De andere Sean Byrne bestaat niet

Begin dit jaar weigerde Apple mij toegang tot App Store Connect, nadat zij hadden besloten dat ik overeenkwam met iemand op een door de Amerikaanse overheid vastgestelde lijst van beperkte partijen (restricted-party list).

Hun uitleg was vrij definitief: "De door u verstrekte informatie komt volledig overeen met een of meer beperkte partijen op de geconsolideerde screeningslijst van de Amerikaanse overheid of een sanctielijst van een andere overheid."

Ze hadden mijn paspoort al in hun bezit.

Ik reageerde met mijn volledige wettelijke naam, Sean Joseph Byrne, uploadde mijn rijbewijs en wees op het adres in het overheidsregister waartegen ze mij blijkbaar matchten. Ik heb nooit op dat adres gewoond, nooit in County Sligo gewoond en heb geen enkele band met het betrokken bedrijf. Ik vroeg hen om de zaak voor te leggen aan hun medewerkers die gespecialiseerd zijn in sanctienaleving, zodat er een correcte bepaling kon worden gemaakt dat er geen sprake was van een match.

Apple heeft nog steeds niet gereageerd.

Ik wist wat er was gebeurd, want dit was niet de eerste keer.

Cloonmull House

Als je in de Consolidated Screening List van de Amerikaanse overheid zoekt naar Sean Byrne, krijg je precies één resultaat:

• Naam: Sean Byrne
• Adres: Cloonmull House, Drumcliffe, County Sligo, Ierland
• Bron: Entity List, Bureau of Industry and Security
• Toegevoegd: 21 juli 2009
• Licentievereiste: Alle items die onder de EAR vallen
• Licentiebeleid: Vermoeden van afwijzing (Presumption of denial)

De Consolidated Screening List is op zichzelf geen sanctielijst. Het is een screeningstool van de Amerikaanse overheid die een aantal lijsten voor exportcontrole, sancties en andere beperkte partijen combineert, die worden beheerd door de ministeries van Handel, Buitenlandse Zaken en Financiën.

Het resultaat komt uit de Entity List van het Bureau of Industry and Security van het Ministerie van Handel. "Alle items die onder de EAR vallen" verwijst naar de Export Administration Regulations, de regels die bepalen wat Amerikaanse bedrijven naar het buitenland mogen verschepen. "Vermoeden van afwijzing" is een licentiehouding: als iemand een licentie aanvraagt om iets naar deze persoon te exporteren, is het standaardantwoord 'nee'. Dat is precies het doel. Het is een instrument voor exportcontrole, maar het zegt niets over wie er in dienst mag zijn of wie aandelen mag verkopen.

De persoon in het zoekresultaat ben ik niet. Wat interessanter is: het lijkt helemaal niemand te zijn.

De vermelding kwam voort uit de vervolging van een Iers bedrijf in vliegtuigonderdelen genaamd Mac Aviation. In 2009 beschreef het Ministerie van Justitie (Department of Justice, DOJ) Sean Byrne als de commercieel manager van Mac Aviation en klaagde hem samen met Thomas en Sean McGuinn aan voor de illegale export van Amerikaanse vliegtuigapparatuur naar Iran.

Behalve dat Mac Aviation blijkbaar fictieve werknemers had verzonnen om het bedrijf groter te laten lijken dan het was.

Mac Aviation bestond uit een vader en zoon die werkten vanuit een cottage aan de rand van het dorp Drumcliffe, met Ben Bulben op de achtergrond. Een functionaris van Rolls-Royce die op bezoek kwam, was naar verluidt sprakeloos. Het bedrijf waar hij helikoptermotoren aan had verkocht, en dat hij had aangezien voor een wereldwijde operatie met honderden professionals, was een huis in Sligo.

Om de indruk van een veel grotere firma in stand te houden, tekenden de McGuinns documenten met valse namen. Sean Byrne was een van die namen. John Mooney rapporteerde in de Sunday Times dat de naam op zoveel bedrijfspapieren verscheen dat de Amerikaanse autoriteiten "overtuigd raakten dat Byrne bestond en probeerden hem aan te klagen."

Toen het DOJ in 2010 een vervangende aanklacht indiende, was Sean Byrne niet langer een verdachte. De verdachten waren Mac Aviation en Thomas en Sean McGuinn.

belangrijker is dat de vervangende aanklacht Sean Byrne herhaaldelijk beschrijft als een alias die door één of meer medeplichtigen werd gebruikt. De frase verschijnt meer dan vijftien keer, gekoppeld aan specifieke facturen, e-mails en een verklaring over het eigendom. Het personeel van Mac Aviation gebruikte de naam bij leveranciers in de VS en klanten in Iran.

Op een gegeven moment lijkt de Amerikaanse overheid te hebben begrepen dat Sean Byrne niet echt een apart persoon was. Toch is de vermelding in de Entity List blijven bestaan. Zestien jaar later bevat deze nog steeds geen geboortedatum, paspoortnummer, tweede naam of andere bruikbare persoonlijke identificatie. Het is in feite een veelvoorkomende Ierse naam, een adres in Sligo en het land Ierland.

Cloonmull House in Sligo was de woning van Thomas McGuinn, en de aanklacht vermeldt dit als het geregistreerde postadres van Mac Aviation. De vermelding is dus geen record van een man in Sligo; het is een naam die gekoppeld is aan het huis van iemand anders. En ik heb nooit in Sligo gewoond.

Dit is eerder gebeurd

Jaren voordat ik terugverhuisde naar Ierland, verkocht ik aandelen via een tenderbod, toen Nasdaq mijn order stopzette nadat een achtergrondcontrole een match op mijn naam opleverde.

Hun Head of Account Management stuurde me een e-mail waarin stond dat de controle een match had gevonden die gekoppeld was aan een eerder incident. Hij gaf aan dat hij er zeker van was dat het om een false positive ging, maar dat de afdeling compliance aanvullend bewijs wilde van mijn adres in Californië. Aan de telefoon gaf hij me meer details en vroeg hij specifiek naar Mac Aviation. Ik legde uit dat ik nooit iets met dat bedrijf te maken had gehad, leverde de gevraagde documentatie aan en de verkoop ging door, inclusief een vermakelijk verhaal om aan mensen te vertellen.

Recentelijk bestelde ik een bevestigingspaal voor Starlink uit Californië. DHL, die verscheepte namens SpaceX, vertelde me dat het probleem een match met een beperkte partij was en vroeg om mijn paspoort. Ik stuurde dit op, zij gaven akkoord en de paal kwam aan. DHL weigerde ook een hoed die ik in de VS had besteld naar mij in Ierland te sturen zonder een kopie van mijn paspoort.

De nep-Sean Byrne werd geassocieerd met pogingen om helikoptermotoren, jachtvliegtuigonderdelen en andere Amerikaanse apparatuur voor Iran te bemakkelen. De echte Sean Byrne moet af en toe een paspoort overleggen voordat iemand hem een hoed stuurt.

Apple is de uitzondering. Nasdaq en de verzenders genereerden beide false positives, vroegen om voldoende informatie om dit op te lossen en losten het vervolgens op. Apple had mijn paspoort al, ontving mijn rijbewijs en een vrij gedetailleerde uitleg over waarom de match onjuist was, en vertelde me nog steeds dat ik "volledig" overeenkwam met een beperkte partij.

Twaalf mannen genaamd Robert Johnson

Niets hiervan is nieuw. In oktober 2006 ontdekte 60 Minutes twaalf Amerikaanse mannen genaamd Robert Johnson die allemaal problemen hadden bij het instappen in vliegtuigen, en bracht hen samen naar New York. Een politicus, een voetbalcoach, zakenlieden en een actief lid van het leger.

De Robert Johnson met wie ze constant werden verward, was geen man genaamd Robert Johnson. Het was een bekend alias van iemand die was veroordeeld voor het plannen van een bomaanslag op een Hindoe-tempel en een bioscoop in Toronto, die inmiddels zijn straf had uitgezeten en was gedeporteerd naar Trinidad. De agents van de luchtvaartmaatschappij die de twaalf echte mannen controleerden, hadden alleen een naam. Geen geboortedatum, niets.

Toen hiernaar werd gevraagd, zei het hoofd van het Terrorist Screening Center van de FBI dat Robert Johnson nooit van de lijst zou worden gehaald, en dat iedereen met die naam ongemak zou ervaren telkens wanneer ze probeerden in te checken.

Ik sta niet op de Entity List. Ik word onterecht geïdentificeerd als een vermelding op die lijst. Apple maakte dat onderscheid niet.

De consumentenversie hiervan is voor de rechter gebracht. In 2005 werd Sandra Cortez tegengehouden bij de aankoop van een auto in Colorado omdat TransUnion haar matchte met een vrouw op de sanctielijst van het Ministerie van Financiën die 27 jaar na haar was geboren. Het kredietbureau had alleen voor- en achternamen vergeleken, niet de geboortedatums. Een jury kende haar een schadevergoeding toe en het Third Circuit bevestigde dit, waarbij het niet vergelijken van geboortedatums als "verwerpelijk" werd bestempeld. Sergio Ramirez had zes jaar later dezelfde ervaring bij een autodealer, en zijn zaak bereikte in 2021 het Hooggerechtshof.

In beide gevallen riepen de rechtbanken op tot betere matching. Vergelijk de geboortedatum. Vergelijk de tweede naam.

Er is geen versie van dat proces die voor mij beschikbaar is. De vermelding bevat geen geboortedatum om te vergelijken. Geen tweede naam en geen paspoortnummer, omdat de persoon niet bestaat. Een screeningsysteem dat zijn werk perfect doet, zal mij voor altijd blijven markeren op basis van de enige twee feiten die het record bevat: een veelvoorkomende Ierse naam en een land.

Dat is de reden waarom discussiëren met bedrijven één voor één de verkeerde aanpak is.

De echte nep-Sean Byrne

Remote hiring (werken op afstand) heeft een ernstig probleem ontwikkeld met identiteitsfraude. En, wat bijna ongelooflijk is, een Noord-Korea probleem.

Noord-Koreaanse IT-medewerkers hebben remote banen bij Amerikaanse bedrijven gekregen door gebruik te maken van gestolen of gefabriceerde identiteiten, proxy-interviewers en in de VS gevestigde "laptop farms" die ervoor zorgen dat werknemers in het buitenland lijken te verbinden vanuit de Verenigde Staten. De FBI heeft bedrijven hierover gewaarschuwd, en het DOJ heeft schema's vervolgd die succesvol werknemers hebben geplaatst bij meer dan 100 Amerikaanse bedrijven.

Dus als je remote engineers aanneemt, is de vraag "is deze persoon eigenlijk wie hij beweert te zijn?" nu een legitiem beveiligingsprobleem.

Er wordt een nieuwe klasse wervingsproducten gebouwd rond dat probleem. Deze zitten in de software die bedrijven gebruiken om sollicitaties te beheren, het applicant tracking system (ATS).

Tofu is een van deze producten. Hun belofte is dat ze elke sollicitant screenen op basis van meer dan veertig signalen voordat een recruiter een cv opent, en dat wanneer een gescreende sollicitant een sanctie-match triggert, het signaal direct naar een compliance review gaat. Ze zijn expliciet dat dit vroeg moet gebeuren: screening in de fase van de achtergrondcontrole is volgens hen al te laat, dus zou het moeten gebeuren bij het indienen van de sollicitatie, voordat een recruiter contact opneemt. Ze zeggen ook dat een kandidaat die door een van hun klanten is gemarkeerd, via hun API over hun hele klantennetwerk wordt gemarkeerd. Brainner hanteert een vergelijkbare aanpak en controleert sollicitanten tegen 3,5 miljard datapunten en markeert risicoprofielen voordat een recruiter ze bekijkt.

Tofu zegt dat hun database is opgebouwd uit geanalyseerde sollicitantprofielen. Hun homepage vermeldt meer dan 18 miljoen. De meeste andere pagina's vermelden meer dan 5 miljoen.

De sanctiescreening die deze leveranciers beschrijven, betreft OFAC en de Specially Designated Nationals (SDN) lijst, wat de juiste lijst is voor het risico dat zij verkopen: het betalen van lonen aan een gesanctioneerde persoon. Ik heb geen bewijs dat een van beide bedrijven de BIS Entity List raadpleegt, en ik heb geen idee of enig bedrijf waar ik heb gesolliciteerd een van deze producten gebruikt.

Maar het screenen van mijn naam tegen Amerikaanse data van beperkte partijen produceert een false positive. Dat gebeurde bij Nasdaq, bij SpaceX, bij DHL en bij Apple. Vier keer in zes jaar. En het antwoord van de industrie op fraude bij remote hiring is om dit soort controles eerder uit te voeren, voordat er een mens bij betrokken is, en het resultaat te verspreiden over een netwerk van werkgevers.

Hun hele these is dat naamscreening leidt tot false negatives: een Noord-Koreaanse operative die een gestolen Amerikaanse identiteit gebruikt, komt ongeschonden door een SDN-check, omdat de check wordt uitgevoerd tegen de identiteit van het slachtoffer in plaats van die van de fraudeur. Dat is waar, en het is een goede reden om betere tools te bouwen. Maar het is een argument dat slechts één kant op wijst: naar meer screening, eerder in het proces. Niemand houdt rekening met een echte sollicitant die matcht met een vermelding van een persoon die is verzonnen.

Mac Aviation bedacht een werknemer om zichzelf als een groter bedrijf te presenteren. Die gefabriceerde werknemer belandde in een gezaghebbende database van de Amerikaanse overheid. Zestien jaar later wordt er een industrie gebouwd om gefabriceerde werknemers op te sporen die solliciteren naar banen in de technologie.

Heeft dit me een baan gekost? Ik weet het niet. Ik heb mijn carrière besteed aan informatiebeveiliging, grotendeels in de VS, en ik solliciteer nu naar functies vanuit Ierland. Er zijn banen geweest waarbij ik een achtergrond heb die in ieder geval tot een gesprek zou moeten leiden, maar waar ik niets van heb gehoord. Dat is op zichzelf niet bijzonder. Werving is rommelig, functies worden bevroren, recruiters verdwijnen en bedrijven wijzen perfect goede kandidaten af om redenen die de kandidaat nooit zal weten. Er is zelfs een hele website genaamd Did They Ghost You?, dus we hebben hier niet te maken met een onverklaard fenomeen.

Maar Nasdaq vertelde me dat het om Mac Aviation ging. DHL, namens SpaceX, vroeg om een paspoort en vertelde me dat dit te danken was aan een hit tegen de beperkte partijen op de Consolidated Screening List van de Amerikaanse overheid. Apple vertelde me tenminste dat ik een match had, zelfs als ze daarna stopten met communiceren. Een applicant tracking system zal me helemaal niets vertellen.

Bij de bron

Ik heb het End-User Review Committee van het Bureau of Industry and Security gevraagd om de oorspronkelijke vermelding in de Entity List te herzien. Ik weet niet of daar iets van zal komen. Het normale proces is ontworpen voor een vermelde persoon die vraagt om verwijderd te worden, wat hier een interessant probleem creëert. Ik ben niet de vermelde Sean Byrne, en het beschikbare bewijs suggereert dat die persoon mogelijk nooit heeft bestaan.

Voor nu zegt de screeningsdata van de Amerikaanse overheid nog steeds: Sean Byrne, Cloonmull House, Drumcliffe, County Sligo.

Ik heb nog steeds nooit in Sligo gewoond.

© 2021 Sean Byrne