LinkedIni tööproov varastas 10 000 dollarit — RIA näeb Eestis sama skeemi

Riigi Infosüsteemi Amet (RIA) kirjeldas 20. oktoobri 2026 hoiatuses mitut Eestis tuvastatud juhtumit, kus võltsitud LinkedIni tööpakkumise kaudu meelitati arendaja pahavara käivitama; ühes juhtumis kaotas inimene kontrolli krüptorahakoti üle, milles oli ligi 10 000 dollari väärtuses krüptovara. Avaldatud andmed ei täpsusta, kas kogu rahakotis olnud vara kanti välja.

Ühe Eesti juhtumi tehnilised tunnused kattusid Põhja-Koreaga seostatud kampaaniaga „Contagious Interview“, sealhulgas pahavara käivitamise viisid, failid ning käsu- ja juhtimistaristu. Rünne algab töövestlusena, kuid ohtlik hetk saabub siis, kui kandidaadil palutakse näiline koodiproov oma arvutis avada või selle sõltuvused paigaldada. Arendaja jaoks on määrav, kas projekt saab enne kontrollimist õiguse käske käivitada.

Mida Eesti juhtumid näitavad

Ühele sihtmärgile pakuti väidetava tehisaru ja plokiahela projekti tehnilise nõustaja rolli koos paindliku osalise koormusega. Pakkumine sobitati inimese oskustega, seejärel liikus suhtlus videokõneni ja praktilise ülesandeni. Selline järjestus muudab koodi allalaadimise tavapäraseks töövestluse osaks just siis, kui kandidaat püüab oma oskusi näidata.

Teises Eestis kirjeldatud juhtumis võttis pettur LinkedInis ühendust krüptovaldkonna ettevõtte tegevjuhiga. Google Meeti vestluses tutvustas ta Figma keskkonnas näilist projekti ja palus avada GitHubist ning Codebergist saadud koodi Cursori arenduskeskkonnas. Mõlemast projektist leiti hiljem pahatahtlikku koodi; esimene sellega seotud protsess käivitus juhi macOS-arvutis juba vestluse ajal, laadis lisakomponente ja lõi ühenduse ründaja serveritega.

Juht kahtlustas pettust ning otsustas vestlust teadlikult jätkata, ent kahtlus ei peatanud projekti käivitumist. Pahatahtlikud komponendid võimaldasid edastada süsteemiandmeid ja keskkonnamuutujaid ning käivitada serverist saadetud JavaScripti. Keskkonnamuutujates võivad asuda API-võtmed ja muud pääsuload, mistõttu võib ühe seadme nakatumine puudutada ka seal kasutatud tööalaseid teenuseid.

Kaks käivitusteed peitusid projekti failides

Kudelski Security tehniline analüüs kirjeldab kampaaniaga seotud troojastatud GitHubi projekti, milles tagauksel oli kaks käivitusteed: package.json-faili prepare-skript ja .vscode/tasks.json-faili ülesanne. Esimene sai tööle hakata käsu npm install järel; teine oli seotud arenduskeskkonnas projekti avamisega. Tegemist on analüüsitud kampaania näitega, mitte kõigi Eestis leitud projektide kinnitatud faililoendiga.

Samas projektis paiknes tagaukse kood ka failis routes/api/auth.js, peidetuna pika tühikute rea taha. See paigutus teeb kiire pilgu faili algusesse ebapiisavaks: pealtnäha tavalise rakenduskoodi järel võis asuda hägustatud käivitatav osa. Analüüsitud tagauks kogus seadme andmeid ja programmi keskkonnamuutujaid ning võis saata neis olnud võtmed ja pääsuload ründaja taristusse.

Microsofti kampaaniaanalüüs kirjeldab sama värbamisvõtet: kandidaadil palutakse kloonida projekt või käivitada pakett ning pahavara laaditakse alla tööülesande varjus. Mõnes vaadeldud ründes kasutati Visual Studio Code’i projekti ülesandeid. Kui tundmatu kaust märgitakse usaldusväärseks ja automaatne ülesanne lubatakse, võib käsk käivituda ilma eraldi nähtava programmikäivituseta.

Otsus enne tundmatu projekti avamist

Kõigepealt tuleb kontrollida värbajat väljaspool tema saadetud vestlust. Kas töökoht on ettevõtte ametlikul veebilehel ning kas ettevõte kinnitab pakkumise oma avaliku kontaktkanali kaudu? Videokõne, põhjalik jutt sihtmärgi tööst ja tuttava koodimajutusplatvormi aadress ei tõenda, et vestluspartner esindab väidetud tööandjat. Kui päritolu jääb ebaselgeks, pole põhjust projektile oma seadmes täitmisõigust anda.

Järgmine kontroll käib failide, mitte rakenduse välimuse kohta. Ava package.json tekstina ja vaata scripts-osa: kas preinstall, postinstall või prepare käivitab serveri, kutsub välja käsukesta või suunab täitmise faili, mille roll pole tööülesandes selge? Vaata ka .vscode/tasks.json-i: kas ülesanne on seotud kausta avamisega, kasutab PowerShelli või mõnd muud käsukesta või peidab käsu pika tühikute rea taha? Ükski failinimi üksi ei tõenda rünnet, kuid seletamatu automaatkäivitus on põhjus töö katkestada ja käsu otstarve enne jätkamist selgeks teha.

Kui projekti on vaja käivitada, sobib selleks eraldatud testkeskkond, näiteks virtuaalmasin, kus pole isiklikke ega tööalaseid paroole, krüptorahakotte, API-võtmeid ega ligipääsu tööandja süsteemidele. Visual Studio Code’is saab tundmatut kausta esialgu vaadata Restricted Mode’is ning automaatsed ülesanded välja lülitada seadistusega task.allowAutomaticTasks: off. Kausta usaldusväärseks märkimine või sõltuvuste paigaldamine peaks järgnema konfiguratsiooni ülevaatusele, sest mõlemad sammud võivad anda võõrale koodile käivitumisvõimaluse. Eraldatud keskkond vähendab kahju ainult siis, kui sinna ei viida kaasa päris kontode pääse ega saladusi.

Kui tööproovi kood on juba käivitunud

Ootamatu protsessi, tundmatu võrguühenduse või peidetud käsu avastamisel tuleb projekti kasutamine lõpetada ja seade võrgust eraldada. Tööarvuti või tööalaste pääsude korral tuleb kohe teavitada organisatsiooni turvatiimi. Võimalikult lekkinud paroolid ja võtmed tuleb vahetada teisest, usaldusväärsest seadmest ning kontrollida, kas kontodel või teenustes on tehtud võõraid toiminguid.

Eestis saab võimalikust küberintsidendist teatada CERT-EE-le aadressil [email protected] või veebilehel raport.cert.ee. Teatele tasub lisada värbaja profiil, vestluse ajad, projekti aadress ning teadaolevad failid ja protsessid. Kahtlast koodi ei ole nende andmete kogumiseks vaja uuesti käivitada; varajane teade aitab hinnata, millised seadmes olnud pääsud võivad vajada sulgemist.

Loe ka:

• Coursera või LinkedIn Learning: sertifikaat ja lühikursus pole sama valik
• AI-koosolekumärkmed Eestis: ekraanihoiatusest üksi ei piisa
• Accenture piiras Claude’i keskse kulu 29 dollarile — ülejääk läheb projektile