Όταν η Pindrop Security, μια startup που δραστηριοποιείται στον τομέα της φωνητικής ταυτοποίησης, ανήρτησε πρόσφατα μια αγγελία για εργασία, ένας υποψήφιος ξεχώρισε ανάμεσα σε εκατοντάδες άλλους.
Πρόκειται για έναν Ρώσο προγραμματιστή ονόματι Ivan, που φαινόταν να διαθέτει όλα τα απαραίτητα προσόντα για μια ανώτερη τεχνική θέση. Ωστόσο, κατά τη διάρκεια μιας βιντεοκλήσης για τη συνέντευξη, ο υπεύθυνος προσλήψεων της Pindrop παρατήρησε ότι οι εκφράσεις του προσώπου του ήταν ελαφρώς εκτός συγχρονισμού με τα λόγια του.
Ο λόγος; Ο υποψήφιος —που έκτοτε η εταιρεία αποκαλεί “Ivan X”— ήταν απατεώνας, ο οποίος χρησιμοποιούσε λογισμικό deepfake και άλλα εργαλεία τεχνητής νοημοσύνης, προσπαθώντας να εξασφαλίσει μια θέση στην εταιρεία, όπως αποκάλυψε ο CEO και συνιδρυτής της Pindrop, Vijay Balasubramaniyan.
«Η γενετική τεχνητή νοημοσύνη έχει θολώσει τα όρια μεταξύ ανθρώπου και μηχανής», δήλωσε ο Balasubramaniyan.
«Αυτό που βλέπουμε είναι άτομα να χρησιμοποιούν ψεύτικες ταυτότητες, πρόσωπα και φωνές για να εξασφαλίσουν θέσεις εργασίας — μερικές φορές φτάνοντας στο σημείο να αλλάζουν εντελώς πρόσωπο με κάποιον άλλον που εμφανίζεται στην εργασία».
Οι επιχειρήσεις είναι εξοικειωμένες με τις επιθέσεις από χάκερ που προσπαθούν να εκμεταλλευτούν αδυναμίες σε λογισμικό, υπαλλήλους ή συνεργάτες. Τώρα, όμως, μια νέα απειλή αναδύεται: υποψήφιοι που δεν είναι αυτοί που ισχυρίζονται ότι είναι, χρησιμοποιώντας εργαλεία AI για να κατασκευάσουν πλαστές ταυτότητες, πλαστά βιογραφικά και ψεύτικες απαντήσεις σε συνεντεύξεις.
Σύμφωνα με την εταιρεία αναλύσεων Gartner, μέχρι το 2028, 1 στους 4 υποψήφιους παγκοσμίως θα είναι ψεύτικος.
Η ζημιά για μια εταιρεία μπορεί να διαφέρει, ανάλογα με τις προθέσεις του απατεώνα: από εγκατάσταση κακόβουλου λογισμικού για λύτρα, μέχρι κλοπή δεδομένων πελατών, εμπορικών μυστικών ή χρημάτων. Σε άλλες περιπτώσεις, οι απατεώνες απλώς αποσπούν έναν μισθό που υπό κανονικές συνθήκες δεν θα μπορούσαν να κερδίσουν.
Εταιρείες στους τομείς cybersecurity και crypto έχουν παρατηρήσει έκρηξη ψεύτικων αιτήσεων, ιδιαίτερα σε ρόλους εξ αποστάσεως εργασίας.
Ο Ben Sesser, CEO της BrightHire, ανέφερε ότι το φαινόμενο αυτό έχει αυξηθεί δραματικά τον τελευταίο χρόνο. Η BrightHire βοηθά πάνω από 300 επιχειρήσεις στους τομείς των χρηματοοικονομικών, της τεχνολογίας και της υγείας να αξιολογούν υποψήφιους μέσω βίντεο συνεντεύξεων.
«Ο ανθρώπινος παράγοντας είναι συνήθως ο αδύναμος κρίκος στην ασφάλεια, και οι προσλήψεις βασίζονται σε ανθρώπινες διαδικασίες. Αυτό τις καθιστά ευάλωτες», τόνισε ο Sesser.
Το πρόβλημα δεν περιορίζεται στον τεχνολογικό τομέα. Σύμφωνα με κατηγορίες του Υπουργείου Δικαιοσύνης των ΗΠΑ, πάνω από 300 εταιρείες, συμπεριλαμβανομένου τηλεοπτικού δικτύου, αμυντικού εργοστασίου, αυτοκινητοβιομηχανίας και άλλων, προσέλαβαν άθελά τους Βορειοκορεάτες πράκτορες για θέσεις στην πληροφορική.
Οι πράκτορες χρησιμοποίησαν κλεμμένες ταυτότητες και ψηφιακά συστήματα απόκρυψης της τοποθεσίας, ενώ τα έσοδά τους μεταφέρθηκαν για τη χρηματοδότηση του πυρηνικού προγράμματος της Βόρειας Κορέας.
Η Lili Infante, CEO της CAT Labs, μιας startup με έδρα τη Φλόριντα που συνδυάζει κυβερνοασφάλεια και κρυπτονομίσματα, αποκάλυψε ότι:
«Κάθε φορά που αναρτούμε αγγελία, λαμβάνουμε 100 αιτήσεις από Βορειοκορεάτες κατασκόπους. Τα βιογραφικά τους είναι τέλεια – γεμάτα με τα σωστά keywords».
Για την αντιμετώπιση του φαινομένου, η εταιρεία χρησιμοποιεί ειδικές πλατφόρμες ταυτοποίησης, όπως οι iDenfy, Jumio και Socure.
Σύμφωνα με τον Roger Grimes, ειδικό στην κυβερνοασφάλεια, οι ψεύτικοι εργαζόμενοι προέρχονται πλέον από χώρες όπως Ρωσία, Κίνα, Μαλαισία και Νότια Κορέα. Και ειρωνικά, μερικοί από αυτούς αποδίδουν εξαιρετικά στη δουλειά τους:
«Μερικές φορές είναι κακοί, άλλες φορές τόσο καλοί που οι εργοδότες λυπούνται που πρέπει να τους απολύσουν».
Η KnowBe4, εταιρεία κυβερνοασφάλειας, προσέλαβε κατά λάθος έναν Βορειοκορεάτη προγραμματιστή, που πέρασε επιτυχώς τέσσερις συνεντεύξεις και ελέγχους ταυτότητας, πριν εντοπιστεί λόγω ύποπτης δραστηριότητας στον λογαριασμό του.
Παρά τις πρόσφατες υποθέσεις και την εμπλοκή των αρχών, οι περισσότεροι υπεύθυνοι προσλήψεων δεν έχουν ακόμα συνειδητοποιήσει την έκταση του προβλήματος, σύμφωνα με τον Sesser.
«Οι προσλήψεις δεν θεωρούνται “πρώτη γραμμή” στον τομέα της ασφάλειας — και πολλοί δεν καταλαβαίνουν καν ότι έχει ήδη συμβεί στην εταιρεία τους».
Καθώς η ποιότητα των deepfake εργαλείων βελτιώνεται, ο εντοπισμός απατεώνων γίνεται όλο και πιο δύσκολος.
Στην περίπτωση του “Ivan X”, η Pindrop χρησιμοποίησε δικό της σύστημα βίντεο-ταυτοποίησης και αποκάλυψε ότι η IP διεύθυνση του υποψήφιου βρισκόταν κοντά στα ρωσο-βορειοκορεατικά σύνορα – και όχι στη δυτική Ουκρανία, όπως ισχυριζόταν.
«Δεν μπορούμε πια να εμπιστευόμαστε τα μάτια και τα αυτιά μας», τονίζει ο Balasubramaniyan.
«Χωρίς τεχνολογία, είμαστε σαν πίθηκοι που ρίχνουν νόμισμα στην τύχη».
