Fausses offres d'emploi : quand l'entretien est l'attaque

Un recruteur vous contacte au sujet d'un poste bien payé dans une entreprise crypto. L'échange est professionnel, l'entreprise semble réelle, et l'étape suivante est un court exercice technique : cloner un dépôt, installer les dépendances, le lancer et corriger un bug. Ou peut-être un appel vidéo, pour lequel l'interlocuteur vous demande d'abord d'installer une application de réunion ou un « correctif pour la caméra ».

Pour un nombre croissant de personnes, c'est à ce moment-là que leur machine — et leurs cryptos — ont été compromises. Les faux recrutements sont devenus l'un des moyens les plus efficaces d'installer des logiciels malveillants précisément sur les ordinateurs que les attaquants convoitent : ceux des développeurs, des traders et des personnes qui travaillent dans la crypto.

Comment fonctionne l'arnaque

Le scénario varie, mais le fond reste le même :

1. Une approche crédible. Un message sur un réseau professionnel, un site d'emploi ou une messagerie, envoyé par un recruteur ou un fondateur au profil soigné — se faisant parfois passer pour une vraie entreprise, en inventant parfois une plausible.
2. Un processus d'apparence normale. Un premier entretien, une description du poste, une discussion sur le salaire. Rien d'inquiétant, et souvent pendant plusieurs jours, pour instaurer la confiance.
3. L'étape piégée. On vous demande d'exécuter quelque chose : un test de code depuis un dépôt, un projet à relire, une application de réunion à partir d'un lien qu'on vous envoie, ou un script censé « réparer » un problème de webcam ou de son pendant un appel.
4. Un vol silencieux. Le code installe un logiciel malveillant qui recherche les extensions de portefeuille, les mots de passe enregistrés dans le navigateur, les phrases de récupération dans des fichiers et des notes, ainsi que les cookies de session — puis les exfiltre. Les fonds peuvent disparaître le jour même ou des semaines plus tard.

Ce qui rend l'arnaque efficace, c'est qu'exécuter du code inconnu fait tout à fait partie d'un entretien technique. La demande ne paraît pas étrange, car en général elle ne l'est pas.

Où se cache la partie malveillante

Dans la variante de l'exercice à faire chez soi, le code visible est souvent sain. La charge malveillante se trouve là où vous n'irez probablement pas lire :

• Les dépendances. Un paquet de la liste des dépendances du projet qui exécute du code lors de son installation.
• Les scripts d'installation et de build. Des hooks qui s'exécutent automatiquement quand vous installez ou lancez le projet.
• Une configuration obfusquée. Une longue chaîne illisible dans un fichier de configuration, décodée puis exécutée au moment de l'exécution.
• Des outils « obligatoires ». Une CLI maison, une extension de navigateur ou un client de réunion dont l'exercice aurait soi-disant besoin.

Vous pouvez relire chaque ligne de l'exercice lui-même et être tout de même infecté dès l'installation.

Signaux d'alerte

Aucun d'entre eux ne prouve à lui seul une arnaque, mais ensemble ils doivent vous faire nettement ralentir :

• Une urgence autour de l'étape technique — « merci de le terminer aujourd'hui », « le responsable du recrutement attend ».
• Exécuter du code est exigé avant toute vraie discussion sur le poste, l'équipe ou le contrat.
• Un logiciel inhabituel pour un appel — une application de réunion dont vous n'avez jamais entendu parler, ou un script de « correction » pour la caméra ou le micro.
• Des détails incohérents — un domaine d'entreprise qui ne correspond pas à l'e-mail du recruteur, un site enregistré récemment, ou une page « équipe » sans personnes vérifiables.
• Une pression pour utiliser votre machine principale, ou de l'agacement quand vous proposez un environnement isolé.
• Une rémunération nettement au-dessus du marché pour un poste à la description floue.

Comment vous protéger

• N'exécutez jamais le code d'un entretien sur une machine qui détient des cryptos. Utilisez un ordinateur distinct, une machine virtuelle ou un environnement cloud jetable ne contenant rien de précieux.
• N'installez rien de ce qu'un inconnu vous envoie pour un appel. Les plateformes de réunion courantes fonctionnent dans le navigateur ; vous n'avez pas besoin d'un client spécial.
• Vérifiez l'entreprise de manière indépendante. Trouvez vous-même son site officiel et sa page carrières, et confirmez que le poste et le recruteur existent.
• Tenez vos secrets à l'écart des machines polyvalentes. Les phrases de récupération n'ont rien à faire dans des fichiers, des notes, des captures d'écran ou des gestionnaires de mots de passe sur l'ordinateur que vous utilisez pour tout le reste.
• Considérez une machine compromise comme compromise. Si vous avez exécuté quelque chose de suspect, partez du principe que tout ce qui était accessible sur cet ordinateur est exposé.

Tout cela relève de la même discipline qu'une bonne checklist de sécurité opérationnelle : réduire ce qu'un seul appareil compromis peut atteindre.

Là où deux appareils font la différence

C'est exactement le scénario pour lequel la conception 2-sur-2 de SSP a été pensée. Un logiciel malveillant sur votre ordinateur peut atteindre la clé de SSP Wallet sur cet ordinateur — mais il ne peut pas dépenser seul, car chaque transaction nécessite aussi une approbation dans SSP Key, sur votre téléphone. Une clé de navigateur volée ne déplace rien à elle seule.

Cette protection n'est pas inconditionnelle. Si le même logiciel malveillant trouve aussi votre phrase de récupération SSP Key — enregistrée dans une note, une capture d'écran ou un fichier sur cet ordinateur —, l'attaquant possède les deux clés. Garder les deux phrases de récupération hors de l'ordinateur, et séparées l'une de l'autre, est ce qui donne tout son sens à la seconde clé.

Et si votre ordinateur a été compromis, n'attendez pas de savoir si quelque chose a été dérobé. Que faire lorsqu'une clé est compromise explique comment transférer vos fonds vers de nouvelles clés pendant que le second appareil les protège encore.

Si vous pensez avoir exécuté quelque chose de malveillant

1. Déconnectez la machine et cessez de l'utiliser pour quoi que ce soit de sensible.
2. Depuis un appareil sain, transférez les fonds de tout portefeuille dont les clés ou la phrase de récupération se trouvaient sur cet ordinateur.
3. Changez vos mots de passe et révoquez les sessions de votre messagerie, de vos plateformes d'échange et de vos comptes professionnels, en commençant par la messagerie.
4. Signalez le profil et les messages à la plateforme où le contact a commencé — et, s'ils ont usurpé l'identité d'une vraie entreprise, à cette entreprise.
5. Réinstallez entièrement la machine avant de lui refaire confiance.

Le bilan honnête

Les fausses offres d'emploi fonctionnent parce qu'elles transforment une étape professionnelle normale — exécuter le code de quelqu'un d'autre — en attaque. Le code qu'on vous demande de relire peut être sain ; la dépendance, le script ou l'application de réunion qui l'entourent ne le sont peut-être pas.

Faites les exercices d'entretien sur une machine où vous n'avez rien à perdre, n'installez rien de ce qu'un inconnu vous envoie, et gardez vos phrases de récupération entièrement hors de l'ordinateur. Avec un second appareil qui approuve chaque transaction, un ordinateur compromis devient un problème à nettoyer plutôt qu'une perte.