Een Fake crypto startup klinkt als een slechte internetgrap, maar het scenario dat onderzoekers documenteerden laat iets veel akeligers zien: wervingsprocessen kunnen worden misbruikt om echte bedrijfsaccounts en technische toegang binnen te halen. In dit geval bouwden de onderzoekers zelf het bedrijf, publiceerden ze vacatures en gaven ze “kandidaten” toegang via reguliere onboarding—met het doel te bewijzen hoe snel een risico kan escaleren.
Wat dit onderzoek extra relevant maakt voor organisaties is de timing en de werkwijze. Zodra een kandidaat met een contract aan de slag gaat, volgt vaak ook autorisatie: accounts worden aangemaakt, broncode-rechten worden verleend en interne systemen gaan open. Hieronder lees je wat onderzoekers precies zagen, welke signalen ze noemden en welke praktische maatregelen je kunt nemen.
Hoe de Fake crypto startup de hiringketen misbruikt
De onderzoekers creëerden een nep-cryptobedrijf met een DeFi-achtig verhaal en zochten ontwikkelaars. De werving verliep via een recruiter die op GitHub zocht naar facilitators. Vervolgens wees de eerste “hire” naar een vriend, die weer naar een derde—een keten die moest leiden tot uiteindelijke plaatsingen binnen het bedrijf.
Elke kandidaat kwam binnen via dezelfde route als bij echte bedrijven: sollicitatiegesprekken, contracten tekenen en daarna toegang krijgen tot een work-VM. Cruciaal detail: alle virtuele machines werden geregistreerd, zodat de onderzoekers konden vaststellen wat er tijdens de eerste dagen gebeurde.
Onboarding als toegangspoort tot echte systemen
Een succesvolle plaatsing betekent voor een aanvaller in de praktijk meer dan alleen een baan. In de logica van dit type operatie creëert de werkgever namelijk een echte werknemerstatus, en daarmee echte autorisaties. De onderzoekers beschrijven hiring niet alleen als een “wervingsrisico”, maar als iets wat doorwerkt: zodra de plaatsing rond is, wordt de toegang die bij die rol hoort ook geautoriseerd en verwacht.
Op basis van de aanpak werd bovendien duidelijk hoe snel het kan gaan. In hun documentatie startte dag één vooral als technische verkenning: de kandidaten draaiden opdrachten om hun omgeving te profileren en bepaalden waar hun verbinding in beeld leek te komen.
VM-logging: wat er op dag één gebeurde
De eerste activiteiten waren gericht op systeem- en omgeving-informatie. De onderzoekers zagen dat de kandidaten tools gebruikten om details over het systeem te verzamelen, zoals configuratie en hostinformatie. Daarnaast controleerden ze hoe hun verbinding geografisch leek te worden weergegeven.
Daarna volgde een stap die voor veel organisaties herkenbaar is: browser- en remote-toegang. Eén van de kandidaten installeerde Chrome Remote Desktop en koppelde zijn eigen Google-account aan de sandboxomgeving. Daardoor kreeg de aanvaller toegang tot zaken als browsegeschiedenis, opgeslagen wachtwoorden en geïnstalleerde extensies—niet omdat er “gehackt” werd op de klassieke manier, maar omdat de omgeving al toegang gaf binnen het onboardingproces.
Vervolgens werd ook GitHub benaderd op dezelfde machine. Dit is precies het soort beweging dat je als securityteam wilt zien voordat het echte schade kan veroorzaken: de onderzoekers zagen dus wel degelijk hoe een normale werkstroom kan worden omgezet naar misbruik.
Identiteitsmateriaal en AI-signalen: welke rode vlaggen onderzoekers zagen
De kandidaten leverden documenten aan die op het eerste gezicht geloofwaardig konden ogen, maar de onderzoekers koppelden er meerdere signalen aan. In de paper-trail viel op dat de woon- en identiteitsgegevens niet consistent waren.
Een van de kandidaten claimde bijvoorbeeld te wonen in Pasadena, Texas, en stuurde documentatie zoals een California rijbewijs en een bankrekening in New York. Een ander leverde een rijbewijs uit Texas, een Social Security-nummer dat geldig leek en een bankrekening in Kansas City. De derde kandidaat leverde een rijbewijs uit New York dat volgens de onderzoekers van iemand anders was—plus een iPhone 15-foto waarvan de GPS-coördinaten waren verwijderd.
Daarnaast rapporteerden onderzoekers gegevens uit beeldmetadata: ze zagen aanwijzingen dat een beeld was verwerkt met Google Gemini. Ook noemden ze een SynthID-watermerk, een onzichtbare markering die Google in beelden kan toevoegen wanneer de AI-tools afbeeldingen aanmaken of bewerken. Let op: het onderzoek noemt verschillende bevindingen naast elkaar en legt niet uit hoe de SynthID-detectie exact tot stand kwam. Bovendien is een “negatieve” uitkomst bij controle met Gemini niet automatisch een vrijbrief: andere tools kunnen beeldbewerkingen doen zonder dat Gemini ze altijd herkent.
Met andere woorden: dit dossier draait niet om één harde fingerprint, maar om het stapelen van inconsistenties—documenten, metadata, en context.
Welke tooling en accounts op de achtergrond opduiken
Onderzoekers zagen dat de operatie in tooling en communicatie verschilde van een eerder, vergelijkbaar traject dat ze in december hadden behandeld. In deze ronde werden onder meer middelen gebruikt om tweefactorketens tussen operators door te geven. Ook viel op dat Outlook.com in beeld kwam waar eerder alleen Gmail was genoemd.
Verder beschreven ze browserextensies die helpen bij solliciteren en interviewvoorbereiding. Denk aan extensies die kandidaten ondersteunen bij het schrijven of optimaliseren van sollicitaties, plus tools die opgeslagen prompts voor ChatGPT bevatten. De aanwezigheid daarvan is op zichzelf niet verdacht, maar in combinatie met een nep-werkcontext wordt het onderdeel van een groter patroon.
Tot slot benoemden onderzoekers infrastructuurcomponenten, inclusief hosting om het geheel te faciliteren. Ze noemen ook VPN-exitnodes die opvallend vaak terugkwamen in dit soort activiteiten. Dat is precies het soort “detecteerbare herhaling” waar defenders op kunnen sturen.
Advies: niet één controle, maar een ritme van verificatie
De onderzoekers adviseren geen eenmalige identiteitscheck, maar periodieke controles. Een kandidaat kan immers pas later in het traject “echt” risicovol worden, bijvoorbeeld nadat autorisaties zijn verleend of nadat de toegang tot tools en accounts is ingesteld.
Voor remote-first organisaties noemen ze daarnaast het belang van verifiëren in persoon. Ook benadrukken ze recruitertraining: mensen die wervingsprocessen uitvoeren moeten beter leren herkennen welke documenten en signalen onderdeel zijn van manipulatie. Tot slot benoemen ze concrete technische mitigaties, zoals het blokkeren van specifieke VPN-uitgangen die in dit type operatie terugkerend worden gebruikt.
Verder waarschuwt de openbare joint alert, waar onderzoekers naar verwijzen, voor herkenbare signalen in accounts: bijvoorbeeld één account dat vanuit veel adressen in korte tijd bereikbaar is, en profielteksten die eruitzien alsof ze met machinevertaling zijn opgesteld.
Wat je hier vandaag al mee kunt doen
Als je dit dossier vertaalt naar verdediging, dan draait het om drie lijnen: vertrouwen in onboarding herijken, toegang pas geleidelijk geven en identiteit en context doorlopend toetsen.
- Geef niet meteen alles: beperk vroege rechten tot het strikt noodzakelijke. Breid pas uit na verificatie en observatie.
- Herhaal identiteitsverificatie: check niet alleen “bij binnenkomst”, maar ook tijdens het traject en bij account- of apparaatwijzigingen.
- Let op document- en contextsignalen: vergelijk woon- en documentgegevens, check consistentie en let op metadata-indicatoren waar mogelijk.
- Train recruiters en HR: maak rode vlaggen onderdeel van het standaardpakket bij hiring.
- Stuur op verdachte remote-toegang: beperk of monitor tooling en verbindingen die passen bij eerder waargenomen patronen.
De kernboodschap van de Fake crypto startup is helder: security begint niet bij “hacken”, maar bij het moment dat je besluit iemand toegang te geven. Onderzoekers maakten geen misbruik van kwetsbaarheden; ze lieten zien dat misbruik kan ontstaan doordat hiring als vanzelfsprekende stap wordt gezien.
Conclusie: hiringfraude is geen extern probleem
De Fake crypto startup-casus laat zien hoe een nepbedrijf—met echte onboarding—kandidaten kan laten landen met echte accounts en toegang tot ontwikkelomgevingen. Door VM-logging, documentanalyse en het observeren van browser- en remote-toegang werd zichtbaar hoe snel zo’n operatie kan starten.
Voor organisaties betekent dit: behandel werving en onboarding als onderdeel van je beveiligingsketen. Met periodieke controles, geleidelijke autorisatie en betere recruitertraining verklein je de kans dat een kandidaat met manipulatie alsnog toegang krijgt tot broncode en interne systemen.
Lees ook: AI-aanvallen, Metabase 0-day en backdoors voor context over hoe aanvallers toegang zoeken via verschillende wegen—zowel technisch als procesmatig.
Bron: https://thehackernews.com/2026/08/researchers-built-fake-crypto-startup.html
