【戦慄】「採用面接の課題コード」に危険なマルウェア仕込みの手口が発覚
投稿日時: 2026/07/23 05:33
■ 概要・編集部サマリー
1. 【背景・採用課題を悪用したマルウェア攻撃の暴露】セキュリティブログにて、求職中のエンジニアへ渡す持ち帰りコーディング課題に不正コードを仕込む標的型攻撃が暴露されました。 2. 【焦点・.git/hooks と npm フックによる自動ハック】応募者がリポジトリを `git clone` して `checkout` や `npm install` を実行した瞬間に `.git/hooks/post-checkout` が作動し、SSH 鍵や AWS 認証情報、ブラウザクッキーが暗号化送信される仕組みを解説しています。 3. 【評価・求職者の心理を突く詐欺とサンドボックス検証】無警戒な応募者を狙う高度なソーシャルエンジニアリングに対し、Docker コンテナや Dev Containers によるコード隔離実行の徹底が強く呼びかけられました。
■ 持ち帰り課題リポジトリに潜む「隠蔽された Git Hook」の仕込み手口
求職活動中のエンジニアに対し、技術審査と偽って悪意ある Git リポジトリのクローンを促すソーシャルエンジニアリングが告発されています。
隠しディレクトリ内の `.git/hooks/post-checkout` や `package.json` の `preinstall` イベントにシェルスクリプトを隠蔽し、コード閲覧前の段階で自動実行させる極めて狡猾な手法を解き明かしました。
■ 開発端末からの SSH 鍵・AWS 認証情報・クッキー奪取（Infostealer）
バックグラウンドで起動したスクリプトが、ローカル PC 内の `~/.ssh/id_rsa` や `~/.aws/credentials`、ブラウザのセッションクッキー、暗号通貨ウォレットを探索して外部 C2 サーバーへ送信する被害実態を整理しました。
IT 工作員やサイバー犯罪グループによる国家規模の資源奪取攻撃としての危険性が指摘されています。
■ Dev Containers や Docker サンドボックスによる未検証コードの安全隔離
未知の第三者から提供されたリポジトリをローカル環境で直接クローン・実行することの致命的危険性を強調しています。
`core.hooksPath` の無効化設定や、Dev Containers・使い捨て Docker コンテナなどの隔離環境でコード検査・実行を行うセキュリティ運用の徹底が大きな注目を集めています。
海外掲示板の反応・まとめ
■ 記事『Fake job interview Git hook malware』の紹介。採用課題コードに潜むGitフックマルウェア手口が語られています。
『採用面接のコーディング課題です』って渡されたリポジトリをcloneしてチェックアウトしたら、`.git/hooks` に仕込まれたマルウェアが動いてSSH鍵盗まれたニュース怖すぎるわw
>>2 転職活動中の無警戒なタイミング狙ってくるの悪質すぎるだろ！面接課題のコードなんて疑わずに `git clone` して `npm run dev` 叩くに決まってるじゃん。
>>3 `git checkout` しただけで発動する `post-checkout` フックとか、`npm install` 前に動く `preinstall` スクリプト使われてるから、コード読む前にローカル環境が汚染される。
>>4 だから知らない会社から送られてきた面接課題コードは、絶対ローカルのMac/PCで直接開かず、DockerコンテナかDev Containersの中で動かすのがセキュリティの常識なんだよね。
北朝鮮のIT工作員が海外企業になりすまして暗号通貨エンジニアの鍵奪う典型的な手口だな。気をつけないとアカン。
`.git` フォルダを隠しフォルダだからってスルーせずに、`ls -la` でフック入ってないかチェックする癖つけよう。
VSCodeで開いた瞬間に拡張機能やタスクが勝手に動くリスクもある。
求人サイト経由の連絡でも相手企業を厳密にリサーチしないと危険。
core.hooksPath を無効化してcloneする設定の紹介。
海外のコミュニティでも『求職者の心理を弄ぶ最低のハックだ』って海外のエンジニア達が激怒してるぞ。
Dev Containersで専用の使い捨て環境を作って作業するのが一番安全。
暗号通貨ウォレットやSSH鍵が第一標的にされている。
1回侵入されたらPC全体のクリーンインストールが必要になる。
エンジニアを狙う悪質ハック。面接課題でも警戒を怠らない安全対策が必要だな。