چگونه کارمند دورکار جعلی به دسترسی سازمانی و اطلاعات حساس می‌رسد؟
وزارت امور خارجه ایالات متحده در جولای با انتشار هشداری اعلام کرد برخی کارکنان فناوری اطلاعات کره شمالی با جعل هویت اتباع کشورهای دیگر، برای دستیابی به فرصت‌های شغلی اقدام می‌کنند. این افراد پس از استخدام، درآمد خود را به نهادهای مرتبط در کره شمالی منتقل می‌کنند.
اداره تحقیقات فدرال آمریکا (FBI) نیز هشدار داده است که کارمند دورکار جعلی ممکن است از دسترسی خود برای کپی‌کردن مخازن کد منبع، استخراج اطلاعات اختصاصی از سازمان و تسهیل سایر فعالیت‌های مجرمانه سایبری استفاده کند. برخی از این افراد پس از شناسایی یا اخراج، با تهدید به انتشار کدها و داده‌های سرقت‌شده، تلاش کرده‌اند از کارفرمایان خود اخاذی کنند.
این نوع عملیات، فاصله میان بررسی هویت و اطمینان از هویت واقعی فردی که از یک حساب کاربری استفاده می‌کند را آشکار می‌کند. برای مثال، ممکن است رزومه یک متقاضی معتبر به نظر برسد و لپ‌تاپ سازمانی نیز به آدرسی تأییدشده ارسال شود؛ اما هیچ‌کدام از این موارد به‌تنهایی ثابت نمی‌کند فردی که در مصاحبه حضور داشته، همان کسی است که دستگاه را تحویل گرفته و در نهایت با حساب سازمانی وارد سیستم شده است.
در چنین شرایطی، چالش اصلی کارشناسان سرویس دسک (Service Desk) این است که مطمئن شوند فردی که درخواست دسترسی دارد، همان نیروی جدید و مورد تأیید سازمان است و هویت واقعی او با اطلاعات ثبت‌شده مطابقت دارد.
تاکتیک‌های دور زدن کنترل‌های استخدامی
عملیات مرتبط با نیروهای جعلی معمولاً با ترکیبی از جعل هویت، ایجاد سوابق حرفه‌ای ساختگی، پنهان‌کردن موقعیت جغرافیایی و سوءاستفاده از واسطه‌ها پیش می‌رود که مهم‌ترین آن‌ها عبارتند از:
- تغییر ملیت یا هویت: یکی از تاکتیک‌های کلیدی کارکنان فناوری اطلاعات کره شمالی، جعل اطلاعات هنگام ثبت‌نام در پلتفرم‌های آنلاین است. این روش می‌تواند شامل جعل مدارک شناسایی، جعل هویت فردی دیگر یا استفاده از یک واسطه برای ثبت حساب کاربری باشد.
- ایجاد پروفایل‌های جعلی با کمک هوش مصنوعی: کارمند دورکار جعلی ممکن است برای معتبر جلوه‌دادن هویت خود، پروفایل‌های حرفه‌ای و حساب‌های شبکه‌های اجتماعی ساختگی ایجاد کند. در این فرآیند از هوش مصنوعی (AI) برای شبیه‌سازی لحن، سبک نگارش و نحوه ارتباط متخصصان واقعی حوزه فناوری اطلاعات استفاده می‌شود.
- استفاده از روش‌های غیرمعمول برای دریافت حقوق: برخی نیروهای جعلی تلاش می‌کنند از واریز مستقیم حقوق به حساب خودداری کنند و به روش‌هایی مانند انتقال وجه یا رمزارز روی بیاورند. همچنین گزارش‌هایی از استفاده کارکنان فناوری اطلاعات کره شمالی از حساب‌های بانکی افراد دیگر برای دریافت حقوق منتشر شده است؛ به این صورت که در ازای استفاده از حساب، مبلغی به صاحب آن پرداخت می‌کنند.
- پنهان‌کردن موقعیت جغرافیایی: ابزارهایی مانند VPN و نرم‌افزارهای دسکتاپ از راه دور (Remote Desktop Software) می‌توانند برای مخفی‌کردن موقعیت واقعی فرد و پنهان‌کردن این واقعیت استفاده شوند که او از خارج از کشور مشغول به کار است.
- استفاده از واسطه‌های خارج از کشور: برخی نیروهای جعلی برای دریافت و راه‌اندازی تجهیزات سازمانی از افراد واسطه در کشوری که خود را مقیم آن معرفی کرده‌اند، کمک می‌گیرند. در این روش، رایانه‌ای که کارفرما در اختیار نیروی جدید قرار می‌دهد، به آدرسی در همان کشور ارسال می‌شود و واسطه آن را روشن و به اینترنت متصل نگه می‌دارد. سپس فردی که در خارج از آن کشور حضور دارد، با استفاده از دسترسی به دسکتاپ از راه دور دستگاه را کنترل می‌کند.
چرا بررسی‌های استخدامی هویت واقعی کاربر لپ‌تاپ را مشخص نمی‌کنند
بررسی سوابق متقاضی، وضعیت قانونی اشتغال و هویت او با این هدف انجام می‌شود که صحت اطلاعات ارائه‌شده در فرآیند استخدام تأیید شود. بااین‌حال، کارمند دورکار جعلی می‌تواند از خلأ میان مراحل مختلف بررسی و تأیید هویت سوءاستفاده کند.
یک سازمان ممکن است هویت فرد را تأیید کند، مجوز قانونی کار او را بررسی کند و حتی مطمئن شود لپ‌تاپ به یک آدرس تأییدشده تحویل داده شده است؛ اما با وجود تمام این بررسی‌ها، همچنان ممکن است دسترسی به حسابی داده شود که در نهایت فرد دیگری آن را کنترل می‌کند. تاکتیک‌هایی که در عملیات مرتبط با کارکنان فناوری اطلاعات کره شمالی به کار گرفته می‌شوند، به‌گونه‌ای طراحی شده‌اند که بتوانند هر یک از کنترل‌های فرآیند استخدام را به‌صورت جداگانه دور بزنند:
- مدرک هویتی سرقت‌شده یا ارائه‌شده توسط واسطه، مرحله احراز هویت را پشت سر می‌گذارد.
- رزومه جعلی، بررسی اولیه مسئول استخدام را پشت سر می‌گذارد و معتبر به نظر می‌رسد.
- واسطه یا فرد متخصص، در مصاحبه شرکت می‌کند و خود را به‌جای متقاضی واقعی معرفی می‌کند.
- آدرس واسطه، فرآیند تحویل تجهیزات سازمانی را تکمیل می‌کند.
- مجموعه دستگاه‌های سازمانی (Laptop Farm)، شرایط مورد انتظار سازمان از نظر موقعیت مکانی و دستگاه مورد استفاده را ایجاد می‌کند.
- حساب شخص ثالث، فرآیند دریافت حقوق را بدون جلب توجه تکمیل می‌کند.
نشانه‌های هشداردهنده کارمند دورکار جعلی
هیچ نشانه واحدی به‌تنهایی نمی‌تواند نشان دهد یک متقاضی در یک عملیات استخدامی جعلی نقش دارد. بااین‌حال، وزارت امور خارجه ایالات متحده چند نشانه هشداردهنده را معرفی کرده است که می‌توانند به شناسایی متقاضیان مشکوک و احتمال وجود هویت جعلی در فرایند استخدام کمک کنند:
- تغییرات مکرر در اطلاعات ثبت‌شده
- مغایرت میان نام صاحب حساب و نام ثبت‌شده برای دریافت وجه
- ایجاد چندین حساب کاربری با استفاده از یک مدرک هویتی (ID)
- دسترسی چند حساب کاربری از یک آدرس IP، یا دسترسی یک حساب از چند آدرس IP در مدت‌زمان کوتاه
- ثبت ساعات کاری غیرمعمول و بیش از حد انتظار
تقویت فرآیند آنبوردینگ برای مقابله با استخدام نیروهای جعلی
برای کاهش ریسک ورود افراد جعلی از مسیر استخدام، سازمان‌ها باید فرآیند بررسی و احراز هویت نیروهای دورکار و فریلنسر را با کنترل‌های دقیق‌تری همراه کنند. کارمند دورکار جعلی ممکن است از یک مدرک هویتی معتبر استفاده کند که پیش‌تر سرقت شده یا توسط شخص دیگری در اختیار او قرار گرفته است؛ بنابراین، بررسی اصالت مدرک به‌تنهایی نمی‌تواند هویت واقعی فرد را تأیید کند.
یکی از راهکارهای مؤثر، بررسی اصالت مدرک هویتی در کنار اطمینان از حضور واقعی فرد مقابل دوربین با استفاده از فناوری بیومتریک است. در این روش، ابتدا اصالت مدرک هویتی بررسی می‌شود و سپس چهره فردی که فرآیند آنبوردینگ (Onboarding) را انجام می‌دهد، با تصویر درج‌شده در مدرک تطبیق داده می‌شود. در ادامه، فناوری تشخیص حضور واقعی فرد بررسی می‌کند که فرد واقعاً مقابل دوربین حضور دارد و تصویر ثابت، ویدئوی ضبط‌شده یا محتوای دستکاری‌شده به‌جای او ارائه نمی‌شود.
این کنترل‌ها در کنار یکدیگر اثربخشی بیشتری دارند؛ زیرا یک مدرک هویتی معتبر ممکن است سرقت شده باشد و حتی تطبیق چهره نیز در برابر حملات Replay (بازپخش) یا فناوری دیپ‌فیک آسیب‌پذیر باشد. بنابراین، ترکیب اعتبارسنجی مدرک هویتی با بررسی حضور واقعی فرد می‌تواند پیش از اعطای دسترسی، اطمینان بیشتری از صحت هویت فرد فراهم کند.
برای مثال، سازمان می‌تواند پیش از فعال‌کردن حساب یک نیروی دورکار، ابتدا اصالت مدرک هویتی او را بررسی کند و سپس حضور واقعی فرد را با استفاده از کنترل‌های بیومتریک تأیید نماید. این رویکرد احتمال سوءاستفاده از مدارک هویتی سرقت‌شده یا ویدئوهای دیپ‌فیک را کاهش می‌دهد.
تبدیل احراز هویت به یک کنترل دسترسی
عملیات کارمند دورکار جعلی نشان می‌دهد که احراز هویت نباید تنها به زمان استخدام محدود شود و باید در طول چرخه دسترسی نیز ادامه پیدا کند. سازمان‌ها باید اطمینان حاصل کنند هویتی که هنگام استخدام تأیید شده، متعلق به همان فردی است که در زمان دریافت دسترسی از آن استفاده می‌کند. همچنین لازم است سازوکاری وجود داشته باشد که در زمان بازیابی یا تغییر دسترسی، امکان بررسی مجدد هویت فرد را فراهم کند.
ترکیب اعتبارسنجی مدارک هویتی دولتی با بررسی حضور واقعی فرد از طریق کنترل‌های بیومتریک در نخستین روز کاری، می‌تواند نقطه کنترل قابل‌اعتمادی برای احراز هویت ایجاد کند. علاوه بر این، کارشناسان سرویس دسک باید پیش از انجام درخواست‌های مرتبط با دسترسی، هویت فرد درخواست‌کننده را دوباره تأیید کنند.
این رویکرد باعث می‌شود احراز هویت از یک مرحله اداری در فرآیند استخدام به بخشی از سازوکار کنترل دسترسی سازمان تبدیل شود و احتمال سوءاستفاده از هویت‌های جعلی یا سرقت‌شده کاهش پیدا کند.
