Segundo a CitizenDot, criminosos pedem que o candidato clone um repositório e execute comandos durante a “entrevista técnica”, explorando git hooks para comprometer a máquina antes mesmo do código ser revisado.

E
Captura de tela do fluxo do golpe de entrevista falsa com git hook malicioso, conforme documentado pela CitizenDot

Em resumo

  • Modus operandi — recrutadores falsos convidam devs a clonar um repositório Git como parte de um teste técnico ao vivo.

  • Vetor de ataque — scripts em git hooks disparam automaticamente após comandos comuns como git clone ou git checkout.

  • Alvo principal — profissionais de software em busca de emprego remoto, especialmente em mercados aquecidos de contratação.

  • Risco imediato — execução de payload malicioso no ambiente local sem que a vítima perceba durante a entrevista.

Alerta de segurança

Se você recebeu convite para entrevista técnica que exige clonar repositório desconhecido, executar scripts ou instalar dependências fora de um ambiente isolado, trate como ameaça crítica até prova em contrário. A CitizenDot documenta casos em que o malware roda no momento do clone, antes de qualquer revisão de código, o que torna o ataque especialmente urgente para quem mantém credenciais, tokens de API ou chaves SSH no mesmo computador usado na entrevista. Não continue o processo seletivo nessas condições.

Como o golpe engana quem está contratando

O ataque se apoia na normalização de testes práticos em entrevistas de desenvolvimento. Empresas legítimas frequentemente pedem que candidatos resolvam desafios em repositórios privados ou sandboxes. Criminosos imitam esse fluxo com páginas profissionais, nomes de recrutadores plausíveis e repositórios que parecem projetos reais de backend, frontend ou DevOps.

A diferença está nos detalhes técnicos invisíveis na primeira olhada. Em vez de pedir apenas análise de pull request ou correção de bug visível, o fraudador conduz a vítima a ações que disparam automações locais. Git hooks são scripts que o Git executa em eventos específicos do ciclo de versionamento. Quando mal configurados ou maliciosamente inseridos, eles rodam no sistema do usuário com os privilégios da sessão ativa.

A CitizenDot destaca que a combinação entrevista falsa mais hook malicioso explora dois pontos fracos ao mesmo tempo, a pressa do candidato em impressionar e a confiança depositada em fluxos que parecem rotina do mercado. Quem está desempregado ou em transição de carreira tende a aceitar etapas extras sem questionar a origem do repositório.

Por que git hooks viraram porta de entrada

Hooks ficam fora do foco imediato de quem só quer “rodar o projeto rápido” para a entrevista. Diferente de um arquivo README chamativo ou de um script óbvio na raiz, hooks vivem em .git/hooks ou em configurações que só executam em determinados eventos. Um post-checkout ou post-merge pode baixar um segundo estágio, registrar teclas, exfiltrar variáveis de ambiente ou preparar persistência no sistema.

O mecanismo é particularmente eficaz contra desenvolvedores experientes que sabem evitar curl | bash explícito, mas não auditam cada camada do repositório antes de operar. Em entrevistas por videoconferência, o invasor ainda orienta a vítima passo a passo, criando sensação de acompanhamento legítimo enquanto o ambiente local é comprometido.

Repositórios hospedados em plataformas conhecidas não eliminam o risco por si só. O golpe não depende necessariamente de comprometer a plataforma, e sim de convencer alguém a executar código atacante em máquina pessoal ou corporativa. Para times de segurança, isso reforça que a fronteira entre recrutamento e incidente de endpoint está mais tênue do que parece.

  • Recusar clonar ou executar repositórios de entrevistas em máquina principal; use VM descartável ou container sem acesso a credenciais reais.

  • Inspecionar .git/hooks e scripts de instalação antes de qualquer comando Git, mesmo sob pressão de recrutador ao vivo.

  • Validar identidade da empresa por domínio oficial, LinkedIn corporativo e contato independente com RH, não apenas com quem conduz a entrevista.

  • Desconfiar de processos que exigem instalar dependências globais, desativar antivírus ou rodar scripts de “setup automático” não documentados.

  • Se já executou o repositório, isolar o host, rotacionar tokens e chaves, revisar logs locais e acionar time de segurança ou resposta a incidentes imediatamente.

Sinais de fraude em processos seletivos de tech

Vagas que surgem de forma abrupta em mensagens diretas, com urgência para agendar entrevista técnica no mesmo dia, merecem escrutínio extra. Repositórios recém-criados, com histórico mínimo, dependências incomuns ou instruções que misturam tarefa legítima com comandos de sistema são bandeiras vermelhas recorrentes nesse tipo de campanha.

Empresas reais costumam fornecer ambiente controlado, link para sandbox ou avaliação assíncrona auditável. Quando o recrutador insiste em operações locais irreversíveis, a prioridade deixa de ser “passar na etapa” e passa a ser preservar o dispositivo e os segredos nele armazenados. Compartilhar o caso com comunidades de segurança e plataformas de hospedagem de código ajuda a derrubar repositórios maliciosos antes que outros candidatos caiam no mesmo fluxo.

Por que recrutamento falso exige resposta de segurança corporativa

Times de RH e engenharia precisam alinhar políticas claras sobre testes técnicos externos. Sem orientação explícita, colaboradores em transição ou estagiários podem confundir exigências fraudulentas com práticas normais do setor. Documentar que a empresa nunca solicita execução de repositórios arbitrários em hardware pessoal reduz a superfície de engenharia social.

Para plataformas de código e comunidades de dev, monitorar padrões de repositório usados em golpes de entrevista torna-se parte essencial da higiene do ecossistema. O caso descrito pela CitizenDot mostra que um vetor antigo, hooks locais do Git, ressurge quando combinado a pressão psicológica de emprego. Tratar entrevistas técnicas como superfície de ataque, e não só como etapa de hiring, é a lição central para candidatos, empresas e equipes de defesa.