Skema penipuan pekerjaan: Aktivitas pekerja TI

Studi kasus ini pertama kali dipublikasikan dalam laporan OpenAI edisi Juni 2025⁠(terbuka di jendela baru).

Kami mengidentifikasi dan memblokir akun-akun ChatGPT yang tampaknya terkait dengan beberapa kampanye yang diduga melakukan penipuan pekerjaan. Para pelaku ancaman ini menggunakan model OpenAI untuk menyusun materi pendukung bagi upaya yang mungkin bersifat menipu untuk melamar pekerjaan TI, rekayasa perangkat lunak, dan pekerjaan jarak jauh lainnya di seluruh dunia.

Meskipun kami tidak dapat memastikan lokasi atau kewarganegaraan para pelaku ancaman tersebut, perilaku mereka selaras dengan aktivitas pekerja TI yang menurut laporan publik terkait dengan skema yang terhubung dengan Korea Utara (DPRK)⁠(terbuka di jendela baru). Sebagian pelaku yang terkait dengan kampanye-kampanye terbaru ini mungkin dipekerjakan sebagai kontraktor oleh kelompok inti pelaku ancaman yang berpotensi terkait dengan DPRK untuk mengerjakan tugas lamaran kerja dan mengoperasikan perangkat keras, termasuk di AS.

Serupa dengan para pelaku ancaman yang aktivitasnya kami hentikan dan kami bahas pada Februari⁠(terbuka di jendela baru), kampanye-kampanye terbaru ini berupaya menggunakan AI di setiap tahap proses mendapatkan pekerjaan. Sebelumnya, kami mengamati para pelaku ini menggunakan AI secara manual untuk membuat persona yang meyakinkan, sering kali mengaku berbasis di AS, dengan riwayat pekerjaan palsu di perusahaan ternama. Kali ini, mereka mencoba mengotomatiskan sebagian proses pembuatan CV. Sejumlah indikator juga mengarah pada adanya operator di Afrika yang menyamar sebagai pelamar kerja, serta perekrutan orang-orang di Amerika Utara untuk menjalankan laptop atas nama mereka.

Kami mendeteksi dua pola aktivitas yang berbeda, yang kemungkinan mewakili dua jenis operator: operator inti dan kontraktor.

Para operator inti berupaya mengotomatiskan pembuatan CV berdasarkan deskripsi pekerjaan tertentu, templat keterampilan, dan profil persona, serta mencari informasi tentang pembuatan alat untuk mengelola dan melacak lamaran kerja. Mereka juga menggunakan model kami untuk menghasilkan konten yang menyerupai iklan lowongan kerja guna merekrut kontraktor di berbagai belahan dunia.

Para operator inti menggunakan ChatGPT sebagai alat riset untuk membantu merancang pengaturan kerja jarak jauh. Mereka juga menggunakan model kami untuk menghasilkan teks tentang perekrutan orang sungguhan di AS guna menerima kiriman laptop perusahaan, yang kemudian akan diakses dari jarak jauh oleh pelaku ancaman inti atau kontraktor mereka.

Para pelaku ancaman meneliti penggunaan alat seperti VPN peer-to-peer Tailscale, OBS Studio, injeksi siaran langsung vdo.ninja, dan loop penangkapan HDMI sebagai bagian dari operasi mereka. Alat-alat ini berpotensi digunakan untuk mengakali langkah-langkah keamanan perusahaan. Jika berhasil, seseorang dapat mempertahankan akses jarak jauh secara terus-menerus tanpa terdeteksi, sekaligus mencoba melewati sejumlah proses verifikasi identitas yang mengandalkan pertemuan video langsung.

Sementara itu, operator yang diduga berperan sebagai kontraktor menggunakan ChatGPT untuk membantu menyelesaikan tugas lamaran kerja. Mereka juga menggunakannya untuk menghasilkan konten yang menyerupai pesan kepada operator inti, berisi pertanyaan tentang pembayaran dan persona yang digunakan untuk melamar pekerjaan jarak jauh.

Kami menyimpulkan bahwa para pelaku ancaman ini berupaya menggunakan model kami untuk menjalankan operasi penipuan. Secara khusus, mereka menggunakan prompt terperinci, instruksi, dan loop otomatisasi untuk menghasilkan CV yang disesuaikan dan meyakinkan dalam skala besar.

• Mengotomatiskan pembuatan CV terperinci yang disesuaikan dengan berbagai deskripsi pekerjaan teknologi, persona, dan norma industri: Rekayasa Sosial dengan Dukungan LLM.

• Menjawab pertanyaan lamaran kerja, mengerjakan tugas pemrograman, dan menjawab pertanyaan wawancara secara langsung berdasarkan CV yang diunggah: Rekayasa Sosial dengan Dukungan LLM.

• Mencari panduan untuk mengonfigurasi laptop dari perusahaan secara jarak jauh agar tampak berlokasi di dalam negeri, termasuk metode penyamaran geolokasi dan pengelakan keamanan endpoint: Pengelakan Deteksi Anomali yang Ditingkatkan dengan LLM.

• Membantu menulis kode alat untuk menggerakkan mouse secara otomatis atau menjaga komputer tetap aktif dari jarak jauh, kemungkinan untuk membantu menyiapkan infrastruktur kerja jarak jauh: Pengembangan Berbantuan LLM.

Kami tidak dapat menilai keberhasilan operasi-operasi ini secara independen karena penilaian dampaknya memerlukan masukan dari berbagai pemangku kepentingan.

Meskipun para pelaku ancaman kemungkinan mengintegrasikan AI ke setiap tahap proses mereka untuk meningkatkan efisiensi, hal itu juga membuat aktivitas mereka lebih mudah terungkap. Dengan memberi kami gambaran tentang seluruh alur kerja mereka, para pelaku memungkinkan kami berbagi temuan tentang kampanye-kampanye ini dengan mitra industri dan pihak berwenang yang relevan untuk setiap tahap aktivitasnya. Hal ini memperkuat kemampuan kolektif kami untuk mendeteksi, mencegah, dan merespons ancaman semacam ini, sekaligus meningkatkan keselamatan bersama.