エンジニア採用面接が、まさかのセキュリティホールに！？やってはいけないNG事例

面接中にシステムを侵害してしまうケースについて紹介します。技術評価やコーディングテストの際、候補者に本番環境へのアクセス権を与えたり、検証用リポジトリに機密情報を含んだまま渡してしまうことはありませんか？不用意な権限付与が、そのままシステム侵入の入り口になり得るという警鐘です。

LinkedInで毎週のように真っ当なものと怪しいスカウトが来るから、違いを見分けるのはすっかり得意になったよ。コメントでピンポイントに説明するのは難しいけど、だいたいの勘というかコツがある。ざっくり言うとこんな感じ。

1. 連絡してきた人のLinkedInプロフィールを見て、投稿履歴を確認する。笑える例だと、「リクルーター」が4年間も英語で投稿してたのに、急にスペイン語に変わってたりした。大抵は中身のない短いコメントばかりだったりするしね。

2. 会社を調べて、ちゃんとしたWebサイトがあるか、実際に事業をやっているか確認する。チームページがあって、そこに本人が載っているならなお良し。

3. リクルーターには（SimpleLoginなんかを使って）メールアドレスを教えて、詳細を送ってもらう。もちろん、どのメールアドレスから送られてきたかは要チェック。

4. または、リクルーターに公式の求人情報を送ってもらう（詐欺師はたいていDMにそのまま「貼り付け」たり、明らかにAI生成のPDFをアップロードしてきたりするからね）。

一度コツを掴めば見抜くのはそう難しくないよ。たまに暇つぶしで相手して遊ぶこともあるくらいさ。最後に、LinkedInで必ず通報することを忘れずに。私が通報した時は、1時間もしないうちにアカウントが消えたよ。

「テストを始める前に疑うべきこと」のリストがあるけど、重要なのは一つだけだよ。

公式のメールアドレスを使っている相手とだけやり取りすること。

それ以外はイエローカードやレッドカードのサインにはなるけど、公式メアドでの確認を求めるだけで、詐欺の大半（Intuitの担当者を名乗ってQuickBooksについて電話してくるような手口も含めて）は防げるよ。

あるYC企業がコーディング試験用のツールを作ってるんだけど、これがひどいんだ。自社のCLIをマシンで実行してくれと言いながら、実際には勝手にいろいろなものをインストールして、プロセスをスキャンしたり、AIツールのリクエストを横取りしたりする。これを許容できると思ってる人がいるなんて正気の沙汰じゃないよ。

もしこういうやつに出くわしたら：

• 見つけた証拠をアーカイブしておく
• ホスティング業者に不正利用を通報する

私はjsonbin.ioとZapHosting（147.189.174.138を運用している）に、これについてメールを送ってるところ。

「関連する機会」で、リモートのパートタイム、時給もかなり良い

今の時期、これは本当に怪しすぎるでしょ。

LinuxマシンでQEMUを学んだり動かしたりしようと思ってたところなんだ。毎回イメージを作り直す以外に特別な準備は必要ないよね？

まあ、間違いなく断るつもりだけど、ラリーやセルゲイから招待が来たらすぐに対応できるようにしておきたいんだ。

今ちょうど仕事探し中だから、これはすごく助かる！念のため、試験や応募用に公開リポジトリやポートフォリオを準備してるけど、運が尽きないといいんだけど。

誰も触れてないみたいだけど、これは仮想通貨業界の求人で深刻かつ現実的な問題になってるね。「ステルススタートアップ」を名乗って連絡してきて、見慣れないメアドやリポジトリでコーディング課題を要求してくるのは、彼らの市場だとまだ信じやすいから。仮想通貨の開発者はPCにウォレットやパスワードが入ってる可能性が高いしね。奴らはシステムへのアクセス権を奪うためなら、普通のスパムやAI会話をはるかに超えた労力も厭わないよ。

採用プロセスの最初から生身の人間が対応しようとしない会社って、その時点でどうなの？求人の正当性とか、実際に入社した時に一緒に働く人たちの質とかさ。

オファーが出るかどうかに関わらず、面接のたびにかなりの時間を費やすわけだし、オファーが出ればその会社にさらに時間を投資することになるんだから。

誰であれ自分の時間は守るべきだし、面接は常に双方向のものだっていうことを忘れないようにしないとね。

記事を読んで最初に思ったことだけど、開発者はLuLu（https://objective-see.org/products/lulu.html ）みたいなファイアウォールを使うことを覚えるべきだよ。実行ファイルがネット上のどこかに接続しようとするたびにダイアログが出て、通信を許可するか聞いてくれるから便利なんだ（IPアドレスへの接続も怪しげに見えるからね）。

自分はEmacsユーザーだけど、VS CodeやVSCodiumとか新しいエディタを試すたびに、拡張機能のダウンロードを許可した覚えもないのにリモートアドレスへの通信を求められて、その都度ブロックしてたよ。

コーディング試験でLuLuみたいな「インタラクティブ」なファイアウォールを使って、試験ツールの怪しさに気づいてその場で通信をブロックしちゃう開発者がいたら面白いだろうね。