Ранее в этом году Apple закрыла доступ к App Store Connect, решив, что данные заявителя совпадают с человеком из ограничительного списка правительства США.
Формулировка была довольно однозначной:
«Предоставленная вами информация полностью совпадает с одной или несколькими ограниченными сторонами из сводного санкционного списка правительства США или санкционного списка другого государства».
У Apple к тому моменту уже был паспорт заявителя.
В ответ было отправлено полное юридическое имя, Шон Джозеф Бирн, загружены водительские права, а также указано на адрес из государственной записи, с которой, судя по всему, происходило сопоставление. По этому адресу заявитель никогда не жил, никогда не жил в графстве Слайго и не имеет никакого отношения к упомянутой компании. Была просьба передать вопрос специалистам по санкционному комплаенсу и вынести корректное решение об отсутствии совпадения.
Apple так и не ответила.
Ответ Apple после проверки документов, удостоверяющих личность.
Что произошло, было понятно сразу — это уже не первый подобный случай.
Cloonmull House
Если искать имя Sean Byrne в государственном Consolidated Screening List, находится ровно один результат:
Sean Byrne
Cloonmull House
Drumcliffe, County Sligo
IrelandИсточник: Entity List, Bureau of Industry and Security
Добавлено: 21 июля 2009 года
Требование по лицензии: все товары, подпадающие под EAR
Политика лицензирования: презумпция отказа
Сам Consolidated Screening List не является санкционным списком как таковым. Это инструмент проверки правительства США, объединяющий ряд списков экспортного контроля, санкций и ограниченных сторон, которые ведут Министерства торговли, госдепартамент и Минфин.
Результат взят из Entity List Бюро промышленности и безопасности (BIS) Министерства торговли. «Все товары, подпадающие под EAR» означает Export Administration Regulations — правила, определяющие, что американские компании могут вывозить за рубеж. «Презумпция отказа» — это позиция по лицензированию: если кто-то подаёт заявку на лицензию для экспорта чего-либо в адрес этого человека, ответ по умолчанию — отказ. В этом весь смысл записи. Это инструмент экспортного контроля, и он ничего не говорит о том, кого можно нанимать на работу или кому можно продавать акции.
Человек из результатов поиска — не автор этой истории. Более того, похоже, что это вообще не какой-либо реальный человек.
Запись возникла из судебного преследования ирландской фирмы по продаже авиазапчастей Mac Aviation. В 2009 году Министерство юстиции США описало Шона Бирна как коммерческого директора Mac Aviation и предъявило ему обвинение вместе с Томасом и Шоном МакГиннами по делу о незаконном экспорте американского авиационного оборудования в Иран.
Вот только Mac Aviation, судя по всему, придумывала сотрудников, чтобы компания выглядела крупнее, чем была на самом деле.
Mac Aviation представляла собой отца и сына, работавших из коттеджа на окраине деревни Драмклифф, за которым возвышается гора Бен-Балбен. Представитель Rolls-Royce, приехавший с визитом, по рассказам, лишился дара речи. Компания, которой он продавал вертолётные двигатели и которую принимал за глобальную структуру со штатом в сотни специалистов, оказалась домом в Слайго.
Драмклифф, графство Слайго, на фоне горы Бен-Балбен.
Чтобы поддерживать образ гораздо более крупной фирмы, МакГинны подписывали документы вымышленными именами. Одним из них было Sean Byrne. Джон Муни писал в Sunday Times, что это имя фигурировало в таком количестве документов компании, что американские власти «убедились в существовании Бирна и попытались предъявить ему обвинение».
Когда в 2010 году Минюст подал новое, замещающее обвинительное заключение вместо первоначального, Шон Бирн уже не значился среди обвиняемых. Обвиняемыми остались Mac Aviation, Томас и Шон МакГинны.
Важнее другое: новое обвинительное заключение неоднократно описывает Шона Бирна как псевдоним, использовавшийся одним или несколькими соучастниками. Формулировка встречается более пятнадцати раз — применительно к конкретным счетам, письмам и заявлению о праве собственности. Сотрудники Mac Aviation использовали это имя в общении с поставщиками в США и покупателями в Иране.
В какой-то момент американские власти, судя по всему, установили, что Шон Бирн не является отдельным реальным человеком. И тем не менее запись в Entity List сохранилась. Шестнадцать лет спустя в ней по-прежнему нет ни даты рождения, ни номера паспорта, ни отчества, ни каких-либо иных полезных идентифицирующих данных. По сути, это распространённое ирландское имя, адрес в Слайго и страна — Ирландия.
Cloonmull House в Слайго был домом Томаса МакГинна, и в обвинительном заключении этот адрес указан как официальный почтовый адрес Mac Aviation. Так что запись — это не сведения о человеке из Слайго. Это имя, привязанное к чужому дому. А в Слайго никогда не жил тот, кого сейчас с этой записью путают.
Такое уже случалось
За несколько лет до переезда обратно в Ирландию, при продаже акций через тендерное предложение Nasdaq заблокировала ордер после того, как проверка биографических данных выдала совпадение по имени.
Руководитель отдела управления счетами Nasdaq написал, что проверка нашла совпадение, связанное с прошлым инцидентом, и что он уверен в ложном срабатывании, но комплаенс требует дополнительное подтверждение калифорнийского адреса. По телефону он рассказал подробнее и прямо спросил про Mac Aviation. В ответ было объяснено, что к компании никакого отношения нет, предоставлены запрошенные документы, и сделка прошла — оставив занятную историю на будущее.
Ответ Nasdaq после того, как проверка биографических данных выдала совпадение по имени.
Позднее была заказана монтажная стойка Starlink из Калифорнии. DHL, доставлявшая груз от имени SpaceX, сообщила, что проблема — в совпадении с ограниченной стороной, и запросила паспорт. После отправки документа груз был очищен и доставлен. Также DHL отказывалась пересылать в Ирландию заказанную в США кепку без копии паспорта.
Вымышленный Шон Бирн был связан с попытками поставить в Иран вертолётные двигатели, детали для боевых самолётов и другое американское оборудование. Настоящему Шону Бирну время от времени приходится предъявлять паспорт, чтобы кто-то согласился отправить ему кепку.
Apple выделяется на этом фоне. И Nasdaq, и перевозчики выдавали ложные срабатывания, запрашивали достаточно информации для их устранения — и устраняли их. У Apple уже был паспорт, компания получила водительские права и достаточно подробное объяснение того, почему совпадение ошибочно, и всё равно заявила, что данные «полностью» совпадают с ограниченной стороной.
Двенадцать мужчин по имени Роберт Джонсон
Ничего нового в этом нет. В октябре 2006 года программа 60 Minutes нашла двенадцать американцев по имени Роберт Джонсон, у которых регулярно возникали проблемы при посадке на рейсы, и собрала их вместе в Нью-Йорке. Среди них были политик, тренер по футболу, предприниматели и действующий военнослужащий.
Роберт Джонсон, с которым их постоянно путали, вовсе не был человеком по имени Роберт Джонсон. Это был известный псевдоним человека, осуждённого за подготовку взрыва в индуистском храме и кинотеатре в Торонто, который к тому времени уже отбыл наказание и был депортирован в Тринидад. У агентов авиакомпаний, сверявших двенадцать реальных людей с этой записью, было только имя — и ничего больше. Даже даты рождения не было.
На вопрос об этом руководитель Центра проверки на терроризм ФБР ответил, что Роберт Джонсон никогда не будет исключён из списка, и что любой человек с этим именем будет сталкиваться с неудобствами при каждой попытке регистрации на рейс.
В Entity List нет записи об авторе этой истории — есть лишь ошибочное отождествление с записью, уже находящейся там. Apple такого различия не провела.
Потребительская версия этой проблемы уже разбиралась в судах. В 2005 году Сандра Кортес не смогла купить машину в Колорадо, потому что бюро кредитных историй TransUnion сопоставило её с женщиной из санкционного списка Минфина, родившейся на 27 лет позже. Кредитное бюро сравнивало только имя и фамилию, без даты рождения. Присяжные присудили ей компенсацию, а Третий апелляционный округ поддержал это решение, назвав отказ от сверки дат рождения возмутительным. Серхио Рамирес столкнулся с тем же самым в автосалоне шестью годами позже, и его дело дошло до Верховного суда в 2021 году.
В обоих случаях суды требовали улучшить сопоставление данных: сверять дату рождения, сверять отчество.
В данном случае такой возможности просто нет. В записи нет даты рождения для сравнения. Нет отчества и номера паспорта — потому что человека не существует. Система проверки, работающая идеально по своим правилам, всё равно будет бесконечно давать совпадение по единственным двум фактам, которые содержит запись: распространённое ирландское имя и страна.
Именно поэтому спорить с компаниями по одной — неверный подход.
Настоящий фиктивный Шон Бирн
Удалённый найм столкнулся с серьёзной проблемой мошенничества с идентификацией. А заодно, что довольно неожиданно, — с проблемой Северной Кореи.
Северокорейские IT-специалисты устраиваются на удалённую работу в американские компании, используя украденные или сфабрикованные личности, подставных интервьюеров и расположенные в США «фермы ноутбуков», из-за которых работники за границей выглядят так, будто подключаются изнутри страны. ФБР предупреждает компании об этой схеме, а Минюст уже привлёк к ответственности организаторов схем, успешно устроивших людей более чем в 100 американских компаний.
Так что для тех, кто нанимает удалённых инженеров, вопрос «действительно ли этот человек тот, за кого себя выдаёт?» превратился в реальную проблему безопасности.
Вокруг неё формируется новый класс рекрутинговых продуктов. Они встраиваются в системы, которые компании используют для управления заявками на трудоустройство — Applicant Tracking System, ATS.
Один из таких продуктов — Tofu. Их предложение звучит так: каждый кандидат проверяется более чем по сорока сигналам ещё до того, как рекрутер откроет резюме, а при совпадении с санкционным списком сигнал сразу направляется в отдел комплаенса. Компания прямо заявляет, что это должно происходить как можно раньше: проверка на этапе бэкграунд-чека, по их логике, — это уже слишком поздно, поэтому сверка должна выполняться сразу при подаче заявки, до какого-либо контакта с рекрутером. Также утверждается, что кандидат, помеченный у одного клиента, помечается во всей клиентской сети через их API. Похожий подход предлагает Brainner: проверка кандидатов по 3,5 миллиарда данных с пометкой профилей повышенного риска ещё до того, как их увидит рекрутер.
Tofu утверждает, что база строится на основе проанализированных профилей кандидатов. На главной странице компании указано число более 18 миллионов. На большинстве остальных страниц — более 5 миллионов.
Санкционная проверка, которую описывают эти сервисы, — это OFAC и список Specially Designated Nationals, что логично для риска, против которого они продают защиту: выплаты зарплаты человеку из-под санкций. Нет никаких данных о том, обращается ли хоть одна из этих компаний к Entity List BIS, и неизвестно, использует ли какой-либо из продуктов хоть одна компания, куда подавались заявки.
Но проверка по имени против ограничительных данных США даёт ложное срабатывание. Так было в Nasdaq, у SpaceX, в DHL и в Apple. Четыре раза за шесть лет. И ответ индустрии на проблему мошенничества при удалённом найме — проводить такую проверку ещё раньше, до участия человека, и распространять результат по всей сети работодателей.
Mac Aviation выдумала сотрудника, чтобы выглядеть крупнее. Этот вымышленный сотрудник в итоге оказался в авторитетной государственной базе США. Шестнадцать лет спустя компании строят на основе этой базы системы для выявления фальшивых кандидатов, мошенников, преступников и агентов иностранных государств ещё до того, как те пройдут процесс найма.
Стоило ли это работы? Неизвестно. Значительная часть карьеры прошла в сфере информационной безопасности, в основном в США, а сейчас заявки подаются на позиции из Ирландии. Были вакансии, где бэкграунд как минимум должен был обеспечить хотя бы разговор — и в ответ тишина. Само по себе это не показательно: найм — процесс хаотичный, позиции замораживаются, рекрутеры исчезают, а компании отклоняют вполне достойных кандидатов по причинам, которые кандидат никогда не узнает. Существует целый сайт под названием Did They Ghost You?, так что речь не о необъяснимом явлении.
Но Nasdaq прямо назвала причину — Mac Aviation. DHL, работавшая от имени SpaceX, запросила паспорт и объяснила, что дело в совпадении с ограниченными сторонами из сводного санкционного списка США. Apple хотя бы сообщила, что произошло совпадение, пусть потом и замолчала. Система отслеживания кандидатов не скажет вообще ничего.
Выше по цепочке
Был направлен запрос в End-User Review Committee Бюро промышленности и безопасности с просьбой пересмотреть исходную запись в Entity List. Уверенности в результате нет. Стандартная процедура рассчитана на случай, когда сам внесённый в список человек просит об исключении — а здесь возникает интересная проблема. Заявитель не является тем Шоном Бирном из списка, а имеющиеся свидетельства указывают, что этот человек, возможно, никогда не существовал вовсе.
Пока что данные проверки правительства США по-прежнему гласят: Sean Byrne, Cloonmull House, Drumcliffe, County Sligo.
А в Слайго так и не пришлось пожить ни разу.