Deepfake na rozmowie kwalifikacyjnej: gdy kandydat nie jest tym, kim się przedstawia

Wideorozmowa z kandydatem przestała być dowodem, że po drugiej stronie ekranu siedzi rzeczywista osoba. Generowanie twarzy i głosu w czasie rzeczywistym, choć wciąż bywa niedoskonałe, stało się na tyle tanie i dostępne, że jego użycie w rekrutacji przestało być ciekawostką technologiczną, a stało się realnym wektorem ataku na firmy.

Infiltracja od środka

Scenariusz wygląda zwykle podobnie. Oszust zakłada fałszywą tożsamość — bierze cudze dane osobowe, realny numer ubezpieczenia społecznego obywatela, przerabia CV tak, by pasowało do ogłoszenia. Aplikacja przechodzi automatyczną wstępną selekcję, bo dokumenty wyglądają wiarygodnie. Na wideorozmowie wchodzi już warstwa AI: twarz generowana lub przerabiana w czasie rzeczywistym, głos zmieniony w locie, czasem nawet ruchy ust synchronizowane z wypowiadanymi słowami.

Po zatrudnieniu rozpoczyna się właściwy cel: dostęp do wewnętrznych systemów firmy, kodu źródłowego, danych klientów. W niektórych opisanych przypadkach celem było wgranie złośliwego oprogramowania już pierwszego dnia pracy. W innych — wynagrodzenie wypłacane przez miesiące trafiało na konta kontrolowane przez zorganizowaną grupę, a firma ani razu nie widziała prawdziwego pracownika.

Sprzyja temu specyfika pracy zdalnej. Firma wysyłająca laptopa nowemu pracownikowi często nie wie, że podłączony do niego sprzęt — na przykład zdalny przełącznik KVM działający przez internet — przekazuje obraz, ruchy myszy i klawiaturę do operatora znajdującego się w zupełnie innym kraju. Dla firmy wygląda to jak normalny sprzęt w domowym biurze; w rzeczywistości to pełne zdalne sterowanie maszyną fizyczną.

Sygnały, których nie wolno zignorować

Deepfake w czasie rzeczywistym wciąż można rozpoznać, jeśli rekruter wie, na co patrzeć:

• Opóźnienia i zgrzyty. Minimalne opóźnienie między pytaniem a odpowiedzią, charakterystyczne “zamrożenia” obrazu w momentach, gdy osoba powinna się poruszyć.
• Nie reaguje na prośby. Kandydat omija prośbę o machnięcie ręką, obrócenie głowy, dotknięcie twarzy albo przeniesienie się do innego pomieszczenia. To najprostszy test, jaki może wykonać rekruter.
• Niespójny lip-sync. Usta nie dokładnie pokrywają się z dźwiękiem, zwłaszcza przy szybszej mowie.
• Generyczne odpowiedzi. Odpowiedzi brzmią jak wyuczone schematy, nie jak spontaniczna rozmowa o konkretnym projekcie z CV.
• Anomalie po stronie technicznej. Ten sam adres IP co inni kandydaci, nietypowa bramka VPN, sprzęt przypisany do innego systemu operacyjnego niż deklarowany.

Kto na tym zarabia

Schemat nie jest dziełem przypadkowych oszustów. W ostatnim dniu lipca 2026 roku jedenaście państw — w tym Stany Zjednoczone, Japonia i Korea Południowa, a po raz pierwszy także Francja, Niemcy, Włochy i Holandia — wydało skoordynowane ostrzeżenie dla firm na całym świecie: operatywnicy północnokoreańscy wykorzystują deepfake generowany w czasie rzeczywistym, by podszywać się pod prawdziwe osoby podczas żywych rozmów o pracę. Według danych przytoczonych w tym ostrzeżeniu sam rok 2024 to około 800 milionów dolarów przekierowanych przez ten proceder na północnokoreańskie programy rakietowe i nuklearne.

Skala infiltracji potwierdza raport firmy CrowdStrike: w okresie dwunastu miesięcy zakończonym w marcu 2026 roku grupa śledzona jako Famous Chollima odpowiadała za 47 procent wszystkich inwestycji sterowanych ręcznie przez państwo, wymierzonych w amerykańskie firmy technologiczne. Z kolei analitycy Microsoftu opisali w marcu 2026 roku, że modele językowe skracają czas zbudowania wiarygodnej, fałszywej tożsamości z dni do godzin — od życiorysów z wyglądającymi na sprawdzenie historią zatrudnienia, przez profile zawodowe z odpowiednią gęstością kontaktów, po strony portfolio z oryginalnym kodem przechodzącym automatyczne filtry. Firmy są przy tym narażone podwójnie: tracą pieniądze na pensjach wypłacanych nieistniejącemu pracownikowi, a nade wszystko ryzykują wyciek danych, kradzież kodu źródłowego i szantaż — operatywnicy po wykryciu grożą ujawnieniem kradzionego kodu.

Co może zrobić firma

Rzetelna weryfikacja kandydata w trybie zdalnym wymaga kilku warstw zabezpieczeń:

1. Testy obecności na wideorozmowie. Proszenie o gesty, obrót głowy, zmianę pozycji kamery. To najtańszy filtr, który od razu odsiewa dużą część prób.
2. Weryfikacja tożsamości w niezależnych źródłach. Porównanie danych z oficjalnych rejestrów, sprawdzenie historii zawodowej w kilku niezależnych kanałach, kontakt z poprzednimi pracodawcami na numery znalezione samodzielnie, nie z CV.
3. Kontrola pośredników. Weryfikacja, czy agencja rekrutacyjna faktycznie istnieje i czy nie była wcześniej wymieniana w ostrzeżeniach.
4. Polityka sprzętu. Firmowy laptop z kontrolowaną konfiguracją zamiast pracy na prywatnym sprzęcie, przesyłka na adres weryfikowany wcześniej.
5. Monitorowanie anomalii. Niezwykłe wzorce dostępu, logowania z nietypowych bramek VPN, aktywność w godzinach wskazujących na inną strefę czasową niż deklarowana.
6. Szkolenie rekruterów. Osoba prowadząca rozmowę musi wiedzieć, że deepfake w czasie rzeczywistym istnieje i jak wygląda.

Co z tego wynika

Rekrutacja zdalna zostanie z nami na stałe, więc samo ograniczenie wideorozmów nie jest odpowiedzią. Odpowiedzią jest świadomość, że obraz i głos przestały być dowodem tożsamości, oraz wdrożenie sprawdzeń, które nie opierają się na zaufaniu do tego, co widać na ekranie. Dla działów HR oznacza to nowy zestaw umiejętności. Dla firm — jeden z priorytetów bezpieczeństwa na najbliższe lata.

Oznaczenie treści AI

Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.