偽の求人：面接そのものが攻撃であるとき
採用担当者から、暗号資産企業の高収入ポジションについて連絡が届きます。やり取りはプロフェッショナルで、会社も本物に見えます。次のステップは短い技術課題です。リポジトリをクローンし、依存関係をインストールし、実行してバグを修正する。あるいはビデオ通話で、面接官から先に会議アプリや「カメラ修正ツール」をインストールするよう求められるかもしれません。
ますます多くの人にとって、それこそがパソコン、そして暗号資産が侵害された瞬間でした。偽の採用は今や、攻撃者がまさに狙っているコンピューター、つまり開発者やトレーダー、暗号資産業界で働く人々のコンピューターにマルウェアを送り込む、最も効果的な手口のひとつになっています。
手口の仕組み
細部はさまざまですが、核となる流れは一貫しています。
- 信頼できそうな接触。ビジネス向けSNS、求人サイト、チャットアプリなどで、洗練されたプロフィールを持つ採用担当者や創業者からメッセージが届きます。実在の企業になりすますこともあれば、もっともらしい企業をでっち上げることもあります。
- ごく普通に見える選考プロセス。カジュアル面談、職務内容の説明、給与の話し合い。警戒すべき点は何もなく、信頼を築くために何日もかけることも珍しくありません。
- 悪意あるペイロードを仕込む段階。何かを実行するよう求められます。リポジトリからのコーディングテスト、レビュー用のプロジェクト、相手が送ってきたリンクからの会議アプリ、あるいは通話中にウェブカメラや音声の不具合を「直す」ためのスクリプトなどです。
- 静かな窃取。そのコードはマルウェアをインストールし、ウォレット拡張機能、ブラウザに保存されたパスワード、ファイルやメモに残されたリカバリーフレーズ、セッションCookieを探し出して外部に送信します。資金はその日のうちに消えることもあれば、数週間後に消えることもあります。
この手口が効果的なのは、見知らぬコードを実行することが技術面接ではまったく普通のことだからです。依頼が不自然に感じられないのは、たいていの場合、実際に不自然ではないからです。
悪意ある部分はどこに隠れているか
持ち帰り課題型では、目に見えるコードはきれいなことがよくあります。ペイロードは、あなたがまず読まない場所に潜んでいます。
- 依存関係。プロジェクトの依存関係リストにあるパッケージが、インストール時にコードを実行します。
- インストールスクリプトとビルドスクリプト。プロジェクトをインストールまたは起動したときに自動で実行されるフックです。
- 難読化された設定。設定ファイル内の長く読めない文字列が、実行時にデコードされて実行されます。
- 「必須」のツール。課題に必要だと言われる独自のコマンドラインツール、ブラウザ拡張機能、会議クライアントです。
課題そのもののコードを一行残らず確認しても、インストールした瞬間に感染する可能性があります。
危険信号
どれかひとつだけで詐欺と断定できるわけではありませんが、重なったときは大きくペースを落とすべきです。
- 技術課題をめぐって急かされる――「今日中に終わらせてください」「採用責任者が待っています」。
- 職務内容やチーム、契約について意味のある会話をする前に、コードの実行を求められる。
- 通話に普段見かけないソフトウェアを使う――聞いたこともない会議アプリや、カメラやマイク用の「修正」スクリプト。
- 細部が食い違う――会社のドメインが採用担当者のメールアドレスと一致しない、ウェブサイトが最近登録されたばかり、チーム紹介ページに実在を確認できる人物がいない。
- メインのパソコンを使うよう圧力をかけられる、あるいは隔離環境を提案すると不機嫌になる。
- 相場を明らかに上回る報酬なのに、職務内容があいまい。
身を守る方法
- 暗号資産を保管しているパソコンで面接用のコードを決して実行しない。別のコンピューター、仮想マシン、または価値あるものが何も入っていない使い捨てのクラウド環境を使いましょう。
- 見知らぬ人が通話用に送ってきたリンクからは何もインストールしない。主要な会議プラットフォームはブラウザで動作するので、特別なクライアントは必要ありません。
- 企業を自分で確認する。公式サイトと採用ページを自分で探し、そのポジションと採用担当者が実在することを確かめましょう。
- 秘密情報を汎用のパソコンに置かない。リカバリーフレーズは、ほかのあらゆる用途に使うパソコン上のファイル、メモ、スクリーンショット、パスワードマネージャーに保存すべきではありません。
- 侵害されたパソコンは侵害されたものとして扱う。怪しいものを実行してしまったなら、そのパソコンからアクセスできたものはすべて漏えいしたと考えてください。
これらは、しっかりした運用セキュリティのチェックリストと同じ考え方の一部です。つまり、侵害された一台のデバイスが届く範囲を小さくすることです。
2台のデバイスが役立つところ
これはまさに、SSP の 2-of-2 設計が想定しているシナリオです。パソコン上のマルウェアは、そのパソコンにある SSP Wallet の鍵には到達できます。しかし単独で送金することはできません。すべての取引には、スマートフォン上の SSP Key での承認も必要だからです。盗まれたブラウザの鍵だけでは、何ひとつ動かせません。
ただし、この保護は無条件ではありません。同じマルウェアが SSP Key のリカバリーフレーズまで見つけてしまえば――そのパソコン上のメモ、スクリーンショット、ファイルに保存されていた場合――攻撃者は両方の鍵を手にします。2つのリカバリーフレーズをパソコンの外に置き、さらに互いに離して保管することこそが、2つ目の鍵に意味を持たせ続けるのです。
そして、パソコンが侵害された場合は、何か盗まれたかどうかを確かめるまで待たないでください。鍵のひとつが侵害されたときにすべきことでは、2台目のデバイスがまだ資金を守っているうちに、新しい鍵へ資金を移す手順を解説しています。
悪意あるものを実行してしまったと思ったら
- そのパソコンをネットワークから切断し、機密性の高い用途には一切使わないようにします。
- クリーンなデバイスから資金を移します。鍵やリカバリーフレーズがそのパソコン上にあったウォレットはすべて対象です。
- パスワードを変更し、セッションを無効化します。メール、取引所、仕事用アカウントが対象で、まずメールから始めます。
- プロフィールとメッセージを通報します。最初に接触があったプラットフォームに通報し、実在の企業になりすましていた場合はその企業にも知らせます。
- パソコンをクリーンな状態から再構築し、それから改めて信頼するようにします。
率直なまとめ
偽の求人が成功するのは、ごく普通の業務上のステップ、つまり他人のコードを実行することを、攻撃そのものに変えてしまうからです。レビューを頼まれたコードはきれいかもしれません。しかし、その周囲にある依存関係やスクリプト、会議アプリはそうとは限りません。
面接の課題は失って困るものが何もないパソコンで行い、見知らぬ人がリンクを送ってきたものは何もインストールせず、リカバリーフレーズはパソコンから完全に遠ざけておきましょう。2台目のデバイスがすべての取引を承認する仕組みがあれば、一台のパソコンが侵害されても、それは損失ではなく、片付ければ済む問題になります。
