«Prima della call, un piccolo esercizio: clona il progetto e avvialo.»

Il bersaglio non sei tu

Le truffe raccontate in queste pagine finiscono quasi sempre con un pagamento. Questa no, o almeno non subito. Chi la mette in scena non vuole i tuoi soldi: vuole i tuoi accessi. Chi scrive codice per mestiere tiene sul proprio computer le chiavi dei server, i gettoni di accesso ai repository, le sessioni aperte sulla posta aziendale, spesso un portafoglio di criptovalute. Un programma avviato su quella macchina prende tutto in una volta. Per il truffatore un solo sviluppatore vale più di cento pensionati: dietro di lui c’è l’azienda.

È anche il motivo per cui il copione è così curato. Non c’è nessun errore di ortografia, nessuna urgenza forzata: c’è un’offerta credibile fatta da persone che sanno come si assume uno sviluppatore, e che sono disposte a fare due o tre passaggi di conversazione normale prima di arrivare alla prova.

Il copione, mossa per mossa

1. Il contatto

   Un messaggio su LinkedIn, più raramente una email o un messaggio su Telegram o Discord. Il profilo del recruiter esiste, ha collegamenti veri, a volte è rubato a una persona che fa davvero quel lavoro. L’azienda citata è reale o è una startup inventata con un sito curato. A volte non parte da loro: sei tu che rispondi a un annuncio pubblicato su una bacheca vera.

2. Il pretesto

   Una selezione in corso, con una prova tecnica prima o dopo un primo colloquio. La prova è un repository da clonare, un archivio da scaricare, un progetto «da avviare e valutare»: l’esercizio consiste proprio nel far girare il codice. Una variante non chiede di eseguire nulla: chiede di installare «il client per la videochiamata», perché «il browser non supporta la condivisione dello schermo», oppure di aggiornare «i driver della fotocamera» che nella call misteriosamente non funziona.

3. La leva: il guadagno e la competenza

   L’offerta è buona e ha una scadenza. Ma la leva più forte è un’altra: a uno sviluppatore che sa di essere bravo un esercizio tecnico non fa paura, lo lusinga. Eseguire un progetto per commentarlo è esattamente quello che farebbe in un colloquio vero. Il copione non ti chiede di fare una cosa strana: ti chiede di fare il tuo lavoro.

4. L’isolamento: la fretta e la riservatezza

   «Abbiamo altri candidati in chiusura», «ci serve un riscontro in giornata». Il repository è privato «perché è codice interno», quindi non puoi cercarlo e non troverai chi ne parla. Ti viene chiesto di non condividerlo. Il risultato è che il codice lo apri da solo, su una macchina tua, senza che nessun collega lo veda.

5. Il canale irreversibile

   Il momento in cui il codice gira. Il programma dannoso sta in un file di configurazione, in una dipendenza che si scarica durante l’installazione, in un’attività che l’editor esegue da solo appena apri la cartella. In pochi secondi legge le credenziali salvate nel browser, le chiavi SSH, i gettoni dei servizi cloud, i portafogli di criptovalute, e installa un accesso permanente. Da quel momento chi controlla la tua macchina può entrare nei sistemi dell’azienda con il tuo nome, e nessuno lo fermerà: per il sistema sei tu.

Perché l’antivirus non ti ha avvisato

Perché non c’era niente da bloccare. Il programma è stato scritto per quel repository, spesso pochi giorni prima, e non compare in nessuna lista. Non ha sfruttato una vulnerabilità: ha chiesto a te di avviarlo, con i tuoi permessi, dentro strumenti che usi ogni giorno e che sono fatti apposta per eseguire codice. Un antivirus vede un processo lanciato dall’utente dentro un ambiente di sviluppo, e quel processo è normale. È la stessa logica del CAPTCHA che ti fa incollare un comando: la difesa che hai comprato protegge dalle cose che entrano da sole, non da quelle che porti dentro tu.

Chi organizza queste campagne non è un truffatore da tastiera. Le più documentate sono attribuite a gruppi statali, con centinaia di finti profili e repository che cambiano ogni settimana, e l’obiettivo dichiarato è l’accesso ad aziende e portafogli, non i risparmi del candidato. Per te la differenza è zero: il copione è lo stesso e la difesa è la stessa.