Nach einer umfassenden Suche waren die Personalverantwortlichen bei KnowBe4 der Ansicht, den idealen Kandidaten für das interne KI-Team des Unternehmens gefunden zu haben.
Auf dem Papier erfüllte Kyle alle Anforderungen für die Stelle als Entwickler. Er war ein erfahrener Softwareentwickler, machte in all seinen Video-Vorstellungsgesprächen einen guten Eindruck und verfügte über hervorragende Referenzen. Seine Angaben zu seinem Werdegang haben sich als zutreffend erwiesen.
Doch nachdem die Sicherheitsfirma Kyle seinen Firmenlaptop zugeschickt hatte, begannen seltsame Dinge zu geschehen. Zunächst versuchte er, die Malware „ “ ( ) auf dem Rechner zu installieren, was jedoch von der Endpunktschutzsoftware „“ ( ) des Systems verhindert wurde. Als das Security Operations Center des Unternehmens über Slack Kontakt aufnahm, gab Kyle an, er habe sein System versehentlich kompromittiert, als er einen Fehler an seinem Router beheben wollte.
Diese Ausrede ergab keinen Sinn, weshalb das Sicherheitsteam versuchte, ihn dazu zu bewegen, an einem Audio-Chat teilzunehmen. Kyle sagte, er könne nicht sprechen, und hörte daraufhin gänzlich auf zu kommunizieren. Das reichte dem SOC (Security Operations Center) der „ “ aus. In weniger als 30 Minuten hatten KnowBe4 Personen Kyles Konto gesperrt. Anschließend gab das Unternehmen die Einzelheiten ihres Schriftwechsels an das Sicherheitsberatungsunternehmen Mandiant und später an das FBI weiter.
„Durch Mandiant und das FBI erfuhren wir, dass es sich hierbei um eine ausgeklügelte, gut finanzierte und staatlich geförderte Operation handelte“, sagt Stu Sjouwerman, der Geschäftsführer des Unternehmens, der im Juli in seinem Blog über den Vorfall berichtete , um andere Unternehmen zu warnen.
Für Hunderte von US-Unternehmen – und noch mehr weltweit – kommt diese Warnung jedoch zu spät.
Wir müssen über Kyle sprechen … und über Deepfakes
Als führender Anbieter innovativer Schulungen zur Sensibilisierung für Sicherheitsfragen ist KnowBe4 bestens vertraut mit den Trends im Bereich der Bedrohungsanalyse sowie mit intelligenten Maßnahmen zur Cyberhygiene . Dies unterstreicht nur, wie heimtückisch das Kyle-Problem ist. Sie erfuhren, dass „Kyle“ höchstwahrscheinlich ein nordkoreanischer Staatsangehöriger war, der sich als US-amerikanischer Staatsbürger ausgab. Um die Mitarbeiterüberprüfungen des Unternehmens zu umgehen, hatte er eine gestohlene Identität und ein mit KI bearbeitetes Foto verwendet, um die Hintergrundüberprüfungen zu bestehen. Ein professioneller Statist wurde dafür bezahlt, in den Videointerviews die Rolle von Kyle zu übernehmen, während sich der eigentliche Mitarbeiter wahrscheinlich irgendwo in Asien aufhielt. Die Referenzen wurden per E-Mail bestätigt.
„Mit einem einzigen hochauflösenden Bild des Gesichts einer Person und etwa 10 Sekunden Audioaufnahme können Sie mithilfe eines Open-Source-Tools jeden auf Zoom oder Teams täuschen.“Ben Colman, Geschäftsführer und Mitbegründer von Reality Defender
Sjouwerman betont, dass keine Unternehmensdaten verloren gegangen sind, keine sensiblen Systeme kompromittiert wurden und die Sicherheitsmaßnahmen von KnowBe4 genau so funktioniert haben, wie sie sollten. Kyle wurde umgehend entlassen.
Dennoch räumt Sjouwerman ein, dass sein Unternehmen gerade noch einmal mit einem blauen Auge davongekommen ist. Hätte der vorgebende Entwickler nicht sofort versucht, Schadsoftware zu installieren, hätte er möglicherweise Zugriff auf die Software-Repositorys des Unternehmens sowie auf die Cloud-Server von „ “ unter erlangt.
Sjouwermans Eingeständnis ist selten, doch der Angriff, dem sein Unternehmen zum Opfer fiel, ist es nicht. Kurz nachdem er seinen Bericht veröffentlicht hatte, erfuhr KnowBe4 von mehr als einem Dutzend anderer Unternehmen, die Bewerbungen von ähnlichen falschen Bewerbern erhalten hatten; eines davon hatte „Kyle“ sogar bereits eingestellt.
Angreifer verbergen sich in aller Öffentlichkeit
Nach Angaben des US-Justizministeriums wurden mehr als 300 Unternehmen von nordkoreanischen IT-Fachkräften infiltriert, die sich als US-Bürger ausgaben. Dazu zählen sowohl „Fortune 500 “-Unternehmen als auch Organisationen mit nur 12 Mitarbeitern, wie Roger Grimes, ein Verfechter datengestützter Sicherheitsmaßnahmen bei KnowBe4 und Autor des Whitepapers „ “ ( ), in dem detailliert beschrieben wird, wie sich ähnliche Angriffe erkennen und verhindern lassen, feststellt.
Nach Angaben von „ Mai 2024“ hatten betrügerische, im Ausland ansässige Mitarbeiter fast 7 Millionen US-Dollar an Gehältern von US-Unternehmen kassiert. Nach Angaben des FBI floss der größte Teil dieser Gelder direkt an die nordkoreanische Regierung, um deren Rüstungsprogramme zu finanzieren.
Diese ausländischen IT-Fachkräfte wurden von einem Netzwerk von „Vermittlern“ in den USA unterstützt. Diese Komplizen betreiben Laptop-Farmen, auf die Mitarbeiter im Ausland unbemerkt zugreifen können, und bieten darüber hinaus falsche Referenzen, Geldwäsche sowie weitere Dienstleistungen an. Im vergangenen Mai verhaftete die Abteilung für Strafverfolgung des US-Justizministeriums (DOJ) zwei Amerikaner wegen ihrer Beteiligung daran, ausländischen IT-Fachkräften dabei zu helfen, ihre US-Arbeitgeber zu täuschen.
In den meisten Fällen – und hier liegt der entscheidende Punkt, den Führungskräfte in Unternehmen unbedingt beachten sollten – scheinen die ausländischen Mitarbeiter die Arbeit geleistet zu haben, für die sie eingestellt wurden. Das sind keine Faulenzer, und daher sind sie nicht so leicht zu erkennen. Selbstverständlich setzt sich jede Organisation einer Vielzahl von Risiken aus, wenn sie unwissentlich IT-Fachkräfte aus der Demokratischen Volksrepublik Korea (DVRK) beschäftigt.
Die Einstellung von Personen aus Nordkorea könnte gegen die internationalen Sanktionen gegen dieses Land verstoßen und Unternehmen möglicherweise rechtlichen Risiken aussetzen. Einen Mitarbeiter aus einem feindlich gesinnten Staat zu beschäftigen, bedeutet auch, dass das Unternehmen mit größerer Wahrscheinlichkeit mit Insiderangriffen konfrontiert wird , wie Sjouwerman anmerkt. Nordkoreanische Universitäten bilden viele IT-Fachkräfte und „Black-Hat“-Hacker aus, sagt er, und diese kennen sich alle untereinander. Unternehmen, in die eingedrungen wurde, sind anfälliger für Datenlecks, Finanzbetrug sowie Angriffe auf die Lieferkette.
„Stellen Sie sich einmal vor, der „Black Hat“ würde seinem IT-Kollegen bei Morgan Stanley eine SMS schicken: ‚Hey, jemand bei Morgan Stanley äußert sich abfällig über Kim Jong-Un.‘ „Richten Sie so viel Schaden wie möglich an.“
Deepfakes werden immer realistisch und einfacher
Rückblickend gab es einige Warnsignale, die KnowBe4 hätte erkennen müssen, räumt Sjouwerman ein.
„. Es gibt weltweit Tausende solcher Menschen, die für Unternehmen arbeiten, die keine Ahnung davon haben.“Stu Sjouwerman, Geschäftsführer, KnowBe4
Während „Kyle“ beispielsweise angab, in Atlanta zu wohnen, bat er KnowBe4 , seinen Firmenlaptop an eine Adresse im Bundesstaat Washington zu senden – den Standort einer der bekannten Laptop-Farmen. Sjouwerman fügt hinzu, dass sein Team bei der Überprüfung des beruflichen Werdegangs des Bewerbers und der Überprüfung seiner Referenzen gründlicher hätte vorgehen sollen. Seitdem hat das Unternehmen seine Einstellungsverfahren grundlegend überarbeitet.
Da es sich jedoch um ausgeklügelte, staatlich geführte Operationen handelt, könnten sie ihre Taktik bereits geändert haben, warnt Grimes.
Darüber hinaus wird die zunehmende Raffinesse von Deepfake-Videos auf Basis künstlicher Intelligenz die Durchführung von Vorstellungsgesprächen aus der Ferne noch riskanter machen, wie Ben Colman, Geschäftsführer und Mitbegründer von Reality Defender, feststellt. Das Unternehmen bietet Deepfake-Erkennungsdienste für Unternehmen an.
In den vergangenen 18 Monaten sind die Kosten für die Erstellung von Deepfakes um das 100 -Fache gesunken, wie Colman feststellt. In Verbindung mit einer explosionsartigen Zunahme von Open-Source-Tools zur Gesichts- und Stimmzuordnung ist es einfacher denn je, glaubwürdige Echtzeitvideos von praktisch jeder Person zu erstellen, die praktisch alles sagt – was eine Flut von Falschinformationen unter sowie Desinformationen unter und nur noch weiter anheizen wird.
„Mit einem einzigen hochauflösenden Bild des Gesichts einer Person und etwa 10 Sekunden Audioaufnahme können Sie mithilfe eines Open-Source-Tools jeden auf Zoom oder Teams täuschen“, fügt er hinzu.
Laut Colman arbeitet Reality Defender im Rahmen des Mitarbeiterüberprüfungsprozesses mit Personal- und Rekrutierungsteams großer Banken, Medienunternehmen und Behörden zusammen. Im Großen und Ganzen fehlt es jedoch an einem breiten Bewusstsein für das Problem der vorgetäuschten Telearbeit.
„Es gibt weltweit Tausende dieser Menschen, die für Unternehmen arbeiten, die keine Ahnung davon haben“, sagt Sjouwerman. „Ich möchte anderen Geschäftsführern nachdrücklich empfehlen, ihre bestehenden Einstellungsverfahren zu überprüfen und insbesondere den Prozess der Einstellung von Ingenieuren im Homeoffice zu optimieren.“
Unternehmen müssen ein Bedrohungsmodell in ihre Einstellungsverfahren integrieren und die Geschäftsleitung über die Risiken bei der Einstellung ausländischer Staatsangehöriger informieren, so Grimes. Stellen Sie in Vorstellungsgesprächen Fragen, deren Antworten jemand, der an einer bestimmten Universität studiert hat, in einer bestimmten Stadt gelebt hat oder bei einem früheren Arbeitgeber tätig war, wahrscheinlich kennt, die sich jedoch nicht ohne Weiteres online finden lassen.
Wenn möglich, sei ein persönliches Gespräch der sicherste Weg, jemanden zu überprüfen, fügt er hinzu.
„Verlangen Sie nach Möglichkeit stets, dass sich Mitarbeiter im Homeoffice persönlich mit einem Mitarbeiter, einem Teamleiter oder einem ausgewählten Vertreter der Organisation treffen und dabei einen amtlichen Ausweis vorlegen, um zu bestätigen, dass sie tatsächlich die Person sind, für die sie sich ausgeben.“
10 Anzeichen dafür, dass Ihr Bewerber für eine Stelle im IT-Bereich möglicherweise nicht seriös ist:
Zwar gibt es keine zu 100 Prozent sichere Methode, um einen falschen Bewerber zu entlarven, doch sollten die folgenden Warnzeichen jeden Personalverantwortlichen dazu veranlassen, etwas genauer hinzuschauen.
- 1. Mangelnde Englischkenntnisse trotz Angaben zu einer Ausbildung in den USA oder einem langjährigen Aufenthalt dort
- 2. Der Akzent passt nicht zu der Region der Welt , aus der die Personen angeblich stammen
- 3. Die Antworten auf Fragen zum beruflichen Werdegang sind widersprüchlich oder vage
- 4. Minimaler digitaler Fußabdruck en außerhalb der bereitgestellten Profile
- 5. Inkonsistente oder neu erstellte Social-Media-Profile unter „ “
- 6. Stellenbeschreibungen oder Arbeitsergebnisse, die aus anderen Quellen kopiert wurden
- 7. Es werden ausschließlich öffentliche E-Mail-Domains wie , z. B. Gmail oder Outlook.com, verwendet.
- 8. Stellt stets eine Verbindung zu über VPN oder VoIP-Nummern her
- 9. Telefoninterviews , die von lauten Callcentern aus durchgeführt wurden
- 10. zögert, vor der Kamera zu erscheinen, und führt Gründe dafür an, warum
