- उत्तर कोरिया से जुड़े नकली IT नौकरी आवेदकों की समस्या अधिकांश बड़ी कंपनियों में व्यापक रूप से सामने आ रही है
- इनके घुसपैठ के तरीके AI, deepfake, फर्जी पहचान आदि तक फैले हुए हैं, और कुछ मामलों में यह आंतरिक डेटा चोरी तथा फिरौती की मांग तक पहुँच जाते हैं
- हाल के दिनों में सिर्फ अमेरिका ही नहीं बल्कि यूरोपीय कंपनियां भी निशाने पर हैं, और अधिकांश मामले remote work भूमिकाओं में देखे जा रहे हैं
- कंपनियां भर्ती प्रक्रिया के दौरान दस्तावेज़ सत्यापन, आमने-सामने onboarding, और indicators of compromise (IoC) साझा करने जैसी कई रक्षा रणनीतियां अपना रही हैं
- अपराध के तरीके लगातार विकसित हो रहे हैं और संगठित अपराध तक फैल रहे हैं, इसलिए security और hiring टीमों के सहयोग, प्रशिक्षण, और human firewall को मजबूत करना अनिवार्य है
अवलोकन और मौजूदा स्थिति
- हाल में उत्तर कोरिया से जुड़े नकली IT नौकरी आवेदकों की समस्या वैश्विक बड़ी कंपनियों में आम होती जा रही है
- Fortune 500 कंपनियों के कई CISO ने कहा है कि वे इस समस्या का सामना कर चुके हैं, और Google, Snowflake जैसी कंपनियों के security जिम्मेदारों ने भी अपनी आंतरिक hiring प्रक्रिया में ऐसे मामले पाए हैं
- अमेरिकी न्याय विभाग ने घोषणा की है कि पिछले 6 वर्षों में इनसे जुड़ा नुकसान 8.8 करोड़ डॉलर तक पहुँच गया है
- कुछ मामलों में, आंतरिक सिस्टम तक पहुंच मिलने के बाद source code और गोपनीय जानकारी की चोरी तथा फिरौती मांगने की घटनाएं भी रिपोर्ट हुई हैं
- अमेरिकी कंपनियों की बढ़ी हुई सतर्कता के कारण अब यूरोपीय बाजार को target करने की घटनाएं भी तेजी से बढ़ रही हैं
भर्ती प्रक्रिया में दिखने वाले खास रुझान
- Socure जैसी कंपनियों के पास हाल में हजारों की संख्या में असामान्य आवेदन पहुंच रहे हैं
- LinkedIn प्रोफाइल अक्सर सतही होते हैं या उनमें connections कम होते हैं, लेकिन अनुभव बहुत चमकदार दिखता है; फोन नंबर, ईमेल और VPN उपयोग में भी असंगतियां मिलती हैं
- video interview के दौरान पश्चिमी शैली के नाम, पूर्वी एशियाई चेहरा-मोहरा और accent जैसी जनसांख्यिकीय असंगतियां बार-बार देखी गई हैं
- आवेदकों के जवाब कई बार ChatGPT जैसे AI tools के उत्तरों से मिलते-जुलते पाए गए हैं
- ऊपर से वे दोस्ताना और सामान्य लग सकते हैं, लेकिन गहराई से जांच करने पर कई संदिग्ध संकेत सामने आते हैं
security और hiring टीमों के सहयोग की जरूरत
- अधिकतर hiring प्रबंधकों के पास cybersecurity या identity management का पर्याप्त ज्ञान नहीं होता, और HR व security टीमों के बीच संवाद की कमी एक बड़ी समस्या है
- Netskope जैसी कंपनियां security, HR और legal विभागों के बीच बैठकें आयोजित कर रही हैं, साथ ही स्थानीय FBI briefings जैसी बहुपक्षीय सहयोग व्यवस्था भी बना रही हैं
- remote work वातावरण में PC प्राप्त करने के लिए offline visit और address verification जैसी वास्तविक पुष्टि प्रक्रियाएं बेहद महत्वपूर्ण साबित होती हैं
- यह भी बार-बार देखा गया है कि दस्तावेज़ सत्यापन की मांग होने पर नकली आवेदक बीच में ही प्रक्रिया छोड़ देते हैं
AI और सूचना-साझाकरण के जरिए मुकाबला करने के तरीके
- AI और deepfake जैसी नई तकनीकों के दुरुपयोग के मामले बढ़ रहे हैं, लेकिन Snowflake जैसी कंपनियां IoC (indicators of compromise) datasets बनाकर और partners के साथ जानकारी साझा करके मुकाबला कर रही हैं
- IoC में ईमेल, वास्तविक पते, फोन नंबर जैसी ऐसी जानकारियां शामिल होती हैं जिन्हें फर्जी बनाया जा सकता है
- human firewall (यानी hiring प्रबंधकों का प्रशिक्षण) रणनीति के तहत resume में अतिशयोक्ति, interview जवाब में देरी, तकनीकी भ्रम, call center जैसे माहौल आदि संकेत पहचानने की ट्रेनिंग दी जाती है
- अंततः आमने-सामने interview को सबसे प्रभावी माना जा रहा है, और बिना ठोस कारण के व्यक्तिगत रूप से उपस्थित न हो पाने के बहाने को एक मजबूत संदेह का कारण माना जाता है
- कंपनियों, partners और सरकारी एजेंसियों के सहयोग से pre-screening चरण में ही संदिग्ध आवेदकों की एंट्री रोकने की कोशिश की जा रही है
संगठित और आपराधिक विस्तार की आशंका
- जब कोई तरीका अपराधियों के लिए लाभदायक साबित होता है, तो संगठित गिरोह उसे बहुत तेजी से नकल करके फैलाते हैं
- यह केवल उत्तर कोरिया-नेतृत्व वाली घटना तक सीमित नहीं रह सकती, बल्कि अन्य देशों और संगठित अपराध समूहों तक भी फैलने की आशंका है
- इसलिए हर hiring प्रक्रिया में security और hiring टीमों के बीच मजबूत सहयोग तथा नए मामलों पर लगातार प्रशिक्षण की जरूरत बढ़ती जा रही है
1 टिप्पणियां
Hacker News राय
मेरा मानना है कि आमने-सामने identity verification प्रक्रिया अनिवार्य कर दी जाए तो ऐसी समस्या रोकी जा सकती है
कहा जाता है कि LinkedIn पर सिर्फ 25 connections वाले profile से असली/नकली का फर्क किया जा सकता है, लेकिन असल में hacked LinkedIn account भी होते हैं। मेरे एक सहकर्मी का account hack हो गया था, और उसमें 1,000 से ज़्यादा वास्तविक contacts थे। फोटो और नाम को East Asian जैसा बदल दिया गया, और CV भी बदलकर अमेरिकी defense contractor के अनुभव वाला कर दिया गया। किस्मत से auto account lock feature की वजह से मामला पकड़ा गया, लेकिन यह भी हो सकता था कि यह हालत लंबे समय तक बनी रहती। हज़ारों लोगों से जुड़ा व्यक्ति भी हर connection को अलग-अलग याद नहीं रखता, नाम बदलने की कोई notification भी नहीं आती, इसलिए ऐसे hacked profile को North Korean IT workers को बेचकर misuse करना पूरी तरह संभव है
Jeff Geerling ने हाल ही में FBI से संपर्क किए जाने का अपना अनुभव साझा किया, और विषय था mini KVM device, जिसका North Korean IT भेषधारी job applicants रणनीतिक रूप से इस्तेमाल करते हैं। संबंधित वीडियो
मैंने सुना है कि यहाँ KVM device कई laptops से जोड़े जाते हैं और लोगों के घरों के basement या कमरों जैसी जगहों में वास्तव में चलाए जा रहे होते हैं। किसी को company-provided laptop की हर 1 device के लिए मासिक आधार पर एक तय रकम मिलती है, और वह उस laptop में एक छोटा KVM लगाकर remote worker को access दे देता है। इस प्रक्रिया में tracking बहुत कठिन हो जाती है
मुझे ठीक से पता नहीं, लेकिन KVM असल में क्या करने वाला device है? क्या इसमें बस Ethernet और HDMI port होते हैं, इसलिए remote control संभव हो जाता है? और यह भी कहा जाता है जैसे North Korean लोग सचमुच दूसरों के घरों में घुसकर यह लगाते हों, जो मुझे ज़्यादा कल्पनीय नहीं लगता। FBI ने Jeff Geerling से संपर्क क्यों किया, यह भी समझ नहीं आता। सच कहूँ तो मैं KVM को सिर्फ Linux kernel virtualization के अर्थ में जानता था
इसमें यह बात थी कि "जैसे-जैसे अमेरिकी IT कंपनियाँ नकली applicants को पकड़ने में बेहतर हो रही हैं, अब यूरोपीय कंपनियाँ नया target बन रही हैं"। जिन भी कंपनियों में मैंने अमेरिका में काम किया, सबने मेरी identity का बहुत कड़ाई से verification किया। लगभग हर company background check को default मानती है। यूरोपीय कंपनियाँ तुलनात्मक रूप से थोड़ी ढीली लगती हैं
कभी-कभी अमेरिकी कंपनियों का background check मेरी privacy में दखल देने की हद तक ज़्यादा हो जाता है। उदाहरण के लिए hiring से पहले credit check, card·car·house पर बचे हुए loan, मासिक repayment amount, और पिछले 7 साल की salary तक देखने की मांग की जाती है। मुझे यह बहुत ज़्यादा लगता है। मेरी पूरी स्थिति सामने होने से salary negotiation आदि में भी मैं कमजोर पड़ जाता हूँ
यह भी रिपोर्ट हुआ है कि कंपनियों में वास्तव में किसी से यह प्रस्ताव किया जाता है, "क्या तुम अपनी identity इस्तेमाल करने दोगे?"। दिखावे में उसी व्यक्ति को इस्तेमाल किया जाता है, लेकिन असली काम वे लोग खुद करते हैं। salary बाँटने की व्यवस्था होती है। जाहिर है इसमें बहुत बड़ा risk और कई illegal पहलू हैं, लेकिन फिर भी आसानी से पैसा कमाने की चाह रखने वाले लोग काफ़ी होते हैं
कई यूरोपीय कंपनियाँ remote work देती ही नहींं, या बहुत कम देती हैं, और अगर video interview या phone interview भी करें तो लगभग हमेशा offline interview मांगती हैं। इसलिए कम-से-कम उस देश के भीतर वास्तविक रूप से रहना एक बुनियादी अपेक्षा होती है। साथ ही local language proficiency भी मांगी जाती है, इसलिए North Korean IT workers के लिए यह प्रक्रिया पार करना कहीं अधिक कठिन होता है
background check भी परफेक्ट नहीं होता। resume किसी forged identity का हो सकता है, और अमेरिकी identity खरीदकर भी इस्तेमाल की जा सकती है। यह I-9 identity verification को तोड़ने के लगभग इकलौते तरीकों में से एक है। background check के भी कई प्रकार होते हैं, इसलिए कई कंपनियाँ previous employment verification जैसे झंझट वाले steps को छोड़ देती हैं। reference check भी बेकार हो सकता है, क्योंकि references खुद गढ़े जा सकते हैं। आख़िरकार references की भी identity verification करनी पड़ेगी
यह fraud के प्रकारों में से एक है। अगर कोई नया अमेरिकी immigrant हो, तो वह background check भी आराम से पार कर सकता है। एक आम तरीका यह है कि forged degree और experience के सहारे contract programmer developer की नौकरी ली जाए और रातोंरात काम Asia में outsource कर दिया जाए। ChatGPT की मदद से, monitor की फोटो खींचते ही उसे तुरंत text में बदलकर remote काम और आसान हो जाता है। यहाँ तक कि अपने काम का कुछ हिस्सा बाहर outsource करने वाले developers भी आम हैं, और इसी तरह एक साथ कई जगह काम करने वाले लोग भी होते हैं
मैं सोचता हूँ कि अगर ये ठग सच में नौकरी पा भी लेते हैं, तो उनका अगला लक्ष्य क्या होता होगा। क्या वे industrial spy की तरह सिर्फ intelligence इकट्ठा करते हैं, या सचमुच सौंपा गया काम भी करते हैं, या joining करते ही जितना हो सके data या पैसा निकालकर पकड़े जाने पर भाग जाते हैं? क्या इनके पास IT काम की क्षमता भी होती है? सब कुछ जानने की जिज्ञासा है
मैंने कहीं एक tweet में देखा था कि applicant से Kim Jong-un की आलोचना करवाकर पता लगाया जा सकता है कि वह North Korea से है या नहीं
यह ऐसा तरीका है जो एक-दो बार आज़माते ही जल्दी निष्प्रभावी हो जाएगा। अगर मैं spy होता या किसी covert operation में होता, तो मुझे लगता है कि संगठन के स्तर पर हमें कुछ भी बोलने के लिए तैयार कर दिया जाता
अगर कोई मुझसे कहे कि Kim Jong-un की आलोचना करके दिखाओ, तो मैं वहीं बातचीत खत्म कर दूँगा। मैं आलोचना तब करता हूँ जब मैं खुद चाहूँ। ऐसे तरीकों से तो उलटे असली applicant भी बाहर हो सकते हैं
अगर वास्तव में ऐसी screening बढ़ने लगे, तो कई लोग यह सोचकर कि "अच्छा, मैं पकड़ा गया" या risk बढ़ गया है, खुद ही पीछे हट सकते हैं। जैसे email scammers जानबूझकर खराब grammar इस्तेमाल करते हैं, वैसे ही यह भी शुरू से मुश्किल applicants को छाँटकर सिर्फ आसान cases को निशाना बनाने की रणनीति हो सकती है
ऐसे सवाल बहुत सावधानी से फ़िल्टर करने चाहिए। नस्ल या immigration status की परवाह किए बिना सभी applicants से एक जैसे सवाल पूछे गए हों, इसका रिकॉर्ड होना चाहिए। व्यवहारिक रूप से Asian न दिखने वाले या native Anglosphere applicants से भी यह सवाल पूछना सुरक्षित होगा, क्योंकि North Korea आगे चलकर ऐसे proxy या बाहरी लोगों से apply करवाने की दिशा में जा सकता है
यह हैरानी की बात है कि ऐसे मामले बार-बार सामने आते हैं। मैं तो एक सामान्य और अच्छा इंसान हूँ, फिर भी ठीक-ठाक नौकरी ढूँढना मुश्किल है। लेकिन ये नकली applicants लगातार hire हो रहे हैं, यह समझ नहीं आता। आखिर कंपनियाँ कर क्या रही हैं?
अगर joining के पहले हफ्ते को पूरी तरह offline work के रूप में अनिवार्य कर दिया जाए तो कैसा रहेगा? onboarding के नाम पर इसे आसानी से पेश भी किया जा सकता है, और मुझे लगता है कि इससे ऐसी समस्या हल हो सकती है
हर company के पास office नहीं होता। मेरी पिछली नौकरी में joining के 6 महीने बाद जाकर office बना था, और देश के भीतर भी आधे से ज़्यादा लोगों के लिए office तक पहुँचने में 3–4 घंटे लगते थे। वास्तव में मैं team के सिर्फ कुछ सदस्यों से ही offline मिला हूँ, बाकी लोग दुनिया के 3 महाद्वीपों में फैले हुए हैं
COVID के बाद पूरी तरह remote work और पूरी तरह remote hiring आम हो गए, इसलिए व्यवहारिक रूप से offline onboarding तेजी से गायब हो गया। लेकिन अब इस समस्या को लेकर awareness बढ़ रही है, इसलिए offline interview और office attendance फिर से standard बनने की संभावना काफ़ी है
यह संभव है। यह कुछ वैसा ही है जैसे सभी लोग अच्छे password इस्तेमाल करें तो security बेहतर होगी। व्यवहारिक रूप से अभी बहुत-सी कंपनियाँ ऐसा नहीं करतीं। एक और वजह यह है कि पहले हफ्ते offline अनिवार्य करने से talent pool छोटा हो जाता है। आजकल भले forced return-to-office और 100 घंटे काम वाली हवा चल रही हो, फिर भी इसके नुकसान हैं
मेरी एक नौकरी में 3 महीने तक हर हाल में offline office आना होता था। office कहने लायक भी नहीं, बस छोटे studio apartment जैसा था, लेकिन लक्ष्य हासिल करने के लिए पर्याप्त था
मेरा मानना है कि पहले हफ्ते offline work अनिवार्य करने से सुधार होगा। बेशक तब भी लोग लंबी-लंबी सफाइयाँ देंगे, या कहेंगे कि वे सिर्फ DoorDash से ही खास खाना मँगाएँगे, जैसी कई बातें होंगी
कभी-कभी लगता है कि कम-से-कम एक सहकर्मी तो ऐसा होता तो बेहतर रहता
कुछ गड़बड़ है। developers सैकड़ों जगह apply करके भी मुश्किल से एक interview पाते हैं, लेकिन टूटी-फूटी English बोलने वाले North Korean IT workers बार-बार नौकरी पा रहे हैं। लगता है LinkedIn पर अब शायद supreme leader की तारीफ़ ही करनी पड़ेगी
fraud में वही सफल होता है जो इसमें सचमुच माहिर हो। पूरी तरह पेशेवर तरीके से झूठ बोलना, applicant pipeline ढूँढना, candidates को पास करवाने वाली team, interview response — सबकी भूमिकाएँ बँटी होती हैं। automation भी बहुत इस्तेमाल करते हैं, जिससे efficiency बहुत बढ़ जाती है। एक individual developer application points, resume, interview आदि के दर्जनों फ़िल्टर पार नहीं कर पाता और झूठ भी नहीं बोलना चाहता, इसलिए सफलता की संभावना कम होती है। लेकिन ऐसे fraud संगठन दिन-भर सिर्फ यही काम करते हैं, इसलिए वे लगातार बेहतर होते जाते हैं। असली developer को नौकरी मिल जाए तो वह फिर job search नहीं करता, लेकिन scammer लगातार job-hunting skills को तराशता रहता है
ये लोग वास्तविक दुनिया की सीमाओं की परवाह नहीं करते। resume में Harvard, Meta में काम का अनुभव, वगैरह सब जोड़ देते हैं। और hiring manager ऐसी profile देखकर उसे मेरे resume से ऊपर रख देता है
मुझे भी अजीब email addresses से कई बार ऐसे mail मिले हैं: "मैं तुम्हें job दिला दूँगा, interview बस तुम दे देना, बाकी सब हम कर देंगे। नकली नाम और बड़ी रकम की गारंटी।" इससे मुझे लगता है कि मेरा resume इतना अच्छा है कि मैं इस तरह के scam के target profile में आता हूँ। लेकिन यह तरीका बहुत ही घटिया किस्म का scam है। 99% engineers ऐसे mail पर ध्यान ही नहीं देते या तुरंत ignore कर देते हैं
असल में शायद ऐसे लोग सचमुच नौकरी लेने तक नहीं पहुँचते, बस interview stage तक पार कर जाते हैं
शायद ये लोग कई identities का इस्तेमाल करते हैं