Misleidende sollicitatiepraktijken: activiteiten van IT-medewerkers

Deze casestudy verscheen oorspronkelijk in het OpenAI-rapport van juni 2025⁠(opent in een nieuw venster).

We identificeerden en blokkeerden ChatGPT‑accounts die verband hielden met wat leek op meerdere vermoedelijk misleidende sollicitatiecampagnes. Deze kwaadwillende actoren gebruikten de modellen van OpenAI om materiaal te maken ter ondersteuning van mogelijk frauduleuze sollicitaties naar banen op afstand in IT, softwareontwikkeling en andere vakgebieden over de hele wereld.

Hoewel we de locaties of nationaliteiten van deze kwaadwillende actoren niet kunnen vaststellen, kwam hun gedrag overeen met activiteiten die in openbare bronnen worden toegeschreven aan fraudeconstructies met IT-medewerkers die banden hebben met Noord-Korea (DPRK)⁠(opent in een nieuw venster). Sommige actoren die aan deze recente campagnes waren gelinkt, waren mogelijk als opdrachtnemer ingehuurd door de kerngroep van kwaadwillende actoren met mogelijke banden met Noord-Korea, om sollicitatietaken uit te voeren en hardware te bedienen, onder meer in de VS.

Net als de kwaadwillende actoren van wie we de activiteiten verstoorden en over wie we in februari⁠(opent in een nieuw venster) schreven, probeerden de actoren achter de nieuwste campagnes AI in te zetten bij elke stap op weg naar een baan. Eerder zagen we dat deze actoren AI gebruikten om handmatig geloofwaardige fictieve identiteiten te genereren, vaak met de VS als woonplaats en met verzonnen werkervaring bij vooraanstaande bedrijven. Dit keer probeerden ze het genereren van cv's deels te automatiseren. Sommige signalen wijzen daarnaast op operators in Afrika die zich voordeden als sollicitanten, en op het werven van mensen in Noord-Amerika om namens hen laptops te bedienen.

We ontdekten twee verschillende soorten activiteiten, die waarschijnlijk wijzen op twee typen operators: kernoperators en opdrachtnemers.

De kernoperators probeerden het opstellen van cv's te automatiseren op basis van specifieke functieomschrijvingen, vaardigheidssjablonen en fictieve persoonsprofielen. Ook zochten ze informatie over het bouwen van tools om sollicitaties te beheren en bij te houden. Ze gebruikten onze modellen ook om teksten te genereren die leken op vacatures voor het werven van opdrachtnemers in verschillende delen van de wereld.

De kernoperators gebruikten ChatGPT als onderzoekstool om informatie te verzamelen voor het inrichten van werkplekken op afstand. Ze gebruikten onze modellen ook om tekst te genereren over het werven van echte personen in de VS om bedrijfslaptops in ontvangst te nemen. De kwaadwillende actoren uit de kerngroep of hun opdrachtnemers zouden vervolgens op afstand toegang krijgen tot die laptops.

De kwaadwillende actoren onderzochten hoe ze tools zoals de peer-to-peer-VPN Tailscale, OBS Studio, livefeed-injectie via vdo.ninja en HDMI-captureloops konden inzetten voor hun activiteiten. Deze tools kunnen worden gebruikt om beveiligingsmaatregelen van bedrijven te omzeilen. Als dat lukt, kan iemand daarmee langdurig en onopgemerkt op afstand aanwezig blijven en proberen bepaalde identiteitscontroles op basis van live videogesprekken te omzeilen.

De operators die mogelijk als opdrachtnemer werkten, gebruikten ChatGPT ondertussen om sollicitatietaken uit te voeren. Ze gebruikten het ook om teksten te genereren die leken op berichten aan de kernoperators, met vragen over betalingen en over de fictieve identiteiten waarmee ze solliciteerden naar banen op afstand.

We stelden vast dat deze kwaadwillende actoren onze modellen probeerden te gebruiken voor een misleidende operatie. Ze gebruikten met name gedetailleerde prompts, instructies en automatiseringslussen om op grote schaal geloofwaardige cv's op maat te genereren.

• Het automatisch opstellen van gedetailleerde cv's, afgestemd op uiteenlopende technische functieomschrijvingen, fictieve identiteiten en branchenormen: social engineering met ondersteuning van een LLM.

• Het beantwoorden van sollicitatievragen, het uitvoeren van programmeeropdrachten en het in realtime beantwoorden van vragen tijdens sollicitatiegesprekken op basis van geüploade cv's: social engineering met ondersteuning van een LLM.

• Het zoeken naar advies om bedrijfslaptops op afstand zo te configureren dat ze zich in het land van de werkgever lijken te bevinden, inclusief methoden om de geolocatie te maskeren en endpointbeveiliging te omzeilen: het omzeilen van anomaliedetectie met behulp van een LLM.

• Hulp bij het programmeren van tools die de muis automatisch bewegen of op afstand voorkomen dat een computer in de slaapstand gaat, mogelijk ter ondersteuning van de infrastructuur voor werken op afstand: ontwikkeling met ondersteuning van een LLM.

We kunnen niet onafhankelijk beoordelen hoe succesvol deze operaties waren, omdat we voor een beoordeling van de impact informatie van meerdere betrokken partijen nodig hebben.

De kwaadwillende actoren hebben waarschijnlijk AI in elke stap van hun proces geïntegreerd om efficiënter te werken, maar daarmee werden hun activiteiten ook zichtbaarder. Doordat ze ons inzicht gaven in hun volledige werkprocessen, konden we voor elke fase van hun activiteiten informatie over deze campagnes delen met relevante branchegenoten en autoriteiten. Zo konden we ons gezamenlijke vermogen versterken om zulke dreigingen te detecteren, te voorkomen en erop te reageren, en tegelijk onze gezamenlijke veiligheid vergroten.