Vagas falsas e testes técnicos
Aula 12 de 16 do curso “Cibersegurança do zero”. Grátis, com animações e teste.
Um teste técnico de US$ 308 milhões
Em maio de 2024 a corretora japonesa DMM Bitcoin perdeu US$ 308 milhões. O FBI contou como começou. Um hacker se passando por recrutador no LinkedIn escreveu para um funcionário da Ginco, empresa que fazia o sistema de carteiras da corretora. Mandou um “teste técnico”: um script em Python. O funcionário rodou, e os invasores entraram nos sistemas da Ginco e, por eles, nas transferências da DMM. O FBI ligou o ataque ao grupo norte-coreano TraderTraitor.
É uma onda, não um caso isolado
Desde 2023, pesquisadores da Palo Alto Networks acompanham uma campanha que chamaram de Contagious Interview. Hackers ligados à Coreia do Norte chamam desenvolvedores para “entrevistas” e passam um projeto para baixar e rodar. Dentro tem um ladrão que caça senhas e carteiras cripto. Dan é júnior e procura emprego, exatamente o alvo disso. Guarde os cinco sinais da imagem.
Um ambiente isolado para código alheio
Não precisa recusar todo teste. Precisa rodar código de estranho onde não há nada para roubar: um ambiente de dev na nuvem, como o GitHub Codespaces, ou uma máquina virtual sem suas contas. Lembre que até npm install ou pip install já rodam scripts do autor do pacote. Então “só instalei as dependências” também é rodar.
Se você não é programador
Para o resto tem outra versão: as “tarefas pagas”. Alguém manda mensagem oferecendo dinheiro para curtir vídeos ou avaliar produtos. Nos primeiros dias pagam alguns dólares de verdade para você confiar. Depois pedem um depósito, geralmente em cripto, para liberar tarefas “mais bem pagas”. E no fim é preciso pagar mais para sacar. A FTC dos EUA já alertou sobre esse esquema. Uma regra: trabalho pelo qual você paga não é trabalho.
Teste-se
- Um “recrutador” manda um teste ao Dan: clonar um repo e rodar npm install && npm start. O que ele deve fazer?
Resposta certa: Rodar só num ambiente na nuvem ou máquina virtual. No ambiente isolado não há senhas, sessões nem carteira. Mesmo com ladrão dentro, não há o que levar. - Numa entrevista por vídeo dizem ao Dan: “Sua câmera não funciona, cola este comando no terminal”. O que é isso?
Resposta certa: Tentativa de infecção: recrutador real não faz isso. Um comando no terminal pode baixar e rodar qualquer coisa. Para câmera basta um botão do navegador. - Uma amiga do Dan recebeu dois dias por curtidas e agora pedem US$ 100 para liberar tarefas melhores. O que ela faz?
Resposta certa: Não pagar e sair: é o esquema das “tarefas pagas”. Os primeiros pagamentos são isca. Depois o dinheiro só sai.