Operation »Forkert nummer«: AI-understøttet opgavesvindel

Denne casestudie blev oprindeligt offentliggjort i OpenAIs rapport fra juni 2025⁠(åbner i et nyt vindue).

Vi udelukkede ChatGPT‑konti, der genererede korte rekrutteringslignende beskeder på engelsk, spansk, swahili, kinyarwanda, tysk og haitisk kreolsk. Beskederne tilbød modtagerne høje lønninger for banale opgaver såsom at like opslag på sociale medier og opfordrede dem til at rekruttere andre. Operationen virkede stærkt centraliseret og stammede sandsynligvis fra Cambodja.

Ved hjælp af AI-baserede oversættelsesværktøjer kunne vi hurtigt undersøge og afbryde kampagnens brug af OpenAIs tjenester.

Størstedelen af netværkets kommentarer drejede sig om oversættelsesopgaver. De brugte ChatGPT til at oversætte samtalesætninger mellem kinesisk og flere andre sprog, især engelsk, spansk, kinyarwanda, swahili, tysk og haitisk kreolsk. Opgaverne bestod typisk skiftevis i at oversætte en indgående besked til kinesisk og oversætte et svar fra kinesisk tilbage til originalsproget.

Nogle af beskederne lignede uopfordrede jobannoncer, der tilbød en høj timeløn for en minimal arbejdsindsats. En sådan besked blev sendt via sms til et tilsyneladende tilfældigt udvalg af britiske mobilnumre, hvoraf ét tilhørte en OpenAI-efterforsker. Vi har opkaldt operationen »Forkert nummer« efter den første sms.

Trusselsaktørerne så ud til at benytte flere beskedplatforme. Den første sms bad modtagerne om at fortsætte samtalen på WhatsApp, hvorefter de, der svarede, blev sendt videre til en »mentor« på Telegram. I nogle aktiviteter blev beskedappen BonChat også nævnt. De første introduktionsbeskeder via disse kanaler så ikke ud til at være genereret med vores modeller. De bestod af standardbeskeder, som sandsynligvis kunne bruges i alle samtaler.

Mange af oversættelsesopgaverne omfattede kommunikation, der angiveligt kom fra repræsentanter for formodede »arbejdsgivervirksomheder«. De samme virksomhedsnavne dukkede gentagne gange op i mange af de ChatGPT‑samtaler, som undersøgelsen omfattede. Disse omfattede Hyesung Advertising⁠(åbner i et nyt vindue) og Lightning Shared Scooter Co (LSSC)⁠(åbner i et nyt vindue). Offentlige rapporter har identificeret Hyesung og LSSC som mulige opgavesvindelordninger. Selvom vi ikke selvstændigt har verificeret disse enheders karakter, viste vores undersøgelse, at beskeder, der angiveligt kom fra dem, blev genereret af kinesisktalende ChatGPT‑brugere, som sandsynligvis opererede fra Cambodja.

De virksomheder, som netværket hævdede at repræsentere, dækkede en lang række brancher, fra aktiehandel og udlejning af løbehjul til salg af likes på sociale medier. Et tydeligt advarselstegn var tilbuddet om at betale mere end 5 USD for et enkelt like på TikTok. Til sammenligning viste vores manuelle gennemgang af onlinemarkedspladser, at nogle sælgere af likes på sociale medier tager under 10 USD for 1.000 likes.

Ved at kombinere indikatorer uden for platformen med interne observationer identificerede vi et tilbagevendende procesmønster. For at øge forståelsen af denne taktik og gøre den lettere at klassificere beskriver vi mønstret som: kontakten (uopfordret henvendelse), gejsten (skab begejstring) og fælden (få penge ud af offeret):

1. Kontakten (uopfordret henvendelse): Netværket genererer indhold til uopfordrede henvendelser, som typisk tilbyder usædvanligt høje lønninger for en minimal arbejdsindsats eller lover høje afkast på aktieinvesteringer. Tilbuddene omfatter høj betaling for enkle opgaver såsom at like opslag på sociale medier eller lukrative investeringsmuligheder.

2. Gejsten (skab begejstring): Netværket oversætter samtaler, sandsynligvis mellem operatoren og dennes »medarbejdere«. Samtalerne indeholder praktiske oplysninger om opgaverne, men afbrydes ofte af motiverende budskaber om indtjening og mulige bonusser.

3. Fælden (få penge ud af offeret): Netværket genererer og/eller sender indhold, der presser »medarbejderen« eller »investoren« til at indbetale penge for at få adgang til større belønninger. Det sker på flere måder, blandt andet gennem et indledende »depositum«, køb af kryptovaluta og »ekspeditionsgebyrer«.

Offentlige rapporter⁠(åbner i et nyt vindue) tyder på, at nogle af virksomhederne opkrævede betydelige indmeldelsesgebyrer fra nye rekrutter og derefter brugte en del af pengene til at betale eksisterende »medarbejdere« netop nok til at fastholde deres engagement. Denne struktur er karakteristisk for opgavesvindel⁠(åbner i et nyt vindue).

Det er svært at fastslå netværkets reelle rækkevidde, fordi vores indsigt er begrænset. Rapporter uden for platformen⁠(åbner i et nyt vindue) og samtaler, hvor »medarbejdere« krævede pengene tilbage, tyder dog på, at i hvert fald nogle personer betalte disse formodede arbejdsgivere. Vi observerede også reelle brugere, som forsvarede virksomhederne på sociale medier, hvilket tyder på en vis aktivitet i den virkelige verden.