エンジニア転職の採用課題は実行前に送信元と権限を確かめる

エンジニア転職の採用課題は送信元を確認してから実行を判断する

採用課題としてコードを受け取っても、送り主を確認できないまま実行しないでください。求人の選考であることと、配布されたコードが安全であることは別の確認事項です。不審な点がある場合は、実行や権限の許可を進めず、採用窓口へ確認します。

確認先には、受信したメッセージに書かれた連絡先だけを使わないようにします。企業の公式採用ページなど、別に確かめられる経路から担当者や課題の存在を照合します。すでに企業の採用担当者とやりとりしている場合は、その窓口に確認してください。

ASDのACSCが掲載した共同注意喚起では、偽の面接で悪意あるファイルを実行させる手口が報告されています。採用課題の実施だけでなく、オンライン面接の不具合解消を口実にする場合もあります。正体を確認できない相手から作業を急がされても、確認を省かないことが大切です。政府機関による採用を装う攻撃の注意喚起

エンジニアの採用案内は会社名やプロフィールだけで信用しない

企業名や担当者の顔写真が載っていることだけでは、本人からの連絡かは分かりません。連絡を受けた経路と、自分で確認した公式窓口を分けて考えます。求人に応募した覚えがない場合も、どの募集についての連絡かを確認しましょう。

確認では、受信日時、名乗っている担当者、求人名、求められた操作を伝えます。その企業が課題を送った事実と、案内された配布先が正しいかを聞きます。返事がない段階では安全とも偽物とも決めず、未確認のまま実行を保留します。

エンジニア転職の採用課題は公開場所だけで安全と判断しない

よく使う開発サービスに置かれていても、個々のコードの安全性が保証されるわけではありません。Atlassianは、公開リポジトリを使った偽の採用課題を調査しています。一見完成したアプリのコードの一部に、悪意ある処理が隠れていたと報告しています。Atlassianの調査報告

この報告では、実行により認証情報やAPIトークンなどが盗まれる危険も説明されています。APIトークンは、サービスへアクセスするための認証情報です。見た目が整った課題や有名な配布サービスを、安全確認の代わりにしないでください。

必要なパッケージを入れる操作や、開発用の起動手順にも、コードの実行が含まれる場合があります。アプリが画面に表示される前だから安全、とは判断できません。手順の意味が分からない場合は、そのまま試さず確認します。

エンジニアの課題で認証情報や強い権限を求められたら立ち止まる

課題の目的と関係が分からない要求は、許可する前に理由を確かめます。次の表は、操作を保留して確認するための例です。一つ当てはまるだけで攻撃だと断定する判定表ではありません。

勤務先の認証情報や、個人の秘密鍵などを課題へ持ち込まないようにします。課題用の設定と、実際の仕事や私生活で使う情報を混ぜないことが重要です。限定した環境を用意したつもりでも、それだけで安全だと断定しません。

スカウトにある選考上の約束と、コードの安全性は別に確認します。面接確約と書かれていても、配布コードの安全確認を省く理由にはなりません。

エンジニア転職の採用課題はエディタの信頼設定も確認する

コードは、実行ボタンを押す前にも、開発ツールの機能を通じて動く可能性があります。エディタが表示するフォルダーの信頼確認を、単なる操作の邪魔として扱わないでください。相手に言われるまま、確認していないフォルダーを信頼する設定へ変更しないようにします。

VS Codeの公式説明は、分からない場合はRestricted Modeを維持するよう案内しています。この制限モードは、タスクやデバッグなどの機能を制限し、自動的なコード実行を防ぐためのものです。未知のコードを読む際の追加の保護として位置付けられています。VS CodeのWorkspace Trust

ただし、同じ説明は悪意ある拡張機能の実行まで防げるものではないとしています。制限モードの表示だけで、課題や拡張機能が安全だと認定しないでください。この仕様はVS Codeの説明であり、別のエディタにも同じ動作を期待するものではありません。

エンジニアの課題は確認を終えるために警告を解除しない

「先に起動しないと内容が分からない」と言われても、未確認のコードを試す必要はありません。説明資料や、実行を伴わない確認方法があるかを企業の正式な窓口へ相談します。試験の代替手段を使えるかどうかは企業の判断なので、利用できると決めつけないでください。

問い合わせでは、評価方法への不満と、安全性を確認できていない点を混ぜずに伝えます。たとえば、配布先を正式に確認できたか、必要なアクセス権が分からないかを具体的に書きます。以下は相談文の例です。

「採用課題の案内を受け取りましたが、配布先の確認ができていません。」「このリポジトリが御社の選考用であることと、必要な操作・権限を教えてください。」「確認が終わるまでは実行を保留します。」

送り主と課題の確認ができてから、通常の試験準備へ進みます。形式や計時、使用できるツールの確認は、コーディングテストの準備で整理できます。準備のために疑わしい課題を何度も動かすことは避けてください。

エンジニア転職の採用課題を実行してしまったら状況を記録して相談する

不審な課題を実行したことに気付いたら、追加の操作や情報の入力を止めます。相手から送られた別の修復ツールや、追加の設定変更で解決しようとしないでください。動作確認のために同じコードを再実行することも避けます。

業務端末の場合は、所属組織の情報システム担当やセキュリティ窓口に連絡します。端末の扱いは組織の対応手順に従ってください。応募先との連絡だけで済ませず、端末やアカウントを管理する側へ状況を伝えます。

エンジニア個人の端末は技術相談に必要な経緯をまとめる

IPAの情報セキュリティ安心相談窓口は、ウイルスや不正アクセス等の技術相談に助言する窓口です。企業・組織向けには別の相談先が案内されています。個人で状況を整理できない場合は、公式案内を確認して相談できます。IPAの技術相談案内

この表は、相談時に経緯を伝えるための整理例です。確認のためにファイルを再び開いたり、不審なコードを他人へ配ったりしないでください。パスワードや秘密鍵そのものを相談文へ貼り付けることも避けます。

画面が普通に動くことや、警告が出ないことだけで、被害がなかったとは判断できません。ここで個別の感染有無や復旧方法を断定せず、実際に行った操作を伝えて対応を確認します。採用課題を終えることより、未確認の実行を増やさず状況を整理することを優先してください。