Como falsos trabalhadores remotos usam identidade forjada para se infiltrar em empresas
Um alerta consolidado do Departamento de Estado e do FBI descreve como esquemas de infiltração — ligados a operadores norte-coreanos de TI, mas replicáveis por qualquer fraudador — exploram lacunas entre etapas isoladas de contratação (checagem de identidade, entrega de equipamento, entrevista) para colocar uma pessoa fictícia numa vaga remota real. Cada verificação isolada passa no teste, mas nenhuma confirma que quem está logado no primeiro dia é a mesma pessoa entrevistada, o que exige combinar verificação documental com biometria de vivacidade (liveness) para fechar a lacuna.
Autoridades dos EUA — Departamento de Estado e FBI — vêm alertando sobre esquemas de infiltração corporativa via contratação remota fraudulenta, historicamente associados a operadores de TI norte-coreanos usando identidades de outras nacionalidades, mas cuja mecânica serve de modelo para qualquer fraudador que queira ganhar acesso interno a uma empresa. O objetivo vai de simples obtenção de salário até exfiltração de propriedade intelectual e código-fonte, segundo o FBI.
A tática central explora um ponto cego estrutural do processo de contratação: cada etapa de verificação confirma apenas um recorte isolado, e nenhuma delas, sozinha, garante que a pessoa por trás da tela é quem diz ser. Documentos de identidade forjados satisfazem a checagem documental; um endereço de um facilitador local aprova a etapa de envio de equipamento; um proxy qualificado passa pela entrevista técnica em nome do candidato real. Somam-se a isso perfis de redes profissionais reforçados com conteúdo gerado por IA para parecerem consistentes, pagamento direcionado a terceiros para contornar depósito direto em nome do titular real, e uso de VPN e software de acesso remoto para mascarar a localização verdadeira — muitas vezes com um facilitador mantendo o notebook corporativo fisicamente conectado enquanto o trabalhador real opera de outro país.
A defesa proposta é técnica e específica: combinar verificação de documento de identidade governamental com detecção biométrica de vivacidade (liveness), que confirma que há uma pessoa real e presente diante da câmera — e não uma foto, vídeo ou deepfake — no momento da checagem, e que essa pessoa corresponde ao documento apresentado. Isso fecha justamente a lacuna que checagens sequenciais e desconectadas deixam aberta.
Do ponto de vista prático para times de RH e segurança, os sinais de alerta incluem múltiplas contas de candidatos ou funcionários acessando sistemas a partir do mesmo endereço IP, horários de login incompatíveis com o fuso horário declarado, recusa recorrente em ligar câmera durante entrevistas ou onboarding, e insistência em receber equipamento em endereço diferente do domicílio declarado. Nenhum desses sinais isolados é conclusivo, mas a combinação deve acionar verificação adicional antes da liberação de acesso a sistemas sensíveis.