Соискатели из Северной Кореи: ИИ Amazon отсеял 1 800 заявок
Amazon с апреля 2024 года не дала устроиться в компанию более чем 1 800 предполагаемым соискателям из Северной Кореи. Об этом директор по безопасности Стивен Шмидт написал в LinkedIn 18 декабря 2025 года. По его словам, в этом году таких заявок стало на 27% больше квартал к кварталу, а модель ИИ проверяет профили до того, как их подтверждают люди. Для любой компании, которая нанимает удаленных инженеров, этот случай показывает, какие сигналы выдают фальшивых кандидатов и где проверка все еще ошибается.
Зачем IT-специалисты из Северной Кореи ищут удаленную работу в США
Amazon столкнулась со схемой мошенничества, нацеленной на удаленный найм. Директор по безопасности Стивен Шмидт написал, что граждане Северной Кореи годами пытаются получить удаленную работу в IT в компаниях по всему миру, особенно в США.
«Их цель обычно проста: устроиться, получать зарплату и переводить ее режиму на оружейные программы». Стивен Шмидт, директор по безопасности Amazon, в LinkedIn
Ущерб не ограничивается зарплатами. The Register пишет, что на эту схему попалось большинство компаний из списка Fortune 500, она обошлась американскому бизнесу в десятки миллионов долларов, а некоторые мошенники используют доступ изнутри, чтобы украсть исходный код и затем шантажировать работодателя. Tom's Hardware отмечает, что CrowdStrike в прошлом году расследовала более 320 инцидентов, а от связанной схемы с «фермами ноутбуков» пострадали более 240 компаний.
Как Amazon проверяет соискателей с помощью ИИ и людей
Ответ Amazon это проверка в два шага: модель отмечает подозрительные заявки, а люди их подтверждают. «Наши системы обнаружения сочетают проверку на основе ИИ с проверкой людьми», написал Шмидт.
Модель смотрит на три вида сигналов. По словам Шмидта, она «анализирует связи почти с 200 учреждениями высокого риска, аномалии в заявках и географические несоответствия». Затем люди подтверждают личность через проверку биографии, проверку документов об образовании и квалификации и структурированные собеседования. ИИ сужает круг, решение принимает человек.
Какие сигналы проверка ищет каждый день
Повседневные сигналы это мелкие детали, которые складываются вместе. Шмидт написал, что американский номер телефона в формате «+1» вместо «1» или дипломы вузов, где нет заявленных специальностей, могут быть сильными подсказками в сочетании с другими признаками. Tom's Hardware добавляет даты поступления, которые не совпадают с учебным календарем.
После найма важно и поведение на работе. Шмидт рассказал Bloomberg, что одна из улик это задержка нажатия клавиш: работник, который печатает из-за границы через компьютер в США, дает измеримую задержку.
Что проверка поймала с апреля 2024 года
Измеримый результат это число заблокированных соискателей. Amazon говорит, что с апреля 2024 года не допустила в штат более 1 800 предполагаемых соискателей из Северной Кореи и что в этом году выявила на 27% больше заявок, связанных с КНДР, квартал к кварталу.
Проверка не идеальна, и Amazon это признает. IT Pro со ссылкой на Bloomberg пишет, что один самозванец, фальшивый подрядчик по разработке систем, все же прошел. Служба безопасности вычислила его по задержке нажатия клавиш: у удаленного работника в США нажатия обычно регистрируются за несколько миллисекунд, а у этого задержка превышала 110 миллисекунд.
Как меняется схема
Шмидт описывает схему, которая подстраивается, когда компании ее раскрывают. Исполнители теперь захватывают личности реальных разработчиков, часто взламывая заброшенные аккаунты LinkedIn по украденным паролям, а Amazon нашла сети, где люди передают свои аккаунты за деньги.
Они также работают с пособниками в США, которые держат «фермы ноутбуков»: корпоративный ноутбук стоит по американскому адресу, а работник подключается к нему из-за рубежа. Шмидт предупредил, что группы все чаще целятся в вакансии по ИИ и машинному обучению. The Register со ссылкой на Okta добавляет, что мошенники проходят собеседования в компаниях из финансов, здравоохранения, госуправления и профессиональных услуг, а не только в IT.
Что это меняет для компаний, которые нанимают удаленных инженеров
Для любой компании с удаленным наймом задача, которую решает система Amazon, это отсеять мошенников до того, как они попадут в платежную ведомость и внутренние системы. Чтобы частично повторить этот подход, масштаб Amazon не нужен. Шмидт дал другим компаниям конкретные советы.
- Проверять базы найма на типичные признаки: закономерности в резюме, адресах почты, номерах телефонов и сведениях об образовании.
- Подтверждать личность на нескольких этапах найма, а не только при оффере.
- Следить за необычным удаленным доступом и неразрешенным оборудованием после выхода сотрудника.
- Сообщать о подозрительных IT-работниках из КНДР в ФБР или местную полицию.
Amazon не назвала ни стоимость программы, ни число часов рекрутеров, которые она экономит.
Вопросы и ответы
Сколько соискателей из Северной Кореи заблокировала Amazon?
Amazon говорит, что с апреля 2024 года заблокировала более 1 800 предполагаемых соискателей из Северной Кореи. Шмидт также сказал, что в этом году заявок, связанных с КНДР, стало на 27% больше квартал к кварталу.
Как Amazon выявляет фальшивых соискателей?
Модель ИИ проверяет заявки на связи почти с 200 учреждениями высокого риска, аномалии в заявках и географические несоответствия. Затем люди подтверждают личность через проверку биографии, документов и структурированные собеседования.
Удалось ли фальшивому работнику из Северной Кореи устроиться в Amazon?
Да. Один фальшивый подрядчик прошел проверку, и его нашли, когда служба безопасности заметила задержку нажатия клавиш более 110 миллисекунд, намного выше нескольких миллисекунд, типичных для удаленного работника в США.
Взгляд MOZGII
Как бы мы это построили
Проверка вроде той, что у Amazon, работает, потому что делит задачу надвое. Модель читает каждую заявку и указывает на немногие подозрительные, а человек решает, что делать дальше. Мы бы сохранили это разделение. Данные, которые нужны модели, уже лежат в системе найма: резюме, почтовые домены, форматы телефонов, вузы и даты, история прошлых заявок. Второй источник это то, что происходит после выхода сотрудника, например откуда подключается ноутбук и с какой скоростью приходят нажатия клавиш.
Мы бы встроили это шагом оценки в систему учета кандидатов, где у каждой отметки простыми словами указаны причины, чтобы рекрутер видел, почему кандидата остановили. Личность подтверждали бы сотрудники безопасности, а не модель, через живое собеседование и проверку документов. Каждое решение записывалось бы в журнал, потому что отклоненный настоящий кандидат это вопрос справедливости и права, а не только упущенный найм.
Ломаться это будет в двух местах. Злоумышленники узнают сигналы и меняют их, поэтому жесткий список правил устаревает за месяцы. А модель, которая опирается на географию, может наказывать честных соискателей, которые путешествуют или пользуются VPN. Единственная метрика, за которой мы бы следили, это доля отмеченных кандидатов, которых проверка людьми подтверждает как мошенников: если она падает, модель отмечает не тех.
Следующим шагом мы бы связали проверки при найме с мониторингом устройств в первые недели работы, ведь единственный промах Amazon поймали по задержке набора, а не на проверке.
Источники
Откуда взяты факты этой новости.
- 01Over 1,800 North Korean applicants flood Amazon — suspected illicit applicants blocked by the company since April 2024 | Tom's HardwareTom's Hardwaretomshardware.com
- 02Amazon blocked 1,800 suspected DPRK job applicantstheregister.com
- 03Amazon CSO Stephen Schmidt says the company has rejected more than 1,800 fake North Korean job applicants in 18 months – but one managed to slip through the net | IT ProChannel ProITProITProitpro.com