Het artikel gaat hieronder verder.
Jake Moore, Global Cybersecurity Advisor bij ESET, deed iets wat elke recruiter aan het denken zou moeten zetten: hij solliciteerde met succes op een IT-functie – als volledig neppersoon. Zijn A.I.-avatar, een jonge Aziatische vrouw, onder de naam Jackie Morris, met een nep-cv en een verzonnen achtergrond, versloeg daarbij 261 echte kandidaten, in meerdere rondes. En dat allemaal dankzij geavanceerde deepfake-software om een realistische video-avatar te bouwen die tijdens online sollicitatiegesprekken realtime kon spreken en reageren.
‘Deepfakes stonden duidelijk niet op hun radar, dus er werden geen vragen gesteld.’
Moore zelf stuurde de avatar op afstand aan via een stemmodulator. HR-managers hadden niets in de gaten. Het experiment was geen grap, maar een bewuste poging om een blinde vlek in wervingsprocessen bloot te leggen. En om mensen te waarschuwen voor cybercrime via recruitment. ‘Deze sollicitatie was mogelijk doordat de juiste verificatieprocessen ontbraken, maar ook omdat ik vertrouwen kon manipuleren’, vertelde Moore erover, vorige week, in Londen. ‘Mensen hacken is nog steeds een kernonderdeel van een criminele toolkit. Als vertrouwen eenmaal wordt misbruikt, wordt de rest van het hackproces veel eenvoudiger.’
Waar het wervingsproces faalde
De zwakke plekken in het proces waren opvallend basaal. Referentiechecks werden niet uitgevoerd. Identiteitscontroles vonden alleen visueel plaats – en bleken eenvoudig te omzeilen. Bij beide vacatures waarop Moore solliciteerde was er bovendien haast om snel iemand aan te nemen. Die combinatie maakte de fraude moeiteloos. ‘Waarom zou je een kandidaat ook in twijfel trekken?’ zegt Moore. ‘De recruiters geloofden gewoon wat ze zagen.’
Technisch gezien zijn deepfakes in gecontroleerde omstandigheden al vrij eenvoudig te produceren, maar voor realtime gebruik tijdens een videogesprek is nog iets meer kennis en middelen nodig. Dat is de reden dat het nog niet op grote schaal gebeurt. Maar Moore waarschuwt dat dit snel kan veranderen naarmate de technologie goedkoper en toegankelijker wordt.
Recruitment als beveiligingsrisico
De conclusie van Moore is helder: recruitment is niet langer alleen een HR-aangelegenheid, maar ook een zaak voor degenen die zich intern met cybersecurity bezighouden. ‘Het gaat nu in de eerste plaats om bewustwording en educatie. Veel mensen weten nog niet eens dat deepfakes bestaan, laat staan hoe overtuigend ze kunnen zijn.’ Organisaties zouden het aannameproces daarom moeten behandelen als onderdeel van hun beveiligingsstrategie, stelt hij: elke nieuwe medewerker is immers ook een toegangsbeslissing.
‘Veel mensen weten nog niet eens dat deepfakes bestaan, laat staan hoe overtuigend ze zijn.’
Deepfakes verslaan geen technologie, ze verslaan vertrouwen, aldus Moore, die er onlangs ook al op de Britse nationale televisie over mocht vertellen. Zijn praktische aanbeveling: ontmoet kandidaten altijd persoonlijk voordat een laptop of gevoelige informatie wordt overgedragen. Is dat niet mogelijk vanwege de locatie van de kandidaat? Zorg dan dat vertrouwde derde partijen de fysieke verificatie overnemen. Ook helpt het om sollicitanten vooraf te informeren dat er een persoonlijke ontmoeting plaatsvindt – dat schrikt frauduleuze inschrijvingen al af.
2028: kwart kandidaatprofielen nep
Het probleem is groter dan één experiment. Volgens Jake Moore is het ‘nog nooit zo belangrijk geweest’ om te controleren met wie je spreekt, om zo bedrijven te beschermen tegen volgens hem zeer overtuigende A.I.-misleiding. Onderzoeksbureau Gartner voorspelt dat in 2028 wereldwijd 1 op de 4 kandidaatprofielen nep zal zijn. Eerder waarschuwde Gartner al dat kandidaatfraude cybersecurityrisico’s met zich meebrengt die ‘veel ernstiger kunnen zijn dan de gevolgen van alleen een slechte aanname’. De dreiging komt daarmee niet meer alleen van buitenaf – ze klopt gewoon aan de voordeur en stuurt een cv.