Operation ”Fel nummer”: AI-stött uppgiftsbedrägeri

Den här fallstudien publicerades ursprungligen i OpenAI:s rapport från juni 2025⁠(öppnas i ett nytt fönster).

Vi stängde av ChatGPT‑konton som skapade korta rekryteringsliknande meddelanden på engelska, spanska, swahili, kinyarwanda, tyska och haitisk kreol. I meddelandena erbjöds mottagarna höga löner för triviala uppgifter, som att gilla inlägg på sociala medier, och de uppmanades att rekrytera andra. Operationen verkade vara starkt centraliserad och hade sannolikt sitt ursprung i Kambodja.

Med hjälp av AI-baserade översättningsverktyg kunde vi snabbt utreda och stoppa kampanjens användning av OpenAI:s tjänster.

De flesta av nätverkets kommentarer handlade om översättningsuppgifter. De använde ChatGPT för att översätta vardagliga meningar mellan kinesiska och flera andra språk, främst engelska, spanska, kinyarwanda, swahili, tyska och haitisk kreol. Uppgifterna växlade vanligtvis mellan att översätta ett inkommande meddelande till kinesiska och att översätta ett svar från kinesiska tillbaka till originalspråket.

En del av meddelandena liknade jobbannonser för kallkontakt och erbjöd hög timlön för minimalt arbete. Ett sådant meddelande skickades via SMS till vad som verkade vara en slumpmässig uppsättning brittiska mobilnummer. Ett av dem tillhörde en utredare på OpenAI. Vi har döpt operationen till ”Fel nummer”, efter det första SMS:et.

Hotaktörerna verkade använda flera meddelandeplattformar. Det första SMS:et uppmanade mottagarna att ta kontakt via WhatsApp. De som svarade hänvisades sedan till en ”mentor” på Telegram. I viss aktivitet nämndes även meddelandeappen BonChat. De första introduktionsmeddelandena via dessa kanaler verkade inte ha skapats med våra modeller. De bestod av standardmeddelanden som sannolikt kunde användas i alla konversationer.

Många av översättningsuppgifterna gällde meddelanden som påstods komma från företrädare för olika påstådda ”arbetsgivare”. Samma företagsnamn dök upp upprepade gånger i många av de ChatGPT‑konversationer som omfattades av utredningen. Bland dem fanns Hyesung Advertising⁠(öppnas i ett nytt fönster) och Lightning Shared Scooter Co (LSSC)⁠(öppnas i ett nytt fönster). Enligt offentliga rapporter har Hyesung och LSSC kopplats till misstänkta uppgiftsbedrägerier. Vi har inte själva verifierat vilken typ av verksamhet dessa aktörer bedriver, men vår utredning visade att meddelanden som påstods komma från dem skapades av kinesisktalande ChatGPT‑användare, sannolikt verksamma från Kambodja.

Företagen som nätverket påstod sig företräda fanns i många olika branscher, från aktiehandel och uthyrning av elsparkcyklar till försäljning av gilla-markeringar på sociala medier. En tydlig varningssignal var erbjudandet om mer än 5 dollar för en enda gilla-markering på TikTok. Som jämförelse visade vår manuella granskning av marknadsplatser på nätet att vissa säljare tar mindre än 10 dollar för 1 000 gilla-markeringar.

Genom att kombinera indikatorer utanför plattformen med interna observationer identifierade vi ett återkommande arbetsflöde. För att öka förståelsen för taktiken och förenkla klassificeringen beskriver vi mönstret som pingen (kallkontakt), peppen (väcka entusiasm) och stöten (pressa fram pengar):

1. Pingen (kallkontakt): Nätverket skapar innehåll för oombedd kontakt, vanligtvis med erbjudanden om ovanligt hög lön för minimalt arbete eller löften om hög avkastning på aktieinvesteringar. Erbjudandena omfattar hög ersättning för enkla uppgifter, som att gilla inlägg på sociala medier, eller lukrativa investeringsmöjligheter.

2. Peppen (väcka entusiasm): Nätverket översätter konversationer, sannolikt mellan Operatorn och dennes ”anställda”. Samtalen innehåller praktiska detaljer om uppgifter men varvas ofta med motiverande budskap om inkomster och möjliga bonusar.

3. Stöten (pressa fram pengar): Nätverket skapar och/eller skickar innehåll som pressar den ”anställde” eller ”investeraren” att betala in pengar för att låsa upp större belöningar. Detta sker på flera sätt, bland annat genom en första ”insättning”, köp av kryptovaluta och ”administrationsavgifter”.

Offentliga rapporter⁠(öppnas i ett nytt fönster) tyder på att vissa av företagen tog ut höga inträdesavgifter från nyrekryterade och sedan använde en del av pengarna för att betala befintliga ”anställda” precis tillräckligt för att hålla dem engagerade. Denna struktur är typisk för uppgiftsbedrägerier⁠(öppnas i ett nytt fönster).

Det är svårt att bedöma nätverkets verkliga räckvidd eftersom vår insyn är begränsad. Men rapporter utanför plattformen⁠(öppnas i ett nytt fönster) och konversationer där ”anställda” krävde återbetalning visar att åtminstone vissa personer betalade dessa påstådda arbetsgivare. Vi såg även verkliga användare försvara företagen på sociala medier, vilket tyder på en viss aktivitet i den verkliga världen.