Dopo una ricerca approfondita, i responsabili delle assunzioni di KnowBe4 ritenevano di aver individuato il candidato ideale per entrare a far parte del team interno di intelligenza artificiale dell’azienda.
Sulla carta, Kyle soddisfaceva tutti i requisiti richiesti per la posizione di sviluppatore. Era un ingegnere informatico di grande esperienza, si è presentato molto bene in tutti i suoi colloqui video e aveva referenze eccellenti. I suoi precedenti sono stati verificati.
Ma dopo che la società di sicurezza ha spedito a Kyle il computer portatile aziendale, hanno cominciato a verificarsi fatti strani. In primo luogo, ha tentato di installare sul computer un malware denominato “ ” ( ), ma l’operazione è stata bloccata dal software di protezione ( endpoint ) del sistema. Quando il centro operativo di sicurezza dell’azienda lo ha contattato tramite Slack, Kyle ha affermato di aver compromesso accidentalmente il proprio sistema mentre cercava di risolvere un problema con il router.
Quella scusa non aveva alcun senso, quindi il team di sicurezza ha cercato di convincerlo a partecipare a una chat vocale. Kyle ha detto che non poteva parlare e poi ha smesso del tutto di comunicare. Ciò è stato sufficiente per il SOC [centro operativo di sicurezza] dell’ . In meno di 30 minuti, KnowBe4 avevano bloccato l'account di Kyle. Ha quindi comunicato i dettagli delle loro comunicazioni alla società di consulenza in materia di sicurezza Mandiant e, successivamente, all’FBI.
"Grazie alle informazioni fornite da Mandiant e dall’FBI, abbiamo appreso che si trattava di un’operazione sofisticata, ben finanziata e sponsorizzata dallo Stato", afferma Stu Sjouwerman, CEO dell’azienda, il quale ha pubblicato un post sul blog relativo all’incidente nel mese di luglio, nell’ambito di un’iniziativa volta ad allertare altre aziende.
Tuttavia, per centinaia di aziende statunitensi, e per un numero ancora maggiore in tutto il mondo, tale avvertimento giunge troppo tardi.
Dobbiamo parlare di Kyle… e dei deepfake
In qualità di leader nella formazione innovativa sulla consapevolezza in materia di sicurezza e, KnowBe4 conosce bene le tendenze relative alle informazioni sulle minacce e le pratiche di cyberigiene . Il che non fa che sottolineare quanto sia insidioso il problema di Kyle. Hanno appreso che “Kyle” era molto probabilmente un cittadino nordcoreano che si spacciava per cittadino americano. Per eludere i controlli sui dipendenti effettuati dall’azienda, aveva utilizzato un’identità rubata e una foto ritoccata con l’intelligenza artificiale per superare i controlli sui precedenti personali. Un complice professionista è stato pagato per interpretare il ruolo di Kyle nelle interviste video, mentre il vero dipendente si trovava probabilmente da qualche parte in Asia. Le referenze sono state confermate tramite e-mail.
“Con una sola immagine ad alta risoluzione del volto di una persona e circa 10 secondi di audio, è possibile utilizzare uno strumento open source per ingannare chiunque su Zoom o Teams.”Ben Colman, CEO e cofondatore di Reality Defender
Sjouwerman sottolinea che non si è verificata alcuna perdita di dati aziendali, non si è verificata alcuna violazione dell’ e dei sistemi sensibili e che i sistemi di difesa della KnowBe4 hanno funzionato esattamente come previsto. Kyle è stato immediatamente licenziato.
Ciononostante, Sjouwerman ammette che la sua azienda ha scampato il peggio. Se il sedicente sviluppatore non avesse cercato immediatamente di installare del malware, avrebbe potuto ottenere l’accesso ai repository software dell’azienda e ai server cloud di .
L'ammissione di Sjouwerman è un fatto raro, ma l'attacco subito dalla sua azienda non lo è. Poco dopo aver pubblicato il proprio resoconto, KnowBe4 è stata contattata da più di una dozzina di altre aziende che avevano ricevuto candidature da candidati fasulli simili, una delle quali aveva addirittura assunto “Kyle”.
Gli autori degli attacchi si nascondono in piena vista
Secondo il Dipartimento di Giustizia degli Stati Uniti, oltre 300 aziende sono state infiltrate da tecnici informatici nordcoreani che si spacciavano per cittadini statunitensi. Tra queste figurano sia le aziende della classifica Fortune 500 sia organizzazioni con un numero di dipendenti pari a soli 12 , osserva Roger Grimes, promotore dell’approccio basato sui dati nel settore della difesa per KnowBe4 e autore di un white paper intitolato “ ” ( ), che illustra in dettaglio come identificare e prevenire attacchi simili.
Secondo i dati del “ maggio 2024”, i dipendenti fraudolenti con sede all’estero avevano percepito quasi 7 milioni di dollari in stipendi da aziende statunitensi. Secondo l’FBI, la maggior parte di quel denaro è stata convogliata direttamente al governo nordcoreano per contribuire a finanziare i suoi programmi di armamento.
Questi lavoratori stranieri del settore informatico sono stati aiutati da una rete di “facilitatori” con sede negli Stati Uniti. Tali collaboratori gestiscono parchi di computer portatili a cui i dipendenti con sede all’estero accedono in modo discreto, oltre a fornire referenze false, servizi di riciclaggio di denaro e altri servizi. Lo scorso maggio, l’ e del Dipartimento di Giustizia (DOJ) ha arrestato due cittadini statunitensi per il ruolo da essi svolto nell’aiutare alcuni lavoratori stranieri del settore informatico a ingannare i propri datori di lavoro statunitensi.
Nella maggior parte dei casi – ed ecco il punto fondamentale che vale la pena sottolineare per i dirigenti aziendali – i dipendenti stranieri sembrano aver svolto il lavoro per cui erano stati assunti. Non si tratta di fannulloni, e quindi non sono così facili da individuare. Naturalmente, l’assunzione inconsapevole di personale informatico proveniente dalla Repubblica Popolare Democratica di Corea (RPDC) espone qualsiasi organizzazione a una serie di rischi.
L’assunzione di qualsiasi persona proveniente dalla Corea del Nord potrebbe costituire una violazione delle sanzioni internazionali nei confronti di tale Paese, esponendo potenzialmente le aziende a rischi legali. Avere un dipendente proveniente da uno Stato ostile comporta inoltre un rischio maggiore per l’azienda di subire attacchi interni di tipo “ ”, osserva Sjouwerman. Le università nordcoreane formano molti professionisti del settore informatico e hacker “black hat”, afferma, e si conoscono tutti tra loro. Le aziende che sono state oggetto di infiltrazioni risultano più vulnerabili a violazioni dei dati, frodi finanziarie e attacchi alla catena di approvvigionamento.
"Provi solo a immaginare se il malintenzionato inviasse un messaggio al suo amico informatico presso Morgan Stanley: ‘Ehi, qualcuno alla Morgan Stanley sta dicendo cose negative su Kim Jong-Un. "Infligga più danni possibile."
I deepfake stanno diventando sempre più realistici e facili da realizzare
A posteriori, c’erano alcuni segnali di allarme che la KnowBe4 avrebbe dovuto cogliere, ammette Sjouwerman.
«Ci sono migliaia di persone come queste in tutto il mondo che lavorano per aziende che non ne hanno la minima idea.»Stu Sjouwerman, * CEO*, KnowBe4
Ad esempio, sebbene “Kyle” affermasse di risiedere ad Atlanta, ha chiesto a KnowBe4 di spedire il suo computer portatile aziendale a un indirizzo nello Stato di Washington – sede di una delle cosiddette “laptop farm” note. Sjouwerman aggiunge che il suo team avrebbe dovuto essere più meticoloso nell’individuare eventuali incongruenze nella storia lavorativa del candidato e nel verificare le sue referenze. Da allora, l’azienda ha profondamente rinnovato le proprie procedure di assunzione.
Tuttavia, poiché si tratta di operazioni sofisticate, gestite dallo Stato, è possibile che abbiano già modificato le loro tattiche, avverte Grimes.
Inoltre, la crescente sofisticazione dei video deepfake generati dall’intelligenza artificiale renderà ancora più rischioso lo svolgimento dei colloqui di lavoro a distanza, osserva Ben Colman, CEO e cofondatore di Reality Defender, azienda che offre servizi di rilevamento dei deepfake alle imprese.
Negli ultimi 18 mesi, il costo della creazione di deepfake è diminuito di 100 volte, osserva Colman. Insieme alla proliferazione di strumenti open source per la mappatura dei volti e delle voci, è più facile che mai creare video in tempo reale verosimili in cui praticamente chiunque possa dire praticamente qualsiasi cosa, il che non farà altro che alimentare un’ondata di disinformazione e di disinformazione .
"Con una sola immagine ad alta risoluzione del volto di una persona e circa 10 secondi di audio, è possibile utilizzare uno strumento open source per ingannare chiunque su Zoom o Teams", aggiunge.
Colman afferma che Reality Defender sta collaborando con i team delle risorse umane e di reclutamento di grandi banche, aziende del settore dei media e agenzie governative nell’ambito del loro processo di verifica dei dipendenti. Tuttavia, nella maggior parte dei casi, manca una diffusa consapevolezza del problema dei falsi lavoratori da remoto.
«Ci sono migliaia di persone come queste in tutto il mondo che lavorano per aziende che non ne hanno la minima idea», afferma Sjouwerman. "Consiglio vivamente agli altri amministratori delegati di valutare le proprie attuali pratiche di assunzione e, in particolare, di perfezionare il processo di assunzione degli ingegneri che lavorano da remoto."
Le aziende devono applicare il modello di minaccia ai propri processi di reclutamento e informare l’alta dirigenza in merito ai rischi legati all’assunzione di cittadini stranieri, afferma Grimes. Durante i colloqui, ponga domande alle quali potrebbe rispondere chi si è laureato presso una determinata università, ha vissuto in una città specifica o ha lavorato presso un precedente datore di lavoro, ma le cui risposte non sono facilmente reperibili online.
Quando possibile, il modo più sicuro per valutare una persona è di persona, aggiunge.
"Ove possibile, esigete sempre che i dipendenti che lavorano da remoto si presentino di persona presso un collega, un responsabile di team o un rappresentante designato dell’organizzazione, muniti di un documento d’identità ufficiale, al fine di confermare la propria identità."
10 segnali rivelatori che indicano che il candidato al posto di lavoro nel settore IT potrebbe non essere attendibile:
Sebbene non esista un metodo infallibile al 100 % per Detect individuare un candidato inaffidabile, i seguenti segnali di allarme dovrebbero indurre qualsiasi responsabile delle assunzioni ad approfondire ulteriormente la questione.
- 1. Scarsa padronanza dell’inglese nonostante si dichiari di aver studiato negli Stati Uniti o di risiedervi da molto tempo
- 2. L'accento non corrisponde alla regione del mondo da cui sostengono di provenire
- 3. Le risposte alle domande relative all’esperienza lavorativa risultano incoerenti o vaghe
- 4. Impronta digitale minima al di fuori dei profili forniti
- 5. Identità sui social media incoerenti o di recente creazione
- 6. Descrizioni delle mansioni o risultati del lavoro copiati da altre fonti
- 7. Utilizza esclusivamente domini di posta elettronica pubblici , come Gmail o Outlook.com
- 8. Si collega sempre a tramite VPN o numeri VoIP
- 9. Le interviste telefoniche sono state condotte da call center rumorosi
- 10. , riluttante a comparire davanti alle telecamere, adduce delle scuse per giustificare il proprio comportamento
