Skim Penipuan Pekerjaan: Aktiviti pekerja IT

Kajian kes ini pada asalnya diterbitkan dalam laporan OpenAI bertarikh Jun 2025⁠(dibuka dalam tetingkap baru).

Kami mengenal pasti dan menyekat akaun ChatGPT yang dilihat mempunyai kaitan dengan beberapa kempen yang disyaki menipu dalam urusan pekerjaan. Pelaku ancaman ini menggunakan model OpenAI untuk menghasilkan bahan bagi menyokong usaha memohon kerja jarak jauh dalam bidang IT, kejuruteraan perisian dan bidang lain di seluruh dunia yang mungkin melibatkan penipuan.

Walaupun kami tidak dapat menentukan lokasi atau kewarganegaraan pelaku ancaman tersebut, tingkah laku mereka selaras dengan aktiviti yang menurut laporan awam, dikaitkan dengan skim pekerja IT yang mempunyai hubungan dengan Korea Utara (DPRK)⁠(dibuka dalam tetingkap baru). Sesetengah pelaku yang dikaitkan dengan kempen terkini ini mungkin telah diupah sebagai kontraktor oleh kumpulan teras pelaku ancaman yang berkemungkinan mempunyai hubungan dengan DPRK, untuk melaksanakan tugas permohonan kerja dan mengendalikan perkakasan, termasuk di AS.

Seperti pelaku ancaman yang aktivitinya kami kekang dan laporkan pada Februari⁠(dibuka dalam tetingkap baru), kempen terkini ini cuba menggunakan AI pada setiap peringkat proses mendapatkan pekerjaan. Sebelum ini, kami mendapati pelaku ini menggunakan AI secara manual untuk menjana persona yang meyakinkan, selalunya berpangkalan di AS, dengan sejarah pekerjaan rekaan di syarikat terkemuka. Kali ini, mereka cuba mengautomasikan sebahagian proses penjanaan resume. Beberapa petunjuk juga menunjukkan bahawa operator di Afrika menyamar sebagai pemohon kerja, di samping merekrut individu di Amerika Utara untuk mengendalikan komputer riba bagi pihak mereka.

Kami mengesan dua corak aktiviti yang berbeza, yang berkemungkinan mewakili dua jenis operator: operator teras dan kontraktor.

Operator teras cuba mengautomasikan penghasilan resume berdasarkan huraian kerja tertentu, templat kemahiran dan profil persona, serta mencari maklumat tentang pembinaan alat untuk mengurus dan menjejak permohonan kerja. Mereka juga menggunakan model kami untuk menjana kandungan yang menyerupai iklan pekerjaan bagi merekrut kontraktor di pelbagai rantau di dunia.

Operator teras menggunakan ChatGPT sebagai alat penyelidikan untuk membantu merancang persediaan kerja jarak jauh. Mereka juga menggunakan model kami untuk menjana teks tentang perekrutan individu sebenar di AS bagi menerima penghantaran komputer riba syarikat, yang kemudiannya akan diakses dari jauh oleh pelaku ancaman teras atau kontraktor mereka.

Pelaku ancaman tersebut mengkaji penggunaan alat seperti VPN rakan ke rakan Tailscale, OBS Studio, penyuntikan suapan langsung vdo.ninja dan gelung tangkapan HDMI sebagai sebahagian daripada operasi mereka. Alat ini berpotensi digunakan untuk memintas langkah keselamatan korporat. Jika berjaya, alat ini membolehkan seseorang mengekalkan akses jarak jauh secara berterusan tanpa dikesan, serta cuba memintas sesetengah proses pengesahan identiti yang bergantung pada mesyuarat video secara langsung.

Sementara itu, operator yang mungkin bertindak sebagai kontraktor menggunakan ChatGPT untuk membantu menyelesaikan tugas permohonan kerja. Mereka juga menggunakannya untuk menjana kandungan yang menyerupai mesej kepada operator teras, yang bertanyakan tentang bayaran dan persona yang digunakan untuk memohon kerja jarak jauh.

Kami mendapati bahawa pelaku ancaman ini cuba menggunakan model kami untuk menjalankan operasi penipuan. Secara khusus, mereka menggunakan prom, arahan dan gelung automasi yang terperinci untuk menjana resume yang disesuaikan dan meyakinkan pada skala besar.

• Mengautomasikan penghasilan resume terperinci yang disesuaikan dengan pelbagai huraian kerja teknologi, persona dan norma industri: Kejuruteraan Sosial Disokong LLM.

• Menjawab soalan permohonan kerja, menyelesaikan tugasan pengekodan dan menjawab soalan temu duga dalam masa nyata berdasarkan resume yang dimuat naik: Kejuruteraan Sosial Disokong LLM.

• Mencari panduan untuk mengkonfigurasi komputer riba yang dibekalkan oleh syarikat dari jauh supaya kelihatan berada di dalam negara, termasuk kaedah menyamarkan geolokasi dan mengelak kawalan keselamatan titik akhir: Pengelakan Pengesanan Anomali Dipertingkat LLM.

• Membantu mengekod alat untuk menggerakkan tetikus secara automatik atau menghalang komputer daripada memasuki mod tidur dari jauh, mungkin bagi membantu menyediakan infrastruktur kerja jarak jauh: Pembangunan Berbantukan LLM.

Kami tidak dapat menilai kejayaan operasi ini secara bebas kerana penilaian impaknya memerlukan maklumat daripada pelbagai pihak berkepentingan.

Walaupun pelaku ancaman ini berkemungkinan menyepadukan AI dalam setiap peringkat proses mereka untuk meningkatkan kecekapan, tindakan itu juga meningkatkan risiko mereka dikesan. Dengan mendedahkan aliran kerja mereka kepada kami, mereka membolehkan kami berkongsi maklumat tentang kempen ini dengan rakan industri dan pihak berkuasa yang berkaitan pada setiap peringkat aktiviti mereka. Ini meningkatkan keupayaan kolektif kami untuk mengesan, mencegah dan bertindak balas terhadap ancaman sedemikian, di samping memperkukuh keselamatan bersama.