Après une recherche exhaustive, les responsables du recrutement de KnowBe4 pensaient avoir identifié le candidat idéal pour rejoindre l’équipe IA interne de l’entreprise.
Sur papier, Kyle a coché toutes les bonnes cases pour le poste de développeur. Il était ingénieur logiciel expérimenté, a fait une bonne présentation dans tous ses entretiens vidéo et avait d’excellentes références. Ses informations d’identification en arrière-plan ont été extraites.
Mais après que la société de sécurité a expédié l’ordinateur portable de Kyle, des choses bizarres ont commencé à se produire. Tout d’abord, il a essayé d’installer des logiciels malveillants sur la machine, et cela a été arrêté par le logiciel de protection des endpoints du système. Lorsque le centre des opérations de sécurité de l’entreprise a contacté Slack, Kyle a déclaré qu’il avait accidentellement compromis son système lors du dépannage de son routeur.
Cette excuse n’avait aucun sens, l’équipe de sécurité a donc essayé de l’amener à rejoindre un chat audio. Kyle a dit qu’il ne pouvait pas parler, puis a arrêté de communiquer entièrement. Cela suffisait pour le SOC [centre des opérations de sécurité]. En moins de 30 minutes, KnowBe4 avaient verrouillé le compte de Kyle. Il a ensuite partagé les détails de leurs échanges avec le cabinet de conseil en sécurité Mandiant et, plus tard, le FBI.
« Entre Mandiant et le FBI, nous avons appris qu’il s’agissait d’une opération sophistiquée, bien financée et parrainée par l’État », déclare Stu Sjouwerman, PDG de l’entreprise, qui a publié un blog sur l’incident en juillet dans le cadre d’un effort pour avertir d’autres entreprises.
Bien que pour des centaines d’entreprises américaines, et encore plus dans le monde entier, cet avertissement arrive trop tard.
Nous devons parler de Kyle... et de deepfakes
En tant que leader dans la formation innovante à la sensibilisation à la sécurité, KnowBe4 n’est pas étranger aux tendances en matière de renseignements sur les menaces et à la cyberhygiène intelligente. Ce qui ne fait que souligner à quel point le problème de Kyle est insidieux. Ils ont appris que « yle » était très probablement un ressortissant nord-coréen se faisant passer pour un citoyen américain. Pour échapper aux écrans des employés de l’entreprise, il avait utilisé une identité volée et une photo surveillée par IA pour réussir la vérification des antécédents. Une frénésie professionnelle a été payée pour jouer Kyle dans les entretiens vidéo, tandis que l’employé réel était probablement quelque part en Asie. Les références ont été confirmées par e-mail.
« Avec une seule image haute résolution du visage d’une personne et environ 10 secondes d’audio, vous pouvez utiliser un outil open source pour tromper n’importe qui sur Zoom ou Teams. »Ben Colman, PDG et cofondateur de Reality Defender
Sjouwerman souligne qu’aucune donnée de l’entreprise n’a été perdue, qu’aucun système sensible n’a été violé et que les défenses de sécurité de KnowBe4 ont fonctionné exactement comme elles étaient censées le faire. Kyle a été immédiatement licencié.
Cependant, Sjouwerman admet que sa société a esquivé une balle. Si le faux développeur n’avait pas immédiatement essayé d’installer des logiciels malveillants, il aurait pu avoir accès aux référentiels logiciels et aux serveurs cloud de l’entreprise.
L’admission de Sjouwerman est rare, mais l’attaque que sa société a subie ne l’est pas. Peu après avoir publié son compte, KnowBe4 ont entendu parler de plus d’une douzaine d’autres entreprises qui avaient reçu des candidatures de faux candidats similaires, dont l’une avait même embauché « Kyle ».
Les attaquants se cachent à la vue de tous
Selon le ministère de la Justice des États-Unis, plus de 300 entreprises ont été infiltrées par des travailleurs informatiques nord-coréens se faisant passer pour des citoyens américains. Cela inclut à la fois les entreprises et organisations du Fortune 500 comptant seulement 12 employés, note Roger Grimes, un évangéliste de la défense basé sur les données pour KnowBe4, et l’auteur d’un livre blanc détaillant comment identifier et prévenir des attaques similaires.
En mai 2024, des employés étrangers frauduleux avaient collecté près de 7 millions USD de salaire auprès d’entreprises américaines. Selon le FBI, la majeure partie de cet argent a été reversée directement au gouvernement nord-coréen pour aider à financer ses programmes d’armes.
Ces travailleurs informatiques étrangers ont été aidés par un réseau de « facilitateurs » au niveau de l’État. Ces collaborateurs exploitent des fermes d’ordinateurs portables auxquelles les employés situés à l’étranger accèdent discrètement, et fournissent de fausses références, du blanchiment d’argent et d’autres services. En mai dernier, le DOJ a arrêté deux Américains pour leur rôle dans l’aide aux travailleurs informatiques étrangers qui dupliquaient leurs employeurs américains.
Dans la plupart des cas, et voici le coup d’envoi qu’il convient de souligner pour les dirigeants d’entreprise, les employés étrangers semblent avoir effectué le travail pour lequel ils ont été embauchés. Ce ne sont pas des asservis, et ce n’est donc pas si facile à repérer. Bien sûr, l’emploi involontaire de travailleurs informatiques de la République populaire démocratique de Corée (DPRK) ouvre toute organisation à un éventail de risques.
Le fait d’embaucher quelqu’un de Corée du Nord peut enfreindre les sanctions internationales contre ce pays, mettant potentiellement les entreprises en danger juridique. Avoir un employé d’un État-nation hostile signifie également que l’entreprise est plus susceptible d’être confrontée à des attaques d’initiés, note M. Sjouwerman. Les universités nord-coréennes produisent beaucoup de travailleurs informatiques et de pirates informatiques, dit-il, et ils se connaissent tous. Les entreprises qui ont été infiltrées sont plus vulnérables aux violations de données, à la fraude financière et aux attaques de la chaîne d’approvisionnement.
« Imaginez simplement que le chapeau noir envoie un texte à son ami informatique chez Morgan Stanley : « Hé, quelqu’un chez Morgan Stanley dit de mauvaises choses à propos de Kim Jong-Un. Faites autant de dégâts que possible. »
Les Deepfakes deviennent plus profonds et plus faciles
Rétrospectivement, il y avait quelques signaux d’alarme que KnowBe4 aurait dû reconnaître, admet Sjouwerman.
« Des milliers de ces personnes dans le monde travaillent pour des entreprises qui n’ont aucun indice. »Stu Sjouwerman, PDG, KnowBe4
Par exemple, alors que « Kyle » prétendait vivre à Atlanta, il a demandé à KnowBe4 d’envoyer l’ordinateur portable de son entreprise à une adresse dans l’État de Washington, l’emplacement de l’une des fermes d’ordinateurs portables connues. Sjouwerman ajoute que son équipe aurait dû être plus approfondie dans la recherche de divergences dans l’historique professionnel du candidat et la vérification de ses références. Depuis, l’entreprise a considérablement remanié ses processus de recrutement.
Mais comme il s’agit d’ opérations sophistiquées gérées par l’État, elles ont peut-être déjà modifié leurs tactiques, avertit Grimes.
De plus, la sophistication croissante des vidéos de simulation approfondie de l’IA rendra les entretiens d’embauche à distance encore plus précaires, note Ben Colman, PDG et cofondateur de Reality Defender, qui offre des services de détection approfondie de simulation aux entreprises.
Au cours des 18 derniers mois, le coût de la création de deepfakes a chuté 100 fois, note Colman. Associé à une explosion d’outils de cartographie des visages et des voix open source, il est plus facile que jamais de créer des vidéos en temps réel crédibles de pratiquement n’importe qui, disant pratiquement n’importe quoi, ce qui ne fera qu’alimenter une multitude de désinformation et de désinformation.
« Avec une seule image haute résolution du visage d’une personne et environ 10 secondes d’audio, vous pouvez utiliser un outil open source pour tromper n’importe qui sur Zoom ou Teams », ajoute-t-il.
Colman déclare que Reality Defender travaille avec les équipes RH et de recrutement de grandes banques, médias et agences gouvernementales dans le cadre de leur processus de vérification des employés. Mais la plupart du temps, il manque une grande sensibilisation au problème du télétravail.
« Il y a des milliers de ces personnes dans le monde qui travaillent pour des entreprises qui n’ont aucun indice », déclare M. Sjouwerman. « Je recommanderais fortement à d’autres PDG d’évaluer leurs pratiques d’embauche existantes, et en particulier d’affiner le processus d’embauche d’ingénieurs à distance. »
Les entreprises doivent modéliser leurs processus de recrutement et informer la direction générale des risques liés à l’embauche de ressortissants étrangers, déclare Grimes. Pendant les entretiens, posez des questions que quelqu’un qui a obtenu son diplôme d’une université particulière, vivait dans une ville spécifique ou travaillait chez un employeur précédent serait susceptible de connaître, mais dont les réponses ne sont pas facilement trouvées en ligne.
Lorsque cela est possible, la manière la plus sûre de vérifier quelqu’un est en personne, ajoute-t-il.
« Si possible, exigez toujours que les employés à distance rencontrent physiquement un employé, un chef d’équipe ou un agent sélectionné de l’organisation en personne, avec une pièce d’identité officielle, pour confirmer qu’ils sont ce qu’ils disent être. »
10 signes révélateurs indiquant que votre candidat à un poste informatique peut ne pas être légitime :
Bien qu’il n’existe pas de moyen sûr de détecter un faux candidat à 100 %, les signes d’avertissement suivants doivent inciter tout responsable du recrutement à creuser un peu plus.
- 1. Manque de maîtrise de l’anglais malgré les allégations d’éducation américaine ou de résidence de longue date
- 2. Accent ne correspond pas à la région du monde d’où ils prétendent provenir
- 3. Les réponses aux questions de l’historique de travail sont incohérentes ou vagues
- 4. Empreinte numérique minimale en dehors des profils fournis
- 5. Identités de réseaux sociaux incohérentes ou nouvellement créées
- 6. Descriptions de poste ou produit du travail copiés à partir d’autres sources
- 7. Utilise uniquement des domaines de messagerie publics tels que Gmail ou Outlook.com
- 8. Se connecte toujours via des numéros VPN ou VoIP
- 9. Entretiens téléphoniques menés à partir de centres d’appels bruyants
- 10. Hésitant à apparaître sur la caméra, trouve des excuses pour expliquer pourquoi
