Remote hiring? Dan huur je mogelijk een risico in

Het overkwam KnowBe4, een bekende Amerikaanse cybersecurityfirma, in 2024 toen ze een nieuwe softwareontwikkelaar op afstand aannamen. Goed cv, vlotte videocalls, snel ingewerkt. Pas maanden later werd duidelijk dat de persoon achter het scherm nooit had bestaan. Het bleek een Noord-Koreaanse staatsburger die meerdere videogesprekken en achtergrondchecks had doorstaan met behulp van een gestolen Amerikaanse identiteit en een met AI-bewerkte profielfoto. Nog geen halfuur na ontvangst van de werklaptop was de eerste malware al geïnstalleerd.

Van de VS naar Europa

KnowBe4 is niet het enige slachtoffer. Het Amerikaanse Ministerie van Justitie klaagde in 2024 veertien Noord-Koreaanse staatsburgers aan die zes jaar lang honderden bedrijven infiltreerden. Experts verwachten dat die operaties zich binnenkort verder uitbreiden naar Europa. Met name de techsector, die vaker dan andere sectoren gebruikmaakt van remote hiring, loopt straks risico. Daarmee is infiltratie via remote hiring geen ver-van-mijn-bed-scenario meer: het is slechts een kwestie van tijd voordat dit in Nederland voorkomt. Dat zal waarschijnlijk niet via een opvallend incident verlopen, maar geleidelijk en grotendeels onopgemerkt.

De prijs van een verkeerde medewerker

Als je per ongeluk iemand met kwade bedoelingen toegang geeft tot bedrijfssystemen, zijn de gevolgen groot. In eerdere gevallen ging het om gestolen bedrijfsinformatie, toegang tot klantdata en in één zaak om bijna een miljoen dollar aan cryptovaluta die verdween. Daar komt juridisch risico bovenop: het in dienst hebben van iemand die onder internationale sancties valt is strafbaar, ook als het onbewust gebeurt. Bij remote hiring is een strakke identiteitsverificatie dus essentieel. Maar dat wordt ook steeds moeilijker. Hoe pak je dat aan?

Onnatuurlijk stil

Veiligheid begint bij bewustzijn. Niet alleen bij HR, maar bij iedereen in het recruitmentproces. Want hoewel een videogesprek voorheen een goed alternatief was voor een fysieke ontmoeting, kan iemand dankzij hedendaagse deepfake-technologie met een druk op de knop een nepgezicht en -stem gebruiken.

'Een kandidaat die opvallend formeel of juist hakkelig schrijft, of wiens schrijfstijl constant wisselt: knalrode vlag'

Voor hiring managers is dit lastig te herkennen. Gelukkig zijn er tijdens een videogesprek eenvoudige, niet-technische tests om na te gaan of je met een echt persoon spreekt. Zo kunnen de meeste AI-modellen onverwachte bewegingen niet in realtime verwerken. Blijft iemand onnatuurlijk stil voor de camera zitten? Vraag de kandidaat dan bijvoorbeeld om zijn hoofd te draaien of de camera kort door de ruimte te bewegen.

Verder helpt bewustzijn om alarmsignalen snel te herkennen. Denk aan een kandidaat die opvallend formeel of juist hakkelig schrijft (mogelijk door vertaalsoftware), inconsistente contactgegevens en social-mediaprofielen opgeeft, ongebruikelijke bezorgadressen aanlevert of wiens schrijfstijl constant wisselt. Dat zijn knalrode vlaggen.

Waar gaat die laptop naartoe?

Het is vervolgens minstens zo belangrijk wat er ná het aannemen gebeurt. Een risicomoment van remote hiring dat vaak over het hoofd wordt gezien, is de hardware-verzending. Iemand die niet is wie hij zegt te zijn, stuurt de werklaptop vaak naar een tussenpersoon. Die persoon logt vervolgens namens hem in op het bedrijfsnetwerk. Controleer daarom altijd of het bezorgadres van de laptop overeenkomt met het woonadres van de nieuwe medewerker en geef de laptop pas uit nadat de identiteit is geverifieerd. Check daarnaast of de regio van waaruit de medewerker inlogt overeenkomt met zijn of haar opgegeven woonregio.

Houd de eerste maanden ook actief in de gaten of het gedrag van nieuwe medewerkers overeenkomt met hun functie. Logt een medewerker in op vreemde tijden of zoekt diegene toegang tot systemen die niets met de functie te maken hebben? Dan moeten er alarmbellen afgaan. Behandel die eerste maanden als een verlengd beoordelingsmoment: geef nieuwe remote medewerkers alleen toegang tot wat zij echt nodig hebben voor hun inwerkprogramma. Zo beperk je de schade als er iets mis is.

Een zero-trustbeleid

De bovenstaande stappen zijn geen noodoplossing, maar standaard goed beleid voor elke organisatie die met remote personeel werkt. Het uitgangspunt is zero trust: vertrouw niemand automatisch, ook niet als iemand al in dienst is en toegang heeft gekregen. De meeste cyberincidenten komen immers niet van buitenaf, maar van binnenuit. Of dat nu door een deepfake-sollicitant, een gehackt account of een menselijke fout komt. Als je toegang beperkt, gedrag monitort en onboardings- en toegangsprocessen vastlegt, bescherm je jezelf op alle vlakken.