遠端招聘的身分驗證不能只靠視訊面試

視訊面試通過不等於能直接開通敏感權限

假設遠端技術面試的最後一輪結束。候選人畫面清晰，口條流暢，白板題解得乾淨，系統設計也答得上來。HR 準備寄 offer，IT 準備開一張工單：開發環境帳號、程式碼庫的讀寫權限、之後轉正式環境的存取排程。這時候，誰要決定「現在」就是開通的時間？

如果把面試通過當成開權限的依據，這個問題就被略過了——視訊核身沒有異常，技術考核也過了，接下來只是照流程走。

公開的 deepfake 面試案例，讓人需要檢視一個假設：視訊鏡頭裡的人、履歷聲稱的身分、入職後操作帳號的人，是否就是同一個人？若只憑面試通過就認定三者一致，就會略過三個問題——身分有沒有核對過、能力有沒有評估過、權限該不該在這個時間點開給這個人。

三個問題各自要有自己的證明依據，不能靠「視訊看起來沒問題」一次打包解決。我會優先檢查核對依據和權限分級，避免讓一次核驗的遺漏，直接換成敏感系統的存取權。

公開案例顯示能力考核無法替代身分核對與設備管控

KnowBe4 在 2024 年 7 月 23 日發布的一篇自述，描述自己踩過的一次冒用：一名應徵者通過了視訊面試與背景調查，公司在設備出現異常後介入處理。公司在文章裡說明，履歷照片經過 AI 修改，新人初期還沒有正式環境的存取權，並稱未發生資料外洩。從這起案例，我的判斷是把「核對身分」和「開通權限」分開管理——即使面試、背景調查都走完了，敏感權限仍應另行核准。

Vidoc 在 2025 年 3 月 27 日的部落格裡，描述自己在招募過程中遇到一位他們判定為 deepfake 的候選人。這讓我在意的是：能力評估和身分核對是兩件事，一個人可以答得出技術問題，同時還沒有被證實是他聲稱的那個人。

FBI 在 2025 年 7 月 23 日發布的公告，描述的是北韓 IT 工作者相關方案觀察到的多種手法，包括安排美國境內的中間人代收公司設備、用遠端連線工具操作、甚至由他人代為出席面試。這份公告把核驗範圍從「面試當下」延伸到「面試之後」：設備交給誰、誰在操作遠端連線、公司以為派出去的裝置，實際由誰拿著。公告描述的是這個方案觀察到的手法，不代表每一起個案都用了 deepfake，也不代表所有遠端招聘面對同一組風險。

履歷與視訊畫面互相吻合，仍需獨立於求職者的外部來源核對

視訊面試主要讓面試官看到、聽到對方的表現，並不能單靠畫面完成「這是不是他聲稱的那個人」的核對。這中間少了一段：履歷、LinkedIn 檔案、面試時出示的證件照片，如果都來自同一個人提供的同一組資料，形式上彼此一致，不等於有獨立來源佐證過。合成媒體、盜用他人資料、第三方代為出席面試，是三種可能分別發生、也可能同時出現的干擾，不必綁在一起才算數。

假設一個團隊核對候選人身分的方式，是看履歷、LinkedIn、視訊畫面是否互相吻合——這三者如果都出自同一個人提供的素材，彼此對得上，只代表這套敘事內部一致，不代表外部有人驗證過。公司如果再把「通過面試」直接當成開通敏感權限的依據，就是把這段核驗的遺漏，原封不動地帶進系統裡。

FBI 與 IC3 在 2022 年 6 月 28 日發布的公告裡，就已經描述過用音訊偽冒和盜用個資應徵遠端職缺的案例。傳統的身分詐欺、請人代為面試、設備代收轉交，也應納入流程檢視。可見案例增加可能反映通報與媒體關注提高，不能直接推論發生率上升，也不能把每一次冒用都歸因給 AI。

對技術主管來說，我會建議先做多來源核對，同時保留核驗遺漏的防線。協同造假，或同一人事先準備好的多份素材，仍然可能通過這一關，因此權限也需要分級。

招聘與入職拆成五個交接點，敏感權限依最小權限原則另行核准

零信任（zero trust）在 NIST SP 800-207 的定義裡，講的是資源存取的驗證與授權原則：不因位置或設備歸屬授予隱含信任，並在存取資源前分別處理驗證與授權。把這個原則用在招聘與入職，是本文的延伸判斷。

NIST 在 SP 800-207 用一張極簡的存取模型圖說明這件事：請求方要存取資源，中間必須經過一個做出決策、並負責執行的關口（PDP/PEP）。

延伸的做法，是把招聘流程拆成幾個交接點，每個交接點都回答一個問題，並且有一個負責複核的角色：

每個交接點都該有人負責。核驗應涵蓋可以獨立核對的經歷或身分依據、設備交付與使用狀態；權限則按職務所需核准。多來源核對仍可能被協同造假，權限分級就是核驗之外的第二層防線。

這個分級不需要對每個職缺都做到同一個深度。能接觸原始碼、客戶資料或正式環境的遠端技術職，核驗的投入值得拉高；只處理公開資訊、沒有敏感存取權的工作，不必背負同一套流程。

異常時先暫停敏感授權並保留求職者複核與申訴空間

核驗設計時，不該把「抓到幾個人」直接當成流程的成效。影像延遲、口音、外貌、國籍、文化常識答不出來，或是拒絕某個單一動作，都不該單獨拿來判定造假或拒聘。出現不一致時，先暫停相關驗證或敏感授權的開通，交由指定人員複核，讓候選人補充說明，不公開指控，也不把個人的外貌或口音當成談資。

核驗流程本身也該讓候選人知道發生了什麼。事先說明核驗的目的與所需資料，限定在必要範圍內，設定存取與保留規則，並提供合理的替代核驗方式。合理的第三方薪資、承包或收件安排，也該有解釋與複核的管道，不直接被當成作假的證據。

這套流程也不保證能完全擋下冒用。我支持投入能複核、可解釋、讓正常求職者有申訴空間的流程，並保留權限限制——核驗有遺漏時，團隊仍然握有限制損害的手段。

核對身分、評估能力、授予權限，應該分別有自己的依據。

下一位遠端新人要入職前，先盤點一次：身分核對、設備交付、敏感權限各由誰負責，哪個環節還是靠「視訊面試看起來沒問題」就直接放行。先確認授權的依據，才決定要不要開那道門，可以參考〈MCP server 該不該裝？安裝前一定要做的權限檢查（2026 資安懶人包）〉。

延伸閱讀

• MCP server 該不該裝？安裝前一定要做的權限檢查（2026 資安懶人包）：同樣從「要不要開權限」出發，把判準落在安裝前的檢查清單。
• AI 寫的測試全過，為什麼功能還是錯的？驗證閉環完整懶人包（2026）：談的是另一種「表面過關不代表可信」的驗證缺口，方法可以類比，不能替代招聘流程所需的外部證據。

參考資料

• Stu Sjouwerman／KnowBe4（2024-07-23）。How a North Korean Fake IT Worker Tried to Infiltrate Us
• Klaudia Kloc／Vidoc（2025-03-27）。Fake Engineer - Advanced Deepfake Fraud and How to Detect It
• FBI（2025-07-23）。North Korean IT Worker Threats to U.S. Businesses
• FBI／IC3（2022-06-28）。Deepfakes and Stolen PII Utilized to Apply for Remote Work Positions，I-062822-PSA
• NIST（2020-08）。SP 800-207: Zero Trust Architecture