao Okta Workforce Identity, como os serviços de verificação de identidade, que os clientes da Okta podem usar para reduzir sua exposição a essa ameaça. Estes são discutidos na seção “Controles de Mitigação” deste aviso.

Os Facilitadores

Nossa compreensão desta ameaça é moldada pela visão única que o Okta Threat Intelligence pode obter sobre as ferramentas usadas por aqueles indivíduos identificados como “facilitadores” de esquemas de emprego fraudulentos.

Esses facilitadores fornecem o suporte necessário no país, a infraestrutura técnica e/ou a cobertura comercial legítima para ajudar pessoas de países sancionados a obter e manter emprego.

Facilitadores detidos pelas autoridades policiais nos Estados Unidos são acusados de ter fornecido conscientemente uma gama de Serviços de suporte a cidadãos da RPDC:

• Assistência direta no processo de recrutamento
• Um endereço nacional para o envio de dispositivos fornecidos pela empresa
• Acesso a documentos de identidade legítimos
• Operando dispositivos emitidos pela empresa em nome do trabalhador remoto
• Instalação de ferramentas de gerenciamento e monitoramento remoto (RMM) no dispositivo para facilitar o trabalho remoto
• Autenticando, quando necessário, em nome do funcionário remoto

Uma operação de “fazenda de laptops” com sede no Arizona exposta em maio de 2024 supostamente ajudou na colocação de mais de 300 pessoas em cargos técnicos nos Estados Unidos. Em outro indiciamento de janeiro de 2025, dois residentes dos EUA foram acusados de obter fraudulentamente emprego e operar uma fazenda de laptops na Carolina do Norte para cidadãos da RPDC, depois que eles conseguiram emprego em 64 organizações.

A Okta agora pode revelar o grau em que os facilitadores de esquemas de trabalho fraudulentos dependem de serviços aprimorados por GenAI emergentes para escalar suas operações.

O papel da IA

Usando IA generativa para “testar e aprender”

Nos últimos meses, indivíduos fortemente suspeitos de serem personas criadas pela RPDC foram registados a utilizar vídeo "deepfake" em tempo real durante entrevistas. 

A pesquisa de Okta Threat Intelligence observou um conjunto muito mais amplo de serviços GenAI usados nesses esquemas, sugerindo uma tentativa muito deliberada por parte dos facilitadores de acompanhar a inovação em IA. Os facilitadores agora estão usando ferramentas baseadas em GenAI para otimizar cada etapa do processo de candidatura e entrevista para funções e para ajudar os cidadãos da RPDC a manter este emprego.

Foram observados facilitadores usando serviços baseados em GenAI especializados em:

• Mensagens unificadas
• Plataformas de recrutamento
• Triagem de currículos/CVs
• Gerenciamento de candidatos
• Triagem automatizada de empregos
• Chatbots baseados em IA
• Treinamento de código de IA
• Envio online

Embora a Okta Threat Intelligence não consiga observar as atividades dos facilitadores para além da página de login, a estreita gama de funcionalidades oferecida por muitas destas ferramentas permite-nos formular hipóteses sobre alguns casos de uso prováveis, que são apresentados na tabela abaixo.

Tabela 1: Serviços aprimorados por IA e outras ferramentas usadas por facilitadores de campanhas de “wagemole” da RPDC

Casos de uso para ferramentas aprimoradas por IA

1. Mensagens Unificadas

Um dos desafios mais exigentes para os facilitadores é como gerenciar as comunicações multicanal em nome de dezenas de candidatos de países sancionados e suas múltiplas personas.

O Okta Threat Intelligence observou o uso de serviços de mensagens unificadas para gerenciar várias contas simultâneas de telefones celulares, mensagens instantâneas e e-mail, bem como outros serviços de bate-papo relacionados.

Esses serviços de mensagens unificadas usam GenAI para transcrever ou resumir conversas e fornecer tradução em tempo real de voz e texto. Eles parecem ser fundamentais para ajudar um grupo relativamente pequeno de facilitadores a agendar entrevistas de emprego com várias personas de candidatos da RPDC.

2. Plataformas de recrutamento

Facilitadores e candidatos fazem uso extensivo de plataformas de procura de emprego para se candidatarem a vagas. Mais surpreendente foi o uso de plataformas de recrutamento aprimoradas por IA, normalmente usadas por recrutadores (não por candidatos), provavelmente numa tentativa de ampliar o alcance e a precisão dos anúncios de emprego.

O acesso a essas ferramentas oferece aos facilitadores oportunidades de anunciar funções em empresas de fachada que são semelhantes, se não idênticas, às anunciadas pelas organizações visadas, a fim de estudar as cartas de apresentação e os currículos de candidatos legítimos. Os currículos e as cartas de apresentação de candidatos a emprego legítimos podem até fazer parte de um conjunto de treinamento para otimizar futuras candidaturas feitas em nome de trabalhadores da RPDC.

Em escala, essas técnicas melhoram drasticamente o sucesso potencial das candidaturas de emprego, efetivamente usando as próprias ferramentas dos recrutadores contra eles em escala.

3. Triagem de currículos/CVs

O Okta Threat Intelligence avalia que os facilitadores são altamente motivados a gerar cartas de apresentação, currículos e entrevistas bem-sucedidas e abordar quaisquer critérios específicos em um determinado aplicativo.

Observou-se que os facilitadores utilizavam serviços que fornecem “Superpoderes de IA” aos candidatos a emprego para ajudá-los a “enganar os robôs dos empregadores”, a fim de melhorar as chances de uma candidatura de emprego progredir com sucesso nas verificações automatizadas de CV/currículos usadas em plataformas de recrutamento.

Esses serviços utilizam agentes da GenAI para testar currículos enviados em comparação com o ATS (software de rastreamento de candidatos), iterando até obter um resultado melhor e aprendendo quais perfis terão mais sucesso em determinada função.

4. Gerenciamento de candidatos

O Okta Threat Intelligence observou serviços que usam agentes GenAI para automatizar o processo de preenchimento de formulários de candidatura em nome dos candidatos e para rastrear o progresso dos candidatos ao longo do processo de candidatura.

Novamente, esses recursos abordam o desafio de facilitar candidaturas de emprego e emprego em nome de vários indivíduos e suas múltiplas personas em vários fusos horários.

5. Simulações de entrevistas

Uma vez que um aplicativo é bem-sucedido, a próxima tarefa para os facilitadores é preparar seus candidatos (ou o próprio facilitador, em alguns casos) para entrevistas de emprego.

Observou-se que os facilitadores usavam serviços aprimorados por IA que implantam agentes GenAI para hospedar e gravar entrevistas da primeira rodada em nome dos empregadores, depois criticam e oferecem dicas de melhoria para o entrevistado.

Esses serviços automatizados de "revisão de entrevista de webcam baseada em IA" afirmam auxiliar no uso adequado de iluminação, filtros de vídeo e na abordagem do candidato à conversa.

O Okta Threat Intelligence avalia que as simulações de entrevistas encenadas por agentes de IA podem ser usadas para avaliar a eficácia das sobreposições deepfake e de respostas altamente roteirizadas a perguntas comuns, para diminuir a chance de sua decepção ser descoberta.

6. Chatbots baseados em LLM

Embora a maioria dos aplicativos GenAI usados pelos facilitadores esteja diretamente relacionada ao treinamento e recrutamento, o Okta Threat Intelligence também os observou fazendo login constantemente em chatbots baseados em LLM.

Analisando padrões de atividade, essas ferramentas GenAI generalizadas parecem ser amplamente utilizadas em todo o processo de recrutamento, bem como por candidatos bem-sucedidos, uma vez que conseguem emprego.

7. Serviços de treinamento de código

Também foi observado que os candidatos se inscreveram em serviços gratuitos que oferecem treinamento em linguagens de desenvolvimento específicas e ferramentas de IA. Essas plataformas de treinamento oferecem uma conscientização superficial sobre habilidades de desenvolvimento desconhecidas exigidas por uma organização contratante na entrevista e o mínimo necessário para manter o emprego pelo maior tempo possível.

“Usuários avançados” de IA

Os facilitadores empregam extensivamente ferramentas aprimoradas por IA para ajudar trabalhadores com habilidades mínimas e que não são falantes nativos de inglês a manterem posições de engenharia de software, permitindo que eles canalizem os ganhos para o regime sancionado da Coreia do Norte (DPRK). A escala das operações observadas sugere que mesmo o emprego de curto prazo por algumas semanas ou meses, quando dimensionado com automação e GenAI, pode apresentar uma oportunidade econômica viável para a DPRK.

Controles de mitigação

Para mitigar a ameaça representada por essas campanhas, a Okta Threat Intelligence recomenda:

Verificação de Identidade

Os esquemas de trabalhadores de TI da RPDC exploram a natureza fragmentada dos processos de contratação em grandes organizações. A maioria das organizações hoje usa fornecedores, parceiros, freelancers e trabalhadores contingentes extensivamente como parte de sua empresa estendida.

As organizações são mais vulneráveis quando a verificação de identidade é realizada em silos em diferentes etapas do processo de contratação. O risco aumenta ainda mais quando agências de emprego externas são contratadas para executar uma ou mais das tarefas críticas do processo - seja anunciando uma posição, conduzindo entrevistas, lidando com contratos ou com a logística de integração de um novo trabalhador contingente. Em qualquer etapa deste processo, surgem oportunidades para facilitadores locais pagos fornecerem documentação de verificação - ou mesmo para participarem de uma entrevista - para ajudar um candidato a prosseguir para a próxima etapa.

O Okta Workforce Identity agora inclui métodos para adicionar um serviço de verificação de identidade como um provedor de identidade. Um serviço de verificação de identidade de terceiros normalmente solicita que um usuário forneça um documento de identidade emitido pelo governo e solicita que ele tire uma selfie para satisfazer uma verificação de vivacidade. Quando configurado como um provedor de identidade no Okta, você pode configurar a solução para ser aplicada durante os momentos mais arriscados no ciclo de vida de um usuário, como recrutamento, integração de usuário e recuperação da conta.

Recomendamos que a verificação de identidade seja aplicada de forma consistente, desde o processamento de aplicações, passando por entrevistas, aceitação de ofertas, assinatura de contratos e integração. Cada revalidação sucessiva da identidade de um indivíduo cria uma “cadeia de confiança” ao longo do processo.

A Okta configurou recentemente uma integração com a Persona, um serviço líder de verificação de identidade, para proteger os fluxos de inscrição e recuperação de autoatendimento para nossos próprios funcionários e prestadores de serviços. Esta implementação, que é descrita em detalhes em um artigo no blog, informou a abordagem que a Okta agora recomenda aos clientes.

Treinamento e relatórios

A identificação de atividades fraudulentas de emprego exige parcerias profundas entre as equipes de segurança, as equipes de talentos e as funções de compras para garantir que as verificações de antecedentes e a verificação de identidade sejam realizadas de forma consistente, independentemente de o candidato estar sendo contratado ou contratado por meio de terceiros.

Os seguintes sinais de alerta são comuns, mas não exclusivos, a aplicativos fraudulentos para emprego. Dado que os indivíduos envolvidos nesses esquemas evoluíram significativamente suas técnicas ao longo do tempo para melhorar sua taxa de sucesso, prevemos a necessidade de adaptar e adicionar continuamente a esta lista.

Sinais de alerta (treinamento e relatório)

Durante o recrutamento:

• Um candidato expressa preferência por aplicativos baseados em chat em vez de chamadas de voz e vídeo, citando cobertura de internet ruim ou outros pretextos semelhantes.
• Um candidato fornece dados inconsistentes em vários estágios do processo (nome, localização, informações de contato, formação e histórico profissional)
• Os metadados da videoconferência remota colocam o candidato em um local acentuadamente diferente do que foi fornecido em seu aplicativo
• Um candidato parece estar utilizando ferramentas GenAI para responder a perguntas durante o processo de entrevista.
• Um candidato fornece respostas para perguntas comuns que parecem ser roteirizadas
• O rosto de um candidato parece ser alterado digitalmente em tempo real e ele se recusa quando desafiado a levantar uma mão ou objeto na frente de seu rosto.

Durante a oferta:

• Um candidato bem-sucedido está disposto a aceitar taxas mais baixas pelo seu trabalho ou a procurar métodos de pagamento não ortodoxos
• Um candidato aprovado solicita uma alteração nos endereços de entrega de dispositivos emitidos pela empresa
• As informações fornecidas durante as verificações de antecedentes são inconsistentes com as informações fornecidas na inscrição do candidato (como formação acadêmica, histórico de emprego ou localização)

Durante a integração e emprego:

• Um prestador de serviços ou funcionário está frequentemente indisponível para chamadas de vídeo agendadas com colegas, muitas vezes usando emergências familiares ou doenças como motivo
• Um prestador de serviços ou funcionário não está disposto a mostrar seu histórico quando solicitado a aparecer em videochamadas
• Um prestador de serviços ou funcionário tem dificuldades intermitentes para fazer login nos sistemas da empresa
• Um prestador de serviços ou funcionário demonstra um desempenho fraco em relação às competências e capacidades avaliadas durante o processo de entrevista
• As horas trabalhadas por um prestador de serviços ou funcionário são inconsistentes com o horário comercial ou o fuso horário em que foram contratados
• Um prestador de serviços ou funcionário solicita alterações nas informações de pagamento, devido a problemas com sua conta bancária