Offerte di lavoro false: quando il colloquio è l'attacco

Un recruiter ti scrive per un ruolo ben pagato in un'azienda crypto. La conversazione è professionale, l'azienda sembra reale e il passo successivo è un breve compito tecnico: clonare un repository, installare le dipendenze, avviarlo e correggere un bug. Oppure una videochiamata, in cui l'intervistatore ti chiede di installare prima un'app per le riunioni o una «correzione per la fotocamera».

Per un numero crescente di persone, quello è stato il momento in cui il loro computer — e le loro criptovalute — sono stati compromessi. Le false assunzioni sono oggi uno dei modi più efficaci per installare malware proprio sui computer che gli attaccanti cercano: quelli di sviluppatori, trader e persone che lavorano nel settore crypto.

Come funziona la truffa

Lo schema varia, ma il nucleo è sempre lo stesso:

1. Un approccio credibile. Un messaggio su un social network professionale, un sito di annunci di lavoro o un'app di chat, da parte di un recruiter o di un fondatore con un profilo curato — a volte fingendosi un'azienda reale, a volte inventandone una plausibile.
2. Un processo dall'aspetto normale. Un colloquio conoscitivo, una descrizione del ruolo, una discussione sullo stipendio. Niente di allarmante, e spesso per giorni, per costruire fiducia.
3. Il passaggio con il payload. Ti viene chiesto di eseguire qualcosa: un test di programmazione da un repository, un progetto da revisionare, un'app per le riunioni da un link che ti inviano o uno script per «sistemare» un problema di webcam o audio durante una chiamata.
4. Un furto silenzioso. Il codice installa un malware che cerca estensioni di wallet, password salvate nel browser, frasi di recupero in file e note e cookie di sessione — e poi le invia all'esterno. I fondi possono sparire il giorno stesso o settimane dopo.

Ciò che la rende efficace è che eseguire codice sconosciuto è una parte del tutto normale di un colloquio tecnico. La richiesta non sembra strana, perché di solito non lo è.

Dove si nasconde la parte malevola

Nella variante del compito da svolgere a casa, il codice in vista è spesso pulito. Il payload si trova in un punto che difficilmente leggerai:

• Dipendenze. Un pacchetto nell'elenco delle dipendenze del progetto che esegue codice quando viene installato.
• Script di installazione e di build. Hook che si eseguono automaticamente quando installi o avvii il progetto.
• Configurazione offuscata. Una stringa lunga e illeggibile in un file di configurazione che viene decodificata ed eseguita a runtime.
• Strumenti «obbligatori». Una CLI personalizzata, un'estensione del browser o un client per riunioni di cui, ti dicono, il compito ha bisogno.

Puoi revisionare ogni riga del compito stesso ed essere comunque infettato nel momento in cui installi.

Campanelli d'allarme

Nessuno di questi prova da solo una truffa, ma insieme dovrebbero farti rallentare decisamente:

• Fretta intorno al passaggio tecnico — «per favore completalo oggi», «il responsabile delle assunzioni sta aspettando».
• È richiesto eseguire codice prima di qualsiasi conversazione significativa sul ruolo, sul team o sul contratto.
• Software insolito per una chiamata — un'app per riunioni mai sentita, o uno script di «correzione» per fotocamera o microfono.
• Dettagli che non tornano — un dominio aziendale che non corrisponde all'email del recruiter, un sito registrato di recente o una pagina del team senza persone verificabili.
• Pressioni per usare il tuo computer principale, o fastidio quando proponi una sandbox.
• Una retribuzione nettamente sopra il mercato per un ruolo con una descrizione vaga.

Come proteggerti

• Non eseguire mai il codice di un colloquio su un computer che contiene criptovalute. Usa un computer separato, una macchina virtuale o un ambiente cloud usa e getta senza nulla di valore.
• Non installare nulla che uno sconosciuto ti linka per una chiamata. Le piattaforme di riunione più diffuse funzionano nel browser; non ti serve un client speciale.
• Verifica l'azienda in modo indipendente. Trova da solo il sito ufficiale e la pagina delle carriere e conferma che il ruolo e il recruiter esistano.
• Tieni i segreti lontani dai computer di uso generale. Le frasi di recupero non devono stare in file, note, screenshot o password manager sul computer che usi per tutto il resto.
• Tratta un computer compromesso come compromesso. Se hai eseguito qualcosa di sospetto, considera esposto tutto ciò che era accessibile su quel computer.

Tutto questo fa parte della stessa disciplina di una buona checklist di sicurezza operativa: ridurre ciò che un singolo dispositivo compromesso può raggiungere.

Dove aiutano due dispositivi

È esattamente lo scenario per cui è pensato il design 2-di-2 di SSP. Un malware sul tuo computer può raggiungere la chiave di SSP Wallet su quel computer — ma non può spendere da solo, perché ogni transazione richiede anche l'approvazione su SSP Key, sul tuo telefono. Una chiave del browser rubata, da sola, non sposta nulla.

La protezione non è incondizionata. Se lo stesso malware trova anche la tua frase di recupero di SSP Key — salvata in una nota, in uno screenshot o in un file su quel computer — l'attaccante ha entrambe le chiavi. Tenere le due frasi di recupero lontane dal computer, e separate tra loro, è ciò che mantiene significativa la seconda chiave.

E se il tuo computer è stato compromesso, non aspettare di scoprire se è stato sottratto qualcosa. Cosa fare quando una chiave è compromessa spiega come spostare i fondi su chiavi nuove mentre il secondo dispositivo li protegge ancora.

Se pensi di aver eseguito qualcosa di malevolo

1. Scollega il computer e smetti di usarlo per qualsiasi cosa sensibile.
2. Da un dispositivo pulito, sposta i fondi da ogni wallet le cui chiavi o frase di recupero si trovavano su quel computer.
3. Cambia le password e revoca le sessioni di email, exchange e account di lavoro, a partire dall'email.
4. Segnala il profilo e i messaggi alla piattaforma su cui è iniziato il contatto — e, se hanno impersonato un'azienda reale, a quell'azienda.
5. Reinstalla da zero il computer prima di fidarti di nuovo.

Il riepilogo onesto

Le offerte di lavoro false funzionano perché trasformano un normale passaggio professionale — eseguire il codice di qualcun altro — nell'attacco. Il codice che ti chiedono di revisionare può essere pulito; la dipendenza, lo script o l'app per riunioni che lo circondano potrebbero non esserlo.

Svolgi i compiti dei colloqui su un computer senza nulla da perdere, non installare nulla che ti linka uno sconosciuto e tieni le tue frasi di recupero del tutto lontane dal computer. Con un secondo dispositivo che approva ogni transazione, un computer compromesso diventa un problema da ripulire anziché una perdita.