En résumé : infiltration de développeurs par des fermes d'ordinateurs portables nord-coréennes via contournement de la vérification d'identité
- Une campagne active : Tout le monde considère l'infiltration technologique nord-coréenne comme une anecdote à la KnowBe4 pour les tabloïds. C'est en réalité une campagne active contre chaque startup qui recrute un ingénieur full-stack senior, et la vérification d'identité tierce a laissé passer ces acteurs dès la première tentative.
- Ce que cside a vu : cside a interviewé 3 à 4 candidats quasi identiques de type « Tommy Jackson », pilotés depuis des fermes d'ordinateurs portables ; tous ont réussi une vérification d'identité tierce, et ce schéma a ensuite été confirmé par l'enquête de Wired menée avec Bobbie Johnson. La détection de fraude aux candidatures utilise le fingerprinting d'appareils pour repérer l'infrastructure sous-jacente avant même l'appel d'entretien.
- Ajoutez l'intelligence appareils : Si vous êtes fondateur solo ou recruteur dans une startup et que votre ATS fait confiance aveuglément à une API de vérification d'identité, ajoutez de l'intelligence sur les appareils avant l'étape du devoir à réaliser à la maison. Sinon, vous continuerez à passer des heures à trier des CV issus de fermes d'ordinateurs portables au lieu de vrais candidats.
Peu de temps ? Découvrez le blocage de Magecart et de skimmers dans le navigateur par cside. Elle couvre tout ce qui suit en un seul déploiement.
Note importante : l'acteur malveillant n'est pas parvenu à accéder à un quelconque système de cside. Cet article de blog est uniquement destiné à avertir d'autres fondateurs de startups et employeurs.
Lors du recrutement d'un ingénieur full-stack senior, nous avons été assez enthousiastes de recevoir rapidement quelques centaines de CV qui semblaient prometteurs.
J'ai passé quelques heures à sélectionner des profils pertinents et leur ai envoyé une évaluation via Coderbyte. Plusieurs candidats m'ont renvoyé le devoir rapidement, avec des résultats corrects, ce qui nous a conduits à organiser un entretien pour discuter du code produit.
En rejoignant l'appel, plusieurs éléments ont attiré mon attention.
- Le candidat en question portait un nom à consonance américaine visiblement inventé, du style « Tommy Jackson ».
- Le candidat avait un bruit de fond similaire à celui d'un centre d'appels.
- L'anglais du candidat était très mauvais, et il présentait des caractéristiques ethniques clairement associées à la nationalité coréenne.
- Le candidat donnait aux questions des réponses qui semblaient très scriptées.
Ayant appris à repérer les biais inconscients lors du recrutement, j'ai d'abord pensé que ce n'était rien, mais après avoir eu 3 à 4 conversations quasi identiques, ma curiosité a été éveillée. J'ai donc soumis ces candidats à une vérification d'identité via un service tiers, et j'ai été surpris de découvrir qu'ils l'avaient réussie.
J'ai donc consulté un autre fondateur pour comprendre de quoi il s'agissait, et j'ai rapidement appris que des entreprises comme KnowBe4 avaient recruté ces personnes et en avaient subi des conséquences immédiates et sévères.
On pourrait s'attendre à ce que les tentatives nord-coréennes d'infiltration d'entreprises soient de notoriété publique, mais ce n'était pas le cas.
Ce à quoi nous avons été confrontés, c'étaient des tentatives organisées et hautement professionnelles d'infiltrer notre entreprise. La plupart proviennent de fermes d'ordinateurs portables, utilisant plusieurs appareils sous des identités distinctes pour inonder simultanément les offres d'emploi de plusieurs entreprises.
J'ai donc contacté un autre ancien fondateur, Bobbie Johnson, pour approfondir cette opération et trouver un moyen de la faire davantage connaître. Aujourd'hui, l'article complet de Wired a été publié, détaillant les opérations locales de cette arnaque.
Au cours de ce processus de recrutement, en tant que fondateur solo, j'ai été de plus en plus frustré par le temps perdu à trier des CV pour filtrer les acteurs nord-coréens.
D'abord, j'ai demandé à notre ami Feross, de Socket, si je pouvais emprunter son projet AnnoyingSite pour agacer les acteurs nord-coréens et les inciter à postuler ailleurs. Ce que nous avons fait, à mon amusement modéré — découvrez le « devoir à la maison » ici. Cela n'a toutefois pas aidé…
Et puis l'évidence m'est apparue : je dirige une entreprise de sécurité côté client. Naturellement, je devais donc utiliser notre intelligence côté client pour identifier des schémas permettant de filtrer ce bruit à la source. Pour améliorer le tri des candidatures, nous avons commencé à exploiter le fingerprinting d'appareils afin de détecter de manière proactive les schémas suspects liés aux candidats frauduleux.
Nous annonçons donc aujourd'hui notre service de détection de fraude aux candidatures, en accès anticipé et en bêta fermée. Notre logiciel de détection de fraude léger propose une solution de prévention conçue spécifiquement pour la vérification des candidats.
Cela permet aux fondateurs de startups et aux recruteurs de consacrer leur temps à l'examen des CV des candidats légitimes.
