Pare o ofertă de muncă obișnuită. Ce se întâmplă după ce descarci fișierul primit de la recrutor

O ofertă de muncă ce pare autentică poate ascunde un atac informatic prin care hackerii obțin acces la datele stocate pe calculator. Cel puțin 30.000 de dispozitive din mai mult de 100 de țări au fost compromise prin campanii care au folosit recrutarea și interviurile de angajare drept metodă de atac.

Testul de angajare care nu este ceea ce pare. Ce se poate întâmpla în câteva secunde

Pentru o persoană aflată în căutarea unui loc de muncă, o ofertă atractivă, un recrutor aparent legitim și un test tehnic sunt elemente obișnuite ale procesului de recrutare. Tocmai această aparență de normalitate este exploatată de atacatori.

Hackerii se prezintă drept angajatori sau recrutori și încearcă să îi convingă pe candidați să descarce și să ruleze programe infectate. Acestea sunt prezentate drept teste tehnice sau instrumente necesare pentru rezolvarea unei probleme apărute în timpul interviului.

Campania poartă numele „Contagious Interview” și a fost atribuită grupării nord-coreene WaterPlum. Potrivit unui avertisment comun publicat de autorități din Japonia, Statele Unite, Australia și Germania, cel puțin 30.000 de dispozitive din peste 100 de țări au fost compromise. Noile date analizate de autorități vizează atacuri desfășurate aproximativ din decembrie 2025 până în iulie 2026.

Recrutarea, transformată într-o metodă de atac

Printre principalele categorii vizate se numără dezvoltatorii software, designerii web și inginerii, dar și specialiștii care lucrează în domeniul criptomonedelor, blockchain și Web3.

Atacatorii pot pretinde că reprezintă companii din domenii precum inteligența artificială, criptomonedele sau NFT-urile. Pentru a ajunge la potențialele victime, aceștia pot folosi inclusiv servicii de recrutare.

Capcana este introdusă în procesul obișnuit de angajare, fără ca victima să observe imediat că interacționează cu un atacator. Candidatul poate primi, de exemplu, un proiect pe care trebuie să îl descarce și să îl execute pentru a demonstra că deține competențele necesare postului.

În alte situații, atacatorii susțin că există o problemă cu aplicația utilizată pentru interviul video și îi solicită candidatului să execute anumite comenzi pentru a o „repara”. Astfel, acțiunea prezentată drept o etapă tehnică a interviului poate deveni modalitatea prin care este instalat malware pe dispozitiv.

Oferta de muncă pe care nu ar trebui să o accepți înainte să verifici un singur lucru

Fișierele transmise victimelor nu sunt neapărat ușor de identificat drept periculoase. Cercetătorii Atlassian au identificat inclusiv proiecte găzduite pe platforme cunoscute, precum GitHub, GitLab și Bitbucket.

Aceste proiecte pot conține mii de linii de cod care par obișnuite, în timp ce doar câteva dintre ele ascund componenta malițioasă. Pentru candidat, proiectul poate arăta astfel ca un test tehnic obișnuit, ceea ce crește riscul ca fișierul să fie executat fără o verificare suplimentară.

În momentul în care codul este rulat, atacatorii pot instala programe malware pe dispozitiv. De aici, accesul obținut poate fi folosit pentru colectarea unor informații sensibile și pentru alte acțiuni asupra sistemului compromis.

Ce informații pot ajunge la atacatorii cibernetici

Instrumentele utilizate în această campanie pot permite furtul unor date importante, printre care se află credențiale și informații asociate portofelelor de criptomonede. Compromiterea unui dispozitiv poate oferi, de asemenea, o cale de acces către sistemele companiei la care lucrează victima.

Datele prezentate de autorități indică o amploare semnificativă a campaniei. Potrivit avertismentului comun, au fost sustrase fonduri sau date de acces asociate cu mai mult de 7.000 de portofele de criptomonede.

Atacatorii au transferat către Coreea de Nord criptomonede în valoare de cel puțin 1,7 miliarde de yeni, sumă echivalentă cu aproximativ 10,71 milioane de dolari, potrivit avertismentului citat de Computer Hoy.

Cum poate fi verificată o ofertă suspectă

Un semnal de alarmă apare atunci când presupusul angajator îi solicită candidatului să descarce și să ruleze pe propriul calculator un proiect sau un program a cărui proveniență nu poate fi verificată.

Pentru persoanele care lucrează în domeniul IT, cercetătorii recomandă evitarea executării codului primit în timpul recrutării direct pe dispozitivul principal. Verificarea identității recrutorului și a companiei reprezintă, de asemenea, un pas important înainte ca fișierele sau comenzile primite să fie executate.

Atunci când o ofertă utilizează numele unei companii cunoscute, informațiile despre angajator pot fi verificate separat, prin intermediul site-ului oficial al companiei. Verificarea este recomandată înainte de instalarea unor programe sau de executarea unor fișiere și comenzi transmise de presupusul recrutor.