İşe alım uzmanları tuhaf abartılı özgeçmişler bekliyorlar, ancak Malwarebytes’teki biz de dahil olmak üzere birçok şirket artık çok daha ciddi bir şeyle uğraşıyor: hiç de gerçek insan olmayan iş başvuru sahipleri.
Uydurulmuş kimliklerden yapay zeka tarafından oluşturulan özgeçmişlere ve dış kaynaklardan sağlanan sahtekar röportajlarına kadar, işe alma hatları, saldırganların kuruluşlara gizlice girmesinin yeni bir yolu haline geldi.
Sahte başvurular artık yalnızca küçük bir İK rahatsızlığı değil, aynı zamanda gerçek bir güvenlik riskidir. Peki bunun arkasındaki amaç nedir ve nelere dikkat etmelisiniz?
Bu sahte başvuru sahipleri nasıl çalışıyor?
Bu adaylar sadece yarım yamalak bir özgeçmişi ateşleyip en iyisini ummuyorlar. Birçoğu, taramadan geçmek için tasarlanmış gösterişli, koordineli taktikler kullanıyor.
Yapay zeka tarafından oluşturulan özgeçmişler
Yapay zeka tarafından oluşturulan özgeçmişler artık sahte başvuru sahibinin en yaygın işaretlerinden biri. Dil modelleri saniyeler içinde gösterişli, anahtar kelime ağırlıklı özgeçmişler üretebilir ve dolandırıcılar genellikle hangisinin Başvuru Takip Sistemini geçtiğini görmek için düzinelerce varyasyon üretir. Bazı durumlarda profillerin tamamı aynı anda oluşturulur.
Bu özgeçmişler genellikle kağıt üzerinde kusursuz görünür ancak belirli projeler, zaman çizelgeleri veya başarılar hakkında soru sorduğunuz zaman dağılırlar. İşe alma ekipleri, ilgisiz pozisyonlar için neredeyse aynı özgeçmiş dalgaları veya yazılı materyalleri konuşmada açıklayabileceklerinden çok daha ayrıntılı olan başvuru sahipleri bildirdi. Hatta bazıları aynı biçimlendirme tuhaflıklarına, ifadelere veya proje açıklamalarına sahip birden fazla özgeçmiş bile aldı.
Sahte veya ödünç alınmış kimlikler
Kimliğe bürünme yaygındır. Dolandırıcılar, meşru görünmek için yapay zeka tarafından oluşturulan veya çalınan profil fotoğraflarını, sahte adresleri ve VoIP telefon numaralarını kullanır. LinkedIn etkinliği genellikle seyrektir veya aynı adı kullanan ve biraz farklı becerilere sahip birkaç neredeyse aynı profil bulacaksınız.
Malwarebytes olarak, bu Kayıt makalesinde olduğu gibi, başvuranların sağladığı ayrıntıların, görüşme sırasında gördüklerimizle her zaman eşleşmediğini fark ettik. Bazı durumlarda, her biri yeni hazırlanmış bir özgeçmişle desteklenen aynı ad ve telefon numarası birden fazla uygulamada göründü. Başvuru sahibinin bir ülkede bulunduğunu iddia ettiği ancak tamamen başka bir ülkeden, genellikle Asya’dan arama yaptığı birçok durumda daha fazla tutarsızlık ortaya çıkar.
Dış kaynaklı, senaryolu ve derin sahte röportajlar
Hileli röportajlar tanıdık bir modeli takip etme eğilimindedir. Tanıtımlar kısa ve belirsizdir ve yanıtlar, sanki kişiye ekran dışında koçluk yapılıyormuşçasına, uzun, fark edilebilir duraklamalardan sonra gelir. Birçoğu kamerayı kapalı tutmaya çalışıyor veya testleri canlı yerine çevrimdışı tamamlamayı istiyor.
Daha ileri durumlarda, uyumsuz dudak senkronizasyonu, doğal olmayan yanıp sönme veya bozuk kenarlar gibi gerçek zamanlı filtrelerin veya derin sahte araçların işaretlerini görebilirsiniz. Dolandırıcıların çoğu hâlâ kameradan kaçınma veya ekran dışı koçluk gibi daha basit hilelere güveniyor ancak saldırganların röportajlarda derin sahte video veya ses klonları kullandığına dair raporlar var. Hala nadir görülen bir durum ancak bu araçların ne kadar hızlı geliştiğini gösteriyor.
Bunu neden yapıyorlar?
Dolandırıcıların dolandırıcılıktan tam sistem erişimine kadar çeşitli amaçları vardır.
Finansal kazanç
Bazı gruplar için amaç basittir: para. Uzak, iyi maaşlı pozisyonları hedef alıyorlar ve daha sonra işi perde arkasında daha ucuz işgücüne taşeronlara veriyorlar. Dolandırıcı başvuru sahibi maaşını elinde tutarken, başka biri işi sessizce maliyetin çok altında bir fiyata yapıyor. Bu bir hacim oyunudur ve ne kadar çok başvuru alırlarsa, o kadar fazla gelir elde edebilirler.
Kimlik veya belge sahtekarlığı
Diğerleri kağıttan bir iz oluşturmaya çalışıyor. “Başarılı bir işe alım” istihdam doğrulaması, maaş bordrosu geçmişi ve resmi sözleşme mektupları sağlayabilir. Bu belgeler daha sonra vize başvurularını, banka kredilerini veya diğer türden kimlik veya mali sahtekarlığı destekleyebilir. Bu durumlarda dolandırıcının işe başlama niyeti bile olmayabilir. Sadece meşru görünmelerini sağlayacak evraklara ihtiyaçları var.
Algoritma testi ve veri toplama
Bazı operasyonlar iş başvurularını araştırma ve öğrenme yolu olarak kullanır. Tarama yazılımının nasıl tepki verdiğini test etmek, filtreleri aşan şeyler üzerinde tersine mühendislik yapmak ve gelecekteki kampanyalar için işe alım görevlisinin e-posta kalıplarını yakalamak için binlerce özgeçmiş gönderiyorlar. Bunu geniş ölçekte yaparak, gerçek başvuru sahiplerini zaman içinde daha ikna edici bir şekilde taklit edebilecek otomasyonu eğitiyorlar.
Siber suçlar için sistem erişimi
Risklerin arttığı yer burasıdır. Uzak bir göreve yerleşmek, dolandırıcılara dahili sistemlere, şirket verilerine ve fikri mülkiyete, yani işin yasal olarak dokunduğu her şeye erişim sağlayabilir.
Dolandırıcı işe alınmasa bile, işe alım hattınıza girmek dahili ayrıntıları açığa çıkarır: ekibinizin nasıl iletişim kurduğu, kimin hangi kararları aldığı, hangi rollerin hangi araçlara sahip olduğu. Bu bilgi daha sonra ikna edici bir taklit oluşturmak için yeterli olabilir. Bu noktada işe alım süreci kuruma açılan korumasız bir kapı haline gelir.
Daha geniş risk (sadece işe alım görevlileri için değil)
Etkilenenler yalnızca işe alım uzmanları değil. LinkedIn’deki veya iş sitelerindeki sıradan insanlar da bu serpintiye kapılabilir.
Sahte başvuru sahibi ağları, inandırıcı kimlikler oluşturmak için genel profilleri kazımaya güveniyor. LinkedIn 2023’te anti-bot kontrolleri ekledi ancak sahte profiller hâlâ geçerli oluyor; bu da adınız, fotoğrafınız veya iş geçmişinizin bilginiz olmadan kopyalanıp yeniden kullanılabileceği anlamına geliyor.
Ayrıca kimlik avı mesajlarına, kötü niyetli iş tekliflerine veya kişisel bilgi toplama girişimlerine yol açan sahte bağlantı istekleri de gönderirler. Portsmouth Üniversitesi’nin yakın zamanda yaptığı bir araştırma, sahte sosyal medya profillerinin çoğu insanın düşündüğünden daha yaygın olduğunu ortaya çıkardı:
Ankete katılanların %80’i şüpheli hesaplarla karşılaştıklarını ve %77’si yabancılardan bağlantı istekleri aldıklarını söyledi.
Bu, yalnızca işe alım görevlilerinin değil, LinkedIn’deki herkesin hedef alınabileceğini ve bu profillerin genellikle önce güven inşa ederek ve daha sonra kötü niyetli bağlantılar veya istekler ekleyerek çalıştığını hatırlatmak isteriz.
İşverenler kendilerini nasıl koruyabilir?
Aşağıdaki adımları izleyerek, ayrım yapmadan veya sürtünme eklemeden elemeyi sıkılaştırabilirsiniz:
Kimliği daha erken doğrulayın
Fırsat buldukça kamera açık video görüşmesiyle başlayın. Filtrelerin veya derin sahtekarlıkların incelikli yanlarını arayın: doğal olmayan göz kırpmalar, hafif bozuk dudak senkronizasyonu veya yüzün eğrilmiş veya gecikmiş gibi görünen kenarları. Bir şeyler tuhaf geliyorsa, “Lütfen gözlüklerinizi ayarlayın” veya “bir dakikalığına yanağınıza dokunun” gibi basit bir istek, gerçek bir kişiyle konuşup konuşmadığınızı hızlı bir şekilde gösterebilir.
Ayrıntıları çapraz kontrol edin
Temel bilgilerin sıralandığından emin olun. Başvuru sahibinin yüzü belgeleriyle eşleşmeli ve saat dilimi de yaşadığını söylediği yerle eşleşmelidir. Referansları kontrol ettiğinizde çalışma geçmişiniz durmalıdır. Hızlı bir arama, yinelenen özgeçmişleri, geri dönüştürülmüş profilleri veya yalnızca birkaç aylık etkinliğe sahip LinkedIn hesaplarını ortaya çıkarabilir.
Klasik kırmızı bayraklara dikkat edin
Sahte başvuru sahiplerinin çoğu, sorular kişisel veya spesifik hale geldiğinde kayıyor. Gösterişli ancak içi boş bir özgeçmiş, mesajlar arasında değişen bir iletişim tarzı veya zaman çizelgelerini veya geçmiş rolleri tartışırken tereddüt etmek, bunların hepsi koçluğun sinyali olabilir. Yanıtlardan önceki uzun duraklamalar genellikle ekran dışındaki birinin yanıtları besliyor olabileceğini ima eder.
Güvenli katılım
Birisi süreci geçerse erken erişime dikkatli davranın. Yeni işe alınanların erişebileceklerini sınırlayın, ilk günden itibaren çok faktörlü kimlik doğrulamayı zorunlu kılın ve cihazlarının ağınıza dokunmadan önce kontrol edildiğinden emin olun. Güvenlik ekibinizi erkenden işe almak, işe alım dolandırıcılığının kazara bir giriş noktası haline gelmemesini sağlamaya yardımcı olur.
Son düşünceler
İşe alma eskiden en iyi yeteneği bulmakla ilgiliydi. Günümüzde sıklıkla kimlik doğrulama ve güvenlik farkındalığını içermektedir.
Uzaktan çalışma norm haline geldikçe dolandırıcılar daha akıllı hale geliyor. Sahte başvuru sahipleri baş belası olarak ortaya çıkabilir ancak riskler uyumluluk sorunlarından veri kaybına ve hatta tam ölçekli ihlallere kadar uzanır.
İşaretleri erken tespit etmek ve daha güçlü tarama süreçleri oluşturmak yalnızca işe alım sürecinizi değil, kuruluşunuzun tamamını korur.
Yalnızca tehditleri rapor etmiyoruz; tüm dijital kimliğinizin korunmasına yardımcı oluyoruz
Siber güvenlik riskleri asla bir manşetin ötesine yayılmamalıdır. Kimlik korumasını kullanarak sizin ve ailenizin kişisel bilgilerini koruyun.