Full Stack розробник Валентин Герасименко поділився у своєму LinkedIn історією про підозрілу співбесіду, яка виявилася спробою запустити шкідливе ПЗ на його комп’ютері під виглядом перевірки технічних навичок.
Full Stack розробник Валентин Герасименко поділився у своєму LinkedIn історією про підозрілу співбесіду, яка виявилася спробою запустити шкідливе ПЗ на його комп’ютері під виглядом перевірки технічних навичок.
За словами розробника, йому запропонували пройти інтерв’ю та дали доступ до приватного репозиторію на GitHub (акаунт MMChainvex), який нібито стосувався криптоігор та напряму GameFi. Однак перебіг розмови одразу викликав застереження.
«Інтерв’юер наполегливо просив терміново підняти проєкт локально просто під час дзвінка. Камеру вимкнув, свої контакти дати відмовився», — розповів Валентин Герасименко.
ІТ-спеціаліст відмовився запускати чужий код на власному пристрої, після чого репозиторій негайно видалили, а з акаунта зникли всі публічні проєкти.
Валентин пояснює, що мета таких «технічних завдань» — отримання доступу до конфіденційних даних розробника, зокрема криптогаманців, паролів із браузера, SSH-ключів та токенів аутентифікації.
«У таких "тестових" проєктах шкідливий код часто ховають у скрипти npm install, у конфіги (tailwind, vite, next) або в задачі VS Code, які запускаються при відкритті папки», — застерігає айтівець.
Щоб не потрапити у пастку зловмисників, Валентин Герасименко дає кілька практичних порад колегам:
Подібними історіями протистояння хакерам українські айтівці діляться регулярно. Так, наприклад, Senior Frontend Engineer розповідав, як під виглядом пропозиції роботи йому намагалися підсунути шкідливий код. За його словами, у таких схемах (відомих у кібербезпеці як Contagious Interview) від виконання команди git clone до повного зламу робочої машини минає менше ніж 5 хвилин.
Зі схожим досвідом зіткнувся й Senior Software Developer. Під час співбесіди на позицію в компанії Cryptan Labs він ледь не став жертвою шахрайства, причому з боку інтерв’юера виступав ШІ-аватар.
