# Ofertas de emprego falsas que hackeiam desenvolvedores: meus dois casos, os sinais de alerta do FBI e a correção

> Em junho de 2026, o projeto de teste de um cliente falso escondia malware em uma dependência do npm e rodou no meu Mac por dias; em outubro, outro me pediu para colar um comando no terminal. Um explicativo de 53 segundos: o roteiro do golpe, os sinais de alerta do FBI e três hábitos que o barram.

- URL: https://oliverz.dev/pt-br/videos/fake-job-offer
- Author: Oliver Zhang (https://oliverz.dev)
- Language: pt-BR
- Published: 2026-10-31
- Tags: security, malware, developer, explainer
- Video: https://www.youtube.com/shorts/ziU4qzdx9ig

> **Em resumo:** duas vezes em 2026, um "cliente" falso tentou me fazer rodar o código dele. Em junho deu certo: o projeto de teste escondia malware em uma das suas dependências do npm, ele rodou por dias e nenhum antivírus deu um pio. Em outubro, eu recusei. Os dois seguiram um roteiro que o FBI liga à Coreia do Norte; ninguém atribuiu formalmente os meus dois casos, mas eles batem com esse roteiro. O conselho do FBI: não rode código de entrevista no seu computador de trabalho, use uma máquina virtual separada se for mesmo preciso e confirme quem está contratando por outro canal.

## Junho: o projeto de teste era o malware

A história completa está no meu post anterior, [Duas vagas falsas no Upwork, um Mac infectado](https://oliverz.dev/pt-br/blog/upwork-contagious-interview). A versão curta: um "cliente" em uma plataforma de freelancers me passou um teste de programação.

"He sent over a Node.js test project called "Online_Store". The malicious code was hidden in one of its npm dependencies." (Ele me mandou um projeto de teste em Node.js chamado "Online_Store". O código malicioso estava escondido em uma das dependências do npm.)

Demorei a perceber: "By the time I noticed, it had been running in the background for days." (Quando percebi, ele já estava rodando em segundo plano havia dias.)

E nada me avisou: "neither macOS's built-in XProtect nor traditional antivirus made a sound, either time" (nem o XProtect, que já vem no macOS, nem os antivírus tradicionais deram um pio, nas duas vezes).

## Outubro: câmera desligada, "instale este app de reunião"

Quatro meses depois, um novo "cliente", desta vez de uma empresa falsa. Na videochamada, "He kept his camera off" (ele ficou com a câmera desligada). Depois "we had to switch to a meeting app called "Zeff"" (precisávamos trocar para um app de reuniões chamado "Zeff"), e para obtê-lo eu devia "run a `curl | bash` command in the terminal, or download a DMG. I didn't install it." (rodar um comando `curl | bash` no terminal ou baixar um DMG. Não instalei.)

Os comandos e endereços ficam fora do vídeo e deste post: o assunto é reconhecer a isca, não o que ela instala.

## Um roteiro conhecido

Olhando para trás, as duas tentativas tiveram o mesmo formato: "Both attacks followed the same playbook: contact, build trust, the ask, the payload. The second time, I stopped at the payload." (Os dois ataques seguiram o mesmo roteiro: contato, ganhar confiança, o pedido, o golpe. Na segunda vez, parei no golpe.)

É um formato sobre o qual o FBI já alertou. O seu alerta público PSA 240903 se chama "North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks" (Coreia do Norte mira agressivamente o setor de criptomoedas com ataques de engenharia social bem disfarçados). Os meus casos batem com o padrão que ele descreve; ninguém os atribuiu formalmente, então não afirmo que a Coreia do Norte me hackeou.

## Por que o alvo são as pessoas

Falando à BBC depois do ataque à Binance, Mackenzie Jackson, da Aikido, descreveu uma mudança. Nas palavras da BBC: "He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it." (Ele diz que os hackers deixaram de mirar a infraestrutura das empresas e passaram a mirar as máquinas das pessoas que a operam.)

E sobre como: "Jackson says techniques vary, but include tricking workers into installing malware under the pretext of a job interview, or interfering with code that developers rely on." (Jackson diz que as técnicas variam, mas incluem enganar funcionários para que instalem malware sob o pretexto de uma entrevista de emprego, ou mexer em código do qual os desenvolvedores dependem.)

Jackson estava descrevendo técnicas comuns, não dizendo como a Binance foi invadida.

## Os sinais de alerta

O FBI lista este entre os seus indicadores: "Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories." (Pedidos para fazer um "teste pré-contratação" ou um exercício de depuração que envolva executar pacotes Node.js, pacotes PyPI, scripts ou repositórios do GitHub fora do padrão ou desconhecidos.)

Dos meus dois casos, mais dois: um "cliente" que fica com a câmera desligada e quer trocar para um app de que você nunca ouviu falar, e um pedido para colar um comando no seu terminal.

## A correção

1. **Não no seu computador de trabalho.** O FBI: "Avoid taking pre-employment tests or executing code on company owned laptops or devices." (Evite fazer testes pré-contratação ou executar código em notebooks ou dispositivos da empresa.)
2. **Se o código precisar rodar, mantenha-o isolado.** O conselho do FBI, resumido: use uma máquina virtual em um dispositivo que não esteja conectado à empresa, ou um dispositivo fornecido por quem aplica o teste.
3. **Confirme por outro canal.** O FBI: "Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms." (Crie seus próprios métodos para verificar a identidade de um contato usando plataformas de comunicação separadas e não conectadas entre si.)

## O que criei depois

Depois, fiz uma ferramenta: "So I built a small macOS menu bar app called Tsuba" (por isso criei um pequeno app de barra de menus para macOS chamado Tsuba). A ideia: "before unfamiliar code runs for the first time, it takes a look for you" (antes de um código desconhecido rodar pela primeira vez, ele dá uma olhada por você). O [Tsuba](https://oliverz.dev/pt-br/products/tsuba) é gratuito e de código aberto. Ele vem depois dos hábitos acima, não no lugar deles.

## Fontes

- Oliver Zhang, [Duas vagas falsas no Upwork, um Mac infectado](https://oliverz.dev/pt-br/blog/upwork-contagious-interview), oliverz.dev, 28 de outubro de 2026
- FBI, [PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks](https://www.ic3.gov/PSA/2024/PSA240903), 3 de setembro de 2024
- BBC News, [página ao vivo sobre o ataque à Binance](https://www.bbc.com/news/live/cqrmynd3042gt), 30 de outubro de 2026

O vídeo é animado com código, e o roteiro foi escrito com ajuda de IA; cada fato acima foi conferido com as fontes. Ilustrativo: a árvore do projeto e a dependência vermelha, o escudo de "nenhuma ameaça", a videochamada e o comando de terminal censurado. Este post explica o risco e a correção, não os passos de um ataque. O vídeo está em inglês. Feito com o [Shotloop](https://oliverz.dev/pt-br/products/shotloop), meu app gratuito para Mac de explicativos feitos com código, corrigidos uma cena de cada vez.