- ปัญหา ผู้สมัครงานไอทีปลอมจากเกาหลีเหนือ ถูกยืนยันอย่างกว้างขวางในบริษัทขนาดใหญ่ส่วนใหญ่
- วิธีการแทรกซึม ของพวกเขามีหลากหลาย ทั้ง AI, ดีปเฟก, การปลอมแปลงตัวตน และบางกรณียังลุกลามไปถึงการขโมยข้อมูลภายในและการเรียกค่าไถ่
- ระยะหลังไม่ใช่แค่สหรัฐฯ เท่านั้นที่ตกเป็นเป้า แต่ บริษัทในยุโรป ก็เริ่มถูกโจมตีเช่นกัน และส่วนใหญ่มักเกิดกับตำแหน่งงานแบบรีโมต
- บริษัทต่าง ๆ กำลังนำกลยุทธ์ป้องกันหลายรูปแบบมาใช้ เช่น การตรวจเอกสารระหว่างกระบวนการจ้างงาน, การ onboard แบบพบตัว, การแชร์ตัวชี้วัดการบุกรุก (IoC)
- เนื่องจากวิธีการก่ออาชญากรรมกำลังพัฒนาและขยายไปสู่รูปแบบอาชญากรรมแบบมีองค์กร จึงจำเป็นอย่างยิ่งต้องเสริม ความร่วมมือระหว่างทีมความปลอดภัยกับทีมสรรหา การอบรม และ human firewall
ภาพรวมและสถานการณ์ปัจจุบัน
- ช่วงหลังมานี้ ปัญหา ผู้สมัครงานไอทีปลอมที่เชื่อมโยงกับเกาหลีเหนือ เกิดขึ้นอย่างแพร่หลายในบริษัทยักษ์ใหญ่ทั่วโลก
- CISO จำนวนมากในบริษัท Fortune 500 ระบุว่าเคยเผชิญปัญหานี้ และผู้รับผิดชอบด้านความปลอดภัยของ Google, Snowflake ก็ยืนยันว่าพบกรณีดังกล่าวในกระบวนการสรรหาภายในเช่นกัน
- กระทรวงยุติธรรมสหรัฐฯ ระบุว่าในช่วง 6 ปีที่ผ่านมา ความเสียหายจากกลุ่มนี้มีมูลค่าถึง 88 ล้านดอลลาร์สหรัฐ
- บางกรณีมีรายงานว่าพวกเขาเข้าถึงระบบภายในเพื่อ ขโมยซอร์สโค้ดและข้อมูลลับ ก่อนจะพัฒนาไปสู่การเรียกค่าไถ่
- เมื่อบริษัทสหรัฐฯ เพิ่มความเข้มงวดในการเฝ้าระวัง ปัจจุบันการมุ่งเป้าไปยังตลาดยุโรปก็เพิ่มขึ้นอย่างรวดเร็ว
แนวโน้มลักษณะเฉพาะในกระบวนการจ้างงาน
- บริษัทอย่าง Socure พบว่าช่วงหลังมีใบสมัครผิดปกติหลั่งไหลเข้ามาหลายพันรายการ
- โปรไฟล์ LinkedIn มักดูตื้นเขินหรือมีเครือข่ายน้อย แต่กลับมีประวัติการทำงานโดดเด่นเกินจริง และยังพบความไม่สอดคล้องในหมายเลขโทรศัพท์ อีเมล และการใช้ VPN
- ระหว่างสัมภาษณ์วิดีโอ มักพบกรณีที่ใช้ชื่อแบบตะวันตก แต่รูปลักษณ์หรือสำเนียงเป็นเอเชียตะวันออก จนเกิดความไม่สอดคล้องทางประชากรศาสตร์ซ้ำ ๆ
- มีการตรวจพบหลายครั้งว่าคำตอบของผู้สมัครคล้ายกับคำตอบจาก เครื่องมือ AI อย่าง ChatGPT
- ในภาพรวมผู้สมัครอาจดูเป็นมิตรและปกติดี แต่เมื่อมีการตรวจสอบเชิงลึกกลับพบสัญญาณน่าสงสัยหลายประการ
ความจำเป็นของความร่วมมือระหว่างทีมความปลอดภัยและทีมสรรหา
- ผู้รับผิดชอบงานสรรหาส่วนใหญ่มัก ขาดความรู้ด้านไซเบอร์ซีเคียวริตี้หรือการจัดการตัวตน และการขาดการสื่อสารระหว่าง HR กับทีมความปลอดภัยก็เป็นปัญหาสำคัญ
- องค์กรอย่าง Netskope กำลังจัดระบบความร่วมมือหลายฝ่าย เช่น การประชุมร่วมระหว่างทีมความปลอดภัย HR และกฎหมาย รวมถึงการรับฟังบรีฟจาก FBI ในพื้นที่
- ในสภาพแวดล้อม การทำงานระยะไกล ขั้นตอนยืนยันตัวตนจริง เช่น การให้มารับคอมพิวเตอร์ด้วยตนเองหรือการตรวจสอบที่อยู่ มีความสำคัญอย่างมาก
- ยังพบซ้ำ ๆ ว่าเมื่อมีการขอเอกสารเพื่อยืนยันตัวตน ผู้สมัครปลอมจำนวนหนึ่งจะล้มเลิกกระบวนการกลางคัน
แนวทางรับมือด้วย AI และการแชร์ข้อมูล
- แม้กรณีการนำเทคโนโลยีใหม่อย่าง AI และดีปเฟกมาใช้ในทางที่ผิดจะเพิ่มขึ้น แต่บริษัทอย่าง Snowflake ใช้การสร้างชุดข้อมูล IoC (ตัวชี้วัดการบุกรุก) และการแชร์ข้อมูลกับพาร์ตเนอร์เพื่อรับมือ
- ข้อมูลใน IoC รวมถึงอีเมล ที่อยู่จริง และหมายเลขโทรศัพท์ ซึ่งล้วนเป็นข้อมูลที่มีโอกาสถูกปลอมแปลงได้สูง
- กลยุทธ์ human firewall (การอบรมผู้รับผิดชอบการสรรหา) ถูกใช้เพื่อสอนวิธีจับสัญญาณ เช่น การแต่งประวัติให้เกินจริง การตอบคำถามสัมภาษณ์ล่าช้า ความสับสนด้านเทคนิค หรือบรรยากาศเหมือนคอลเซ็นเตอร์
- ในท้ายที่สุด การสัมภาษณ์แบบพบตัว และข้ออ้างว่าจำเป็นต้องไม่พบตัวด้วยเหตุผลที่หลีกเลี่ยงไม่ได้ ถูกมองว่าเป็นเหตุให้ต้องสงสัยอย่างมาก
- ความร่วมมือระหว่างบริษัท พาร์ตเนอร์ และหน่วยงานรัฐ ช่วยปิดกั้นไม่ให้ผู้สมัครต้องสงสัยผ่านเข้าสู่ขั้นตอนคัดกรองตั้งแต่ต้น
แนวโน้มการขยายตัวสู่ความเป็นองค์กรและอาชญากรรม
- กลุ่มอาชญากรรมมักมีแนวโน้ม ลอกเลียนและขยายผล อย่างรวดเร็วเมื่อพบว่าวิธีใดทำเงินได้ดี
- ปรากฏการณ์นี้อาจไม่จำกัดอยู่แค่การขับเคลื่อนโดยเกาหลีเหนือ แต่มีโอกาสขยายไปยังประเทศอื่นและอาชญากรรมแบบมีองค์กรด้วย
- ในทุกกระบวนการจ้างงาน ความจำเป็นในการ เสริมความร่วมมือระหว่างทีมความปลอดภัยกับทีมสรรหา และการอบรมอัปเดตกรณีล่าสุดกำลังเพิ่มสูงขึ้น
1 ความคิดเห็น
ความเห็นใน Hacker News
คิดว่าถ้ากำหนดให้ขั้นตอนยืนยันตัวตนแบบพบหน้ากันเป็นข้อบังคับ ก็น่าจะป้องกันปัญหาแบบนี้ได้
มีคนบอกว่าแยกโปรไฟล์จริง/ปลอมได้จากโปรไฟล์ที่มีคอนเนกชันใน LinkedIn แค่ 25 คน แต่ความจริงแล้วบัญชี LinkedIn ที่ถูกแฮ็กก็มีเหมือนกัน บัญชีของเพื่อนร่วมงานผมเคยโดนแฮ็ก ทั้งที่มีเครือข่ายคนรู้จักจริงมากกว่า 1,000 คน รูปกับชื่อถูกเปลี่ยนให้ดูเป็นคนเอเชียตะวันออก และ CV ก็ถูกแก้ให้มีประวัติทำงานกับผู้รับเหมาด้านกลาโหมของสหรัฐ โชคดีที่ระบบล็อกบัญชีอัตโนมัติจับได้ แต่ก็เป็นไปได้ว่าถ้าปล่อยไว้นานกว่านี้คงเกิดปัญหาใหญ่ แม้จะเชื่อมต่อกับคนเป็นพัน คนเราก็ไม่ได้จำทุกคอนเนกชันได้หมดอยู่แล้ว แถมไม่มีการแจ้งเตือนเรื่องเปลี่ยนชื่อด้วย ดังนั้นจึงเป็นไปได้มากว่าบัญชีที่ถูกแฮ็กแบบนี้จะถูกขายให้แรงงาน IT เกาหลีเหนือนำไปใช้ต่อ
Jeff Geerling เพิ่งแชร์ประสบการณ์ที่ถูก FBI ติดต่อเกี่ยวกับอุปกรณ์ mini KVM ที่ผู้สมัครงานปลอมจากเกาหลีเหนือใช้กันอย่างมีกลยุทธ์ วิดีโอที่เกี่ยวข้อง
ได้ยินมาว่าอุปกรณ์ KVM ในที่นี้ถูกต่อเข้ากับโน้ตบุ๊กหลายเครื่องและใช้งานจริงจากห้องใต้ดินหรือห้องต่าง ๆ ในบ้านของผู้คน ใครบางคนจะได้รับเงินเป็นรายเดือนต่อโน้ตบุ๊กของบริษัทที่ได้รับมา 1 เครื่อง แล้วเสียบ KVM ตัวเล็ก ๆ เข้าไปเพื่อให้คนทำงานทางไกลเชื่อมต่อเข้ามา วิธีนี้ทำให้การติดตามตัวยากขึ้นมาก
ผมไม่ค่อยเข้าใจนักว่า KVM เป็นอุปกรณ์ที่ทำอะไรแน่ แค่มีพอร์ต Ethernet กับ HDMI เลยควบคุมระยะไกลได้อย่างนั้นหรือ แล้วที่เล่ากันเหมือนกับว่าคนเกาหลีเหนือบุกเข้าไปในบ้านคนอื่นเพื่อเอาสิ่งนี้ไปเสียบ มันฟังดูนึกภาพไม่ออกเลย ผมก็ไม่เข้าใจว่าทำไม FBI ถึงติดต่อ Jeff Geerling ด้วย พูดตามตรงผมรู้จัก KVM แค่ในความหมายว่าเป็น Linux kernel virtualization เท่านั้น
มีคนพูดถึงประเด็นว่า “เมื่อบริษัท IT ในสหรัฐเริ่มเก่งขึ้นในการจับผู้สมัครปลอม ตอนนี้บริษัทในยุโรปจึงกลายเป็นเป้าหมายใหม่” ทุกบริษัทที่ผมเคยทำงานในสหรัฐตรวจสอบตัวตนของผมละเอียดมาก เกือบทุกบริษัททำ background check เป็นพื้นฐาน บริษัทในยุโรปดูจะหย่อนกว่านิดหน่อย
บางครั้ง background check ของบริษัทในสหรัฐก็ล้ำเส้นความเป็นส่วนตัวมากเกินไป เช่น ก่อนจ้างงานยังขอตรวจเครดิต ดูยอดหนี้คงเหลือของบัตร รถ บ้าน ยอดผ่อนรายเดือน และแม้แต่เงินเดือนตลอด 7 ปีย้อนหลัง ผมว่ามันมากเกินไป เพราะพอเขารู้สถานะของเราหมด เราก็เสียเปรียบในการต่อรองเงินเดือนด้วย
มีรายงานด้วยว่าในบริษัทจริง ๆ มีกรณีที่มีคนถูกชวนว่า “ช่วยให้ใช้ตัวตนของคุณหน่อยได้ไหม” ภายนอกจะเหมือนใช้ตัวบุคคลนั้น แต่คนทำงานจริงเป็นอีกฝ่าย แล้วแบ่งเงินเดือนกัน แน่นอนว่ามีทั้งความเสี่ยงและความผิดกฎหมายสูงมาก แต่ก็ยังมีคนจำนวนไม่น้อยที่อยากหาเงินง่าย ๆ
บริษัทจำนวนมากในยุโรปแทบไม่ได้เปิดให้ทำงานทางไกลเลย หรือมีก็น้อยมาก และถ้ามีสัมภาษณ์ผ่านวิดีโอหรือโทรศัพท์ ก็แทบจะเรียกสัมภาษณ์แบบออฟไลน์เกือบทุกครั้ง จึงคาดหวังเป็นพื้นฐานว่าอย่างน้อยผู้สมัครต้องอาศัยอยู่ในประเทศนั้นจริง ๆ และบางทียังต้องใช้ภาษาท้องถิ่นได้ด้วย ทำให้แรงงาน IT เกาหลีเหนือผ่านกระบวนการนี้ได้ยากกว่ามาก
background check ก็ไม่ได้สมบูรณ์แบบเสมอไป เรซูเม่อาจเป็นตัวตนที่ปลอมขึ้นมา หรืออาจซื้ออัตลักษณ์ของชาวอเมริกันมาใช้ก็ได้ นี่แทบเป็นวิธีเดียวที่จะเจาะการยืนยันตัวตน I-9 ได้ ประเภทของ background check ก็หลากหลาย และหลายบริษัทก็ข้ามขั้นตอนที่ยุ่งยากอย่างการตรวจสอบที่ทำงานเก่าไปเลย การตรวจสอบบุคคลอ้างอิงก็ไม่มีความหมายเท่าไร เพราะตัวบุคคลอ้างอิงเองก็ปลอมได้ สุดท้ายก็ต้องยืนยันตัวตนของบุคคลอ้างอิงอีกอยู่ดี
นั่นเป็นการโกงอีกรูปแบบหนึ่ง ถ้าเป็นผู้อพยพใหม่ในสหรัฐ ก็อาจผ่าน background check ได้ด้วยซ้ำ กลโกงที่พบบ่อยอย่างหนึ่งคือใช้วุฒิปลอมและประวัติการทำงานปลอมเพื่อเข้าทำงานเป็นโปรแกรมเมอร์สัญญาจ้าง แล้วจ้างช่วงงานไปเอเชียข้ามคืน ด้วยความช่วยเหลือของ ChatGPT แค่ถ่ายรูปหน้าจอก็แปลงเป็นข้อความได้ทันที ทำให้งานระยะไกลง่ายขึ้นมาก แม้แต่พวกนักพัฒนาที่เอางานของตัวเองบางส่วนไป outsource ก็มีเยอะ และยังมีคนที่ทำงานหลายที่พร้อมกันด้วยวิธีนี้ด้วย
ถ้าพวกมิจฉาชีพแบบนี้ได้งานจริงแล้ว เป้าหมายถัดไปคืออะไรกันแน่ก็ชวนสงสัย ว่าเป็นการสอดแนมทางอุตสาหกรรมเพื่อเก็บข้อมูลอย่างเดียว หรือทำงานที่ได้รับมอบหมายจริงด้วย หรือเข้ามาแล้วพยายามขโมยข้อมูลหรือเงินให้ได้มากที่สุดก่อนถูกจับแล้วหนีไป และจริง ๆ แล้วพวกเขามีความสามารถด้านงาน IT แค่ไหนกันแน่ ผมสงสัยไปหมดทุกอย่าง
มีทวีตหนึ่งที่ผมเคยเห็นบอกว่า ถ้าให้ผู้สมัครวิจารณ์คิมจองอึน ก็น่าจะคัดกรองได้ว่าเป็นคนจากเกาหลีเหนือหรือไม่
วิธีนี้ถ้าลองแค่ครั้งสองครั้งก็หาทางรับมือได้ไม่ยาก ถ้าผมเป็นสายลับหรืออยู่ในปฏิบัติการลับ ผมคิดว่าองค์กรก็คงฝึกให้พูดอะไรก็ได้อยู่แล้ว
ถ้าใครมาบอกให้ผมวิจารณ์คิมจองอึน ผมก็คงจบบทสนทนาแค่นั้น ผมวิจารณ์อย่างเสรีเมื่อผมต้องการ ถ้าทำกันแบบนั้น สุดท้ายอาจคัดคนสมัครจริงทิ้งไปแทนก็ได้
ถ้ามีการคัดกรองแบบนี้มากขึ้นจริง คนพวกนั้นก็คงคิดว่า “อ๋อ ฉันโดนจับได้แล้ว” หรือมองว่าความเสี่ยงสูงขึ้น แล้วหลุดออกไปเอง เหมือนที่พวกมิจฉาชีพทางอีเมลตั้งใจใช้ไวยากรณ์แย่ ๆ เพื่อคัดเหยื่อยาก ๆ ออกไปตั้งแต่แรก แล้วเลือกเล่นแต่งานง่าย
คำถามแบบนี้ต้องคัดกรองอย่างระมัดระวัง ต้องมีหลักฐานว่าได้ถามผู้สมัครทุกคนแบบเดียวกันโดยไม่เกี่ยวกับเชื้อชาติหรือสถานะผู้อพยพ ที่จริงเพื่อความปลอดภัยก็ต้องถามแม้แต่คนที่ไม่ใช่ชาวเอเชียหรือเจ้าของภาษาอังกฤษจากโลกตะวันตกด้วย เพราะในอนาคตเกาหลีเหนืออาจหันไปใช้ตัวแทนหรือคนนอกสมัครงานแทนก็ได้
น่าแปลกที่กรณีแบบนี้ยังโผล่มาเรื่อย ๆ ขนาดผมเป็นคนธรรมดาและก็ดีคนหนึ่ง ยังหางานดี ๆ ยากมาก แต่ผู้สมัครปลอมพวกนี้กลับถูกจ้างกันเป็นแถว ผมไม่เข้าใจจริง ๆ ว่าบริษัทต่าง ๆ กำลังทำอะไรกันอยู่
ถ้าบังคับให้สัปดาห์แรกของการทำงานต้องเข้าออฟฟิศเลย จะเป็นอย่างไร อย่างน้อยก็อ้างว่าเป็นช่วง onboarding ได้ง่าย ๆ และผมคิดว่าน่าจะแก้ปัญหานี้ได้
ไม่ใช่ทุกบริษัทจะมีออฟฟิศ ที่ทำงานก่อนหน้าของผมเพิ่งมีออฟฟิศตอนผ่านไป 6 เดือนหลังเข้าทำงานแล้ว และคนในประเทศมากกว่าครึ่งก็อยู่ไกลจากออฟฟิศจนต้องเดินทาง 3-4 ชั่วโมง อย่างมากผมก็ได้เจอเพื่อนร่วมทีมบางคนแบบออฟไลน์เท่านั้น ที่เหลือกระจายกันอยู่ทั่ว 3 ทวีป
หลังโควิด การทำงานทางไกลเต็มรูปแบบและการจ้างงานทางไกลเต็มรูปแบบกลายเป็นเรื่องปกติไปแล้ว ในทางปฏิบัติ onboarding แบบออฟไลน์จึงหายไปอย่างรวดเร็ว แต่ตอนนี้เมื่อการรับรู้ปัญหาแบบนี้เพิ่มขึ้น ก็มีโอกาสสูงที่การสัมภาษณ์และการเข้าทำงานแบบออฟไลน์จะกลับมาเป็นมาตรฐานอีกครั้ง
ทำได้ เหมือนกับที่ถ้าทุกคนใช้รหัสผ่านที่ดี ความปลอดภัยก็ดีขึ้น แต่ในความเป็นจริงหลายบริษัทยังไม่ได้ทำ อีกเหตุผลหนึ่งคือถ้าบังคับให้สัปดาห์แรกต้องมาออฟไลน์ ก็จะทำให้แหล่งผู้มีความสามารถแคบลง แม้ทุกวันนี้จะมีบรรยากาศแบบบังคับเข้าออฟฟิศหรือทำงาน 100 ชั่วโมงอยู่แล้ว แต่ก็ยังมีข้อเสียอยู่
ที่ทำงานของผมบังคับให้เข้าออฟฟิศตลอด 3 เดือนแรก แม้สิ่งที่เรียกว่าออฟฟิศจะเล็กระดับห้องสตูดิโอ แต่ก็เพียงพอสำหรับการบรรลุเป้าหมาย
ผมคิดว่าถ้าบังคับให้เข้าออฟไลน์ในสัปดาห์แรก ก็น่าจะช่วยให้ดีขึ้นได้ แน่นอนว่าถึงอย่างนั้นก็คงยังมีคนหาข้ออ้างยืดยาว หรืออ้างว่าจะสั่งอาหารเฉพาะบางอย่างผ่าน DoorDash เท่านั้น เป็นต้น
บางทีก็คิดว่า ถ้าเพื่อนร่วมงานสักคนเป็นคนแบบนี้ อย่างน้อยก็คงยังดีกว่าอีกบางคน
มันมีอะไรแปลก ๆ นักพัฒนาทั่วไปสมัครไปหลายร้อยที่กว่าจะได้สัมภาษณ์สักครั้ง แต่แรงงาน IT เกาหลีเหนือที่ภาษาอังกฤษยังไม่คล่องกลับได้งานต่อเนื่อง เห็นทีบน LinkedIn คงต้องถึงขั้นโพสต์สรรเสริญผู้นำสูงสุดกันแล้ว
การโกงจะสำเร็จได้ คนที่ทำต้องเก่งเรื่องนั้นจริง ๆ พวกเขาโกหกกันแบบมืออาชีพ มีการแบ่งบทบาทกันทั้งหาช่องทางสมัคร ทีมช่วยให้ผ่าน ทีมรับมือสัมภาษณ์ ฯลฯ และยังใช้ระบบอัตโนมัติเยอะมากจนเพิ่มประสิทธิภาพได้มหาศาล ส่วนนักพัฒนาทั่วไปก็มีแต่โดนคัดออกซ้ำ ๆ จากจุดสมัคร เรซูเม่ และสัมภาษณ์หลายสิบครั้ง เพราะไม่คิดจะโกหก โอกาสสำเร็จจึงต่ำ แต่ขบวนการหลอกลวงพวกนี้ทำเรื่องนี้ทั้งวันทุกวัน เลยยิ่งเก่งขึ้นเรื่อย ๆ นักพัฒนาจริงพอได้งานแล้วก็หยุดหางาน แต่พวกมิจฉาชีพยังฝึกฝนทักษะการหางานต่อไปไม่หยุด
คนพวกนี้ไม่สนใจข้อจำกัดของโลกจริง ในเรซูเม่ก็ใส่ว่าเรียน Harvard เคยทำงานที่ Meta และประสบการณ์สารพัด แล้วฝ่ายสรรหาก็เห็นประวัติแบบนี้เด่นกว่า จึงดันขึ้นไปเหนือเรซูเม่ของผม
ผมเองก็เคยได้รับอีเมลจากที่อยู่อีเมลแปลก ๆ หลายครั้ง บอกว่า “ฉันจะช่วยให้คุณได้งาน คุณแค่ไปสัมภาษณ์ ที่เหลือเราจัดการให้หมด ทั้งชื่อปลอมและเงินก้อนโตการันตี” ระดับนี้ผมเลยสรุปว่าเรซูเม่ของผมคงดูดีพอจะตกเป็นเป้าของการโกงประเภทนี้ได้ แต่การหลอกแบบนี้ทำออกมาหยาบมาก วิศวกร 99% คงไม่สนใจหรือไม่ก็เมินทิ้งทันที
จริง ๆ แล้วคนพวกนี้อาจไม่ได้งานจริง เพียงแต่เก่งพอจะผ่านไปถึงรอบสัมภาษณ์
น่าจะเป็นไปได้ว่าพวกเขาใช้ตัวตนหลายชุด