Vaga falsa no LinkedIn: como recrutadores fakes invadem PMEs
O "teste técnico" que compromete o notebook do desenvolvedor e abre porta para a empresa inteira.
Segmento: Empresas e Operações · Nível de risco: ATENÇÃO
Núcleo de Inteligência Blindfy · Revisão técnica Blindfy
Cenário
Um desenvolvedor recebe abordagem por LinkedIn para vaga sênior em empresa internacional. Após boa conversa com "recrutador", recebe um repositório no GitHub para desafio técnico. Ao executar o projeto localmente, scripts ocultos no package.json (postinstall) instalam infostealer no notebook — que também tem acesso ao ambiente da empresa.
Como o golpe acontece
Operadores criam perfis falsos com fotos sintéticas, histórico inventado e empresa de fachada. Direcionam vítimas técnicas (devs, DevOps, infra) para repositórios com payload no postinstall, ou desafios "para rodar localmente". O alvo final raramente é o profissional — é a empresa onde ele trabalha.
Erro comum
Tratar "teste técnico" como item de processo seletivo neutro. Para criminosos, é o vetor de entrada mais eficiente em PMEs sem segregação de ambiente.
Impacto
Comprometimento de credenciais corporativas, acesso a repositórios privados, vazamento de propriedade intelectual e instalação de backdoor persistente em ambiente de desenvolvimento.
O que funciona
A Blindfy monitora exposição de colaboradores técnicos, oferece treinamento específico contra recrutamento malicioso e estrutura política de "ambiente isolado" obrigatório para qualquer execução de código de origem externa.
Checklist de proteção
- Proibir execução de código externo em máquina corporativa
- Disponibilizar VM isolada para testes técnicos pessoais
- Validar identidade de recrutadores via empresa real
- Treinar time técnico sobre vetores de social engineering por LinkedIn
- Monitorar perfis falsos que abordam colaboradores
- Auditar postinstall e scripts de package.json em onboarding
- Configurar EDR em todos os notebooks de desenvolvimento
Fontes editoriais
- CERT.br / NIC.br — Cartilha de Segurança para Internet
- ENCCLA / Ministério da Justiça — Enfrentamento a golpes digitais
A entrevista é o novo phishing. O teste técnico é o novo anexo malicioso. Trate o LinkedIn com a mesma desconfiança do e-mail desconhecido.
