El falso proceso de selección que acaba ejecutando malware en tu portátil
Microsoft documenta la campaña Contagious Interview, que usa entrevistas técnicas falsas para que el candidato clone y ejecute un paquete npm. En un caso recogido por la BBC, la víctima perdió 18.000 libras.
Un proceso de selección puede terminar con el portátil del candidato infectado y sus credenciales en manos de un tercero. Es lo que hace la campaña que Microsoft bautiza como Contagious Interview: falsos reclutadores acompañan a la víctima por entrevistas y pruebas técnicas hasta el momento en que le piden clonar y ejecutar un paquete npm alojado en GitHub, GitLab o Bitbucket. La BBC World Service contó el 4 de septiembre el caso de un aspirante británico que, horas después de entregar la prueba, se encontró sus monederos de criptomonedas vacíos: 18.000 libras menos.
El único punto del proceso donde ejecutar código ajeno es la tarea
El equipo Defender Experts de Microsoft sitúa la operación activa al menos desde diciembre de 2022 y describe su patrón en un análisis del 11 de marzo: los atacantes se presentan como reclutadores de firmas de trading de criptomonedas o de proveedores de soluciones basadas en IA. Las etapas que montan son las de siempre: primer contacto, conversaciones técnicas, tarea, seguimiento. El paquete malicioso llega con la tarea.
Hay dos variantes que buscan lo mismo por otra puerta. En una web de entrevista fraudulenta aparece un error técnico inventado y la instrucción de pegar un comando para arreglarlo. La otra vive dentro de Visual Studio Code: al abrir el paquete descargado, el editor pide confiar en el autor del repositorio, y al aceptar ejecuta el archivo de configuración de tareas que trae el propio repositorio.
La fase de evaluación funciona porque es la única de una contratación en la que correr código de otro es el encargo y no una bandera roja. Todo lo demás se resuelve con un navegador y una cámara.
Qué se llevan y cómo detectarlo
Credenciales, no documentos. Microsoft enumera tokens de API, credenciales de nube, claves de firma, monederos de criptomonedas y artefactos del gestor de contraseñas. El portátil importa por lo que alcanza: control de versiones, pipelines de compilación y consolas de nube, además del gestor de contraseñas que casi siempre vive ahí. Por eso el daño es inmediato y no hay fase de reconocimiento que dé tiempo a notarlo.
La señal más clara es un instalador. Malwarebytes, citado en el reportaje, vio cebos tan simples como pedir instalar la aplicación de Indeed para hacer la entrevista. Indeed sostiene que sus entrevistas ocurren enteras en el navegador y que nunca hace falta descargar nada adicional; cualquier mensaje que pida una aplicación para participar no es legítimo. Hay empleadores que usan plataformas de evaluación con software propio, así que conviene tomarlo como motivo para frenar y no como regla absoluta. Lo que hay que rechazar es el instalador que empuja un reclutador en un chat cuando la propia web de empleo de la empresa habría bastado.
A eso se suma la fricción sin sentido: enlaces acortados que redirigen a servicios de alojamiento de archivos. LinkedIn, en sus datos sobre la brecha de estafas entre los más jóvenes, señala que el 32% admite haber ignorado señales de alarma por la competitividad del mercado laboral. Es una encuesta sobre cómo se comporta la gente cuando escasea el trabajo, no una medida de frecuencia.
Microsoft recomienda a las empresas dar a sus propios desarrolladores una máquina virtual no persistente para las pruebas de código. Un candidato merece el mismo límite, y negarse a ejecutar código desconocido en su equipo personal no cuesta nada en una empresa real. Ni Microsoft ni la BBC ponen cifra a cuántos casos hay: el británico es una ilustración, no una tasa.
