Betrügerische Bewerbungen: Aktivitäten von IT-Fachkräften

Diese Fallstudie wurde ursprünglich im Bericht von OpenAI vom Juni 2025⁠(wird in einem neuen Fenster geöffnet) veröffentlicht.

Wir identifizierten und sperrten ChatGPT‑Konten, die offenbar mit mehreren mutmaßlichen betrügerischen Bewerbungskampagnen in Verbindung standen. Die Verantwortlichen nutzten Modelle von OpenAI, um Unterlagen für möglicherweise betrügerische Bewerbungen auf weltweite Remote-Stellen in der IT, der Softwareentwicklung und anderen Bereichen zu erstellen.

Wir können zwar weder den Standort noch die Staatsangehörigkeit der Verantwortlichen bestimmen. Ihr Verhalten entsprach jedoch Aktivitäten, die öffentlich Betrugsmaschen mit IT-Fachkräften und Verbindungen zu Nordkorea (DVRK)⁠(wird in einem neuen Fenster geöffnet) zugeschrieben wurden. Einige der an diesen jüngsten Kampagnen beteiligten Personen wurden möglicherweise von der Kerngruppe mit potenziellen Verbindungen zur DVRK beauftragt, Bewerbungsaufgaben zu erledigen und Hardware zu betreiben, unter anderem in den USA.

Bei den jüngsten Kampagnen wurde versucht, KI in jeder Phase des Bewerbungs- und Einstellungsprozesses einzusetzen. Ähnlich gingen die Verantwortlichen vor, deren Aktivitäten wir unterbunden und über die wir im Februar⁠(wird in einem neuen Fenster geöffnet) berichtet hatten. Zuvor hatten wir beobachtet, wie diese Personen KI manuell nutzten, um glaubwürdige Scheinidentitäten zu erstellen. Diese hatten oft einen vorgeblichen Wohnsitz in den USA und erfundene berufliche Stationen bei namhaften Unternehmen. Diesmal versuchten sie, Lebensläufe teilweise automatisiert zu erstellen. Einige Hinweise deuten zudem auf Operatoren in Afrika hin, die sich als Bewerbende ausgaben. Außerdem wurden Menschen in Nordamerika angeworben, um in ihrem Auftrag Laptops zu betreiben.

Wir stellten zwei unterschiedliche Aktivitätsmuster fest, die vermutlich auf zwei Arten von Operatoren zurückgehen: eine Kerngruppe und beauftragte Kräfte.

Die Operatoren der Kerngruppe versuchten, die Erstellung von Lebensläufen anhand bestimmter Stellenbeschreibungen, Kompetenzvorlagen und Scheinprofile zu automatisieren. Außerdem suchten sie nach Informationen zur Entwicklung von Tools, mit denen sich Bewerbungen verwalten und nachverfolgen lassen. Sie nutzten unsere Modelle auch, um Inhalte zu erstellen, die wie Stellenanzeigen zur Anwerbung von Auftragskräften in verschiedenen Teilen der Welt wirkten.

Die Operatoren der Kerngruppe nutzten ChatGPT als Recherchetool, um sich über die technische Einrichtung von Remote-Arbeitsplätzen zu informieren. Außerdem ließen sie unsere Modelle Texte zur Anwerbung realer Personen in den USA erstellen. Diese sollten Firmenlaptops entgegennehmen, auf die die Kerngruppe oder ihre beauftragten Kräfte anschließend aus der Ferne zugreifen würden.

Die Verantwortlichen recherchierten, wie sie Tools und Verfahren wie das Peer-to-Peer-VPN Tailscale, OBS Studio, die Einspeisung von Live-Videostreams mit vdo.ninja und HDMI-Aufzeichnungsschleifen für ihre Aktivitäten nutzen könnten. Diese Tools könnten dazu dienen, Sicherheitsmaßnahmen von Unternehmen zu umgehen. Bei Erfolg würden sie einen dauerhaften, unentdeckten Fernzugriff ermöglichen. Außerdem ließe sich damit versuchen, bestimmte Verfahren zur Identitätsprüfung zu umgehen, die auf Live-Videogesprächen beruhen.

Die möglicherweise als Auftragskräfte tätigen Operatoren nutzten ChatGPT unterdessen, um Aufgaben im Bewerbungsprozess zu erledigen. Sie ließen auch Inhalte erstellen, die wie Nachrichten an die Operatoren der Kerngruppe wirkten. Darin fragten sie nach Zahlungen und den Scheinidentitäten, die für Bewerbungen auf Remote-Stellen verwendet wurden.

Wir stellten fest, dass die Verantwortlichen versuchten, unsere Modelle für eine Täuschungsoperation einzusetzen. Konkret nutzten sie detaillierte Prompts, Anweisungen und Automatisierungsschleifen, um in großem Umfang passgenaue, glaubwürdige Lebensläufe zu erstellen.

• Automatisierte Erstellung detaillierter Lebensläufe, abgestimmt auf unterschiedliche technische Stellenbeschreibungen, Scheinidentitäten und Branchenstandards: LLM-gestütztes Social Engineering.

• Beantwortung von Bewerbungsfragen, Bearbeitung von Programmieraufgaben und Beantwortung von Fragen in Vorstellungsgesprächen in Echtzeit auf Grundlage hochgeladener Lebensläufe: LLM-gestütztes Social Engineering.

• Suche nach Anleitungen zur Fernkonfiguration von Firmenlaptops, um einen Standort im Inland vorzutäuschen, einschließlich Methoden zur Verschleierung des geografischen Standorts und zur Umgehung der Endgerätesicherheit: LLM-gestützte Umgehung der Anomalieerkennung.

• Unterstützung bei der Programmierung von Tools, die die Maus automatisch bewegen oder aus der Ferne verhindern, dass ein Computer in den Ruhezustand wechselt, möglicherweise zum Aufbau einer Infrastruktur für Remote-Arbeit: LLM-gestützte Entwicklung.

Wir können den Erfolg dieser Operationen nicht unabhängig bewerten, da für eine Bewertung der Auswirkungen Informationen mehrerer beteiligter Stellen erforderlich wären.

Die Verantwortlichen integrierten KI vermutlich in jeden Schritt ihres Vorgehens, um effizienter zu arbeiten. Dadurch wurden ihre Aktivitäten allerdings auch sichtbarer. Die Einblicke in ihre gesamten Arbeitsabläufe ermöglichten es uns, Erkenntnisse zu jeder Phase dieser Kampagnen mit relevanten Unternehmen der Branche und Behörden zu teilen. So konnten wir gemeinsam solche Bedrohungen besser erkennen, verhindern und darauf reagieren und zugleich unsere gemeinsame Sicherheit stärken.