假招聘和假笔试
“从零学网络安全”课程第 12 课，共 16 课。免费，有动画和小测验。
价值 3.08 亿美元的笔试题
2024 年 5 月，日本交易所 DMM Bitcoin 被盗 3.08 亿美元。美国联邦调查局（FBI）公布了起因：一名黑客冒充领英上的招聘官，联系了为该交易所做钱包系统的 Ginco 公司的员工，发来一道“入职笔试”，其实是一段 Python 脚本。员工运行了它，攻击者就进了 Ginco 的系统，再借此动了 DMM 的转账。FBI 认定幕后是朝鲜组织 TraderTraitor。
这是一波攻势，不是个案
从 2023 年起，Palo Alto Networks 的研究人员一直在追踪一场被他们命名为 Contagious Interview（传染性面试）的攻击。与朝鲜有关联的黑客邀请开发者参加“面试”，让对方下载并运行一个项目，里面藏着专偷密码和加密钱包的木马。丹是正在找工作的初级程序员，正好是这类攻击的目标。记住图里这五个信号。
给陌生代码一个沙箱
不用拒绝所有笔试，只要在没东西可偷的地方运行陌生代码：比如 GitHub Codespaces 这类云端开发环境，或者没登录你任何账号的虚拟机。记住，连 npm install、pip install 都会执行包作者的脚本，所以“我只是装了依赖”也算运行。
如果你不是程序员
不写代码的人也有对应的版本：“刷单任务”。有人发消息，说点赞视频、给商品打分就给钱。头几天真给你几美元，好让你相信。然后让你充值（通常是加密货币）来解锁“报酬更高”的任务。最后提现还得再交钱。美国联邦贸易委员会（FTC）专门就这种骗局发过警告。记住一条：要你先掏钱的工作，不是工作。
自测一下
- “招聘官”给丹发来笔试：克隆仓库，运行 npm install && npm start。他该怎么办？
正确答案: 只在云端环境或虚拟机里运行. 沙箱里没有密码、登录状态和钱包，就算有木马也拿不走东西。 - 视频面试时对方说：“你摄像头不行，在终端里粘贴这条命令。”这是什么？
正确答案: 这是在给你下毒：真招聘官不会这样. 终端命令能下载并运行任何东西。摄像头在浏览器里点个按钮就够了。 - 丹的朋友点赞拿了两天钱，现在对方让她充 100 美元解锁更好的任务。她该怎么办？
正确答案: 别交钱，直接退出：这就是“刷单任务”骗局. 头几笔钱是诱饵，之后钱只出不进。
← 假客服 交易所还是自己的钱包 →