Deepfakefraude bij sollicitatiegesprekken: verificatiechecklist

Een beeldstoring is aanleiding tot controle, geen bewijs

Slechte bandbreedte, virtuele achtergronden, ruisonderdrukking, camerabelichting en toegankelijkheidshulpmiddelen kunnen een gezicht of stem vreemd laten lijken. Vertraagd geluid of een bevroren mond is daarom niet genoeg om een kandidaat of recruiter van een deepfake te beschuldigen.

De FBI waarschuwde voor gestolen persoonsgegevens, stemspoofing en deepfakes bij sollicitaties naar werk op afstand, ook voor functies met toegang tot klantgegevens, financiële informatie en bedrijfssystemen. Een herhaalbaar identiteits- en toegangsproces is nuttiger dan visuele gokjes.

Verifieer de persoon buiten het gesprek

Een e-mailadres uit een sollicitatie, een platformaccount of een cv is geen onafhankelijk identiteitsbewijs. Werkgevers moeten een goedgekeurd proces volgen dat bewijs aan gezaghebbende of geloofwaardige bronnen toetst en aan de persoon koppelt. Kandidaten controleren de vacature en recruiter via de officiële bedrijfswebsite en zelfstandig gevonden contactgegevens.

NIST onderscheidt het vaststellen van een unieke identiteit, het valideren van bewijs en gegevens, en het controleren of die bij de aanvrager horen. Dit zijn richtlijnen voor digitale identiteit, geen certificering van personeelsselectie. Een live gezicht is onvoldoende: gebruik proportionele controles, menselijke beoordeling en een rechtmatig, toegankelijk alternatief.

• Bevestig functie en gesprekspartners via een bekend bedrijfskanaal
• Valideer bewijs in plaats van een afbeelding zomaar te accepteren
• Controleer of de persoon de rechtmatige houder van het bewijs is
• Leg uitzonderingen vast en houd menselijke beoordeling beschikbaar

Checklist voor de werkgever

Stuur de uitnodiging vanuit een beheerd systeem en leg functie, verwachte deelnemers en geverifieerde contactgegevens vast. Stel gestructureerde functievragen met vervolgvragen die afhangen van het antwoord. Een geïmproviseerde opdracht om het hoofd te draaien mag geen doorslaggevende sollicitatietest worden.

Blijft de identiteit onzeker, onderbreek dan het proces en volg de afgesproken identiteitscontrole. Een liveness-controle kan een aanwijzing geven, maar ook worden misleid door doorgestuurde beelden. Een echte kandidaat kan zo’n controle bovendien niet doorstaan door een beperking, het apparaat of de verbinding.

• Beheerde uitnodiging en verwachte deelnemers
• Consistente functievragen met natuurlijke vervolgvragen
• Niet meer identiteitsgegevens verzamelen dan nodig
• Onzekerheid voorleggen aan een beoordelaar zonder een technisch resultaat als eindoordeel te gebruiken
• Menselijke beoordeling en een andere manier om de identiteit te controleren

Checklist voor de kandidaat

Een professioneel videogesprek bewijst niet dat de vacature of recruiter echt is. Controleer de functie op de officiële website. Wees extra voorzichtig als het proces direct naar privéberichten verhuist, zonder serieuze beoordeling een baan belooft of kunstmatige haast creëert.

Een legitieme werkgever vraagt niet om apparatuur, opleiding, een achtergrondcontrole of het vrijgeven van salaris te betalen met cadeaubonnen, cryptovaluta of een overschrijving naar een privérekening. Installeer niet zomaar software voor toegang op afstand en deel geen eenmalige codes of bankinloggegevens op basis van alleen een videogesprek.

Gebruik mediadetectie als één signaal

Als beleid en recht analyse toestaan, bewaar dan de vroegste opname of het bestand en noteer de herkomst. Beoordeel video-, gezichts- en stemsignalen apart. Compressie, schermopname, vertaling en slecht geluid kunnen de betrouwbaarheid verlagen. Een hoge score vraagt om nader onderzoek; een lage score bewijst geen identiteit.

Een echte opname kan door een bedrieger worden afgespeeld en een gehackt bedrijfsaccount kan een echte foto tonen. Houd broncontroles en afwijkingen in het proces daarom zichtbaar naast het modelresultaat.

Scheid gesprek, toegang en betalingen

Geef iemand niet alleen op basis van een sollicitatiegesprek toegang tot broncode, klantgegevens, de salarisadministratie of betaalsystemen. Controleer eerst de identiteit en referenties en rond het contract af. Geef alleen de benodigde rechten, gebruik multifactorauthenticatie en bouw de toegang stapsgewijs op.

Een laat verzoek om een laptop om te leiden, een salarisrekening te wijzigen of apparaatbeheer te omzeilen is een nieuw risico. Controleer dit onafhankelijk, bewaar alleen toegestane gegevens en beschrijf feiten in een melding zonder een detectorscore als definitieve beschuldiging te gebruiken.