Blindfy — Proteção Digital

Vaga falsa no LinkedIn: como recrutadores fakes invadem PMEs

O "teste técnico" que compromete o notebook do desenvolvedor e abre porta para a empresa inteira.

Segmento: Empresas e Operações · Nível de risco: ATENÇÃO

Cenário

Um desenvolvedor recebe abordagem por LinkedIn para vaga sênior em empresa internacional. Após boa conversa com "recrutador", recebe um repositório no GitHub para desafio técnico. Ao executar o projeto localmente, scripts ocultos no package.json (postinstall) instalam infostealer no notebook — que também tem acesso ao ambiente da empresa.

Como o golpe acontece

Operadores criam perfis falsos com fotos sintéticas, histórico inventado e empresa de fachada. Direcionam vítimas técnicas (devs, DevOps, infra) para repositórios com payload no postinstall, ou desafios "para rodar localmente". O alvo final raramente é o profissional — é a empresa onde ele trabalha.

Erro comum

Tratar "teste técnico" como item de processo seletivo neutro. Para criminosos, é o vetor de entrada mais eficiente em PMEs sem segregação de ambiente.

Impacto

Comprometimento de credenciais corporativas, acesso a repositórios privados, vazamento de propriedade intelectual e instalação de backdoor persistente em ambiente de desenvolvimento.

O que funciona

A Blindfy monitora exposição de colaboradores técnicos, oferece treinamento específico contra recrutamento malicioso e estrutura política de "ambiente isolado" obrigatório para qualquer execução de código de origem externa.

Checklist de proteção

  • Proibir execução de código externo em máquina corporativa
  • Disponibilizar VM isolada para testes técnicos pessoais
  • Validar identidade de recrutadores via empresa real
  • Treinar time técnico sobre vetores de social engineering por LinkedIn
  • Monitorar perfis falsos que abordam colaboradores
  • Auditar postinstall e scripts de package.json em onboarding
  • Configurar EDR em todos os notebooks de desenvolvimento

A entrevista é o novo phishing. O teste técnico é o novo anexo malicioso. Trate o LinkedIn com a mesma desconfiança do e-mail desconhecido.

← Todas as análises de risco · Diagnóstico inicial Blindfy