骗子冒充加密货币公司的招聘员，在求职平台上找到目标，以“编程测试”为名，诱使下载恶意软件后侵入对方所属公司的内部系统进行加密货币转账。这类骗案已造成损失达1180万美元（约1510万新元）。
新加坡警察部队和网络安全局星期五（8月14日）发文告，提醒公众和企业，尤其是科技和加密货币领域的从业者，慎防这类骗局。
在这类骗案中，骗子冒充加密货币相关公司的招聘员，通过领英（LinkedIn）与受害者接触。骗子随后使用一个与正规公司域名高度相似的伪造域名，通过电邮与受害者联系。
受害者会被要求通过视讯软件Google Meet参加数次视频面试，但“面试官”全程关闭摄像头。
受害者跟着用公司配发的设备，进入假冒网站完成“技术编程测试”，就这样不知情地下载了恶意软件。黑客通过恶意软件窃取受害者服务器的对话令牌（session token），并用这个令牌绕过多重身份认证（MFA），登入受害者的Bitbucket账户。
由于受害者的Bitbucket账户与公司的代码仓库相连，不法分子利用这一权限，窜改公司的自动化软件部署指令，远程访问公司内部服务器，窃取更多登入凭证。骗子过后利用这些凭证，绕过交易限额和审批机制，进行加密货币转账。
当局提醒从事科技和加密货币领域的个人和企业，提防利用人性弱点的社交工程行骗手段，技术与开发人员更容易成为恶意“编程测试”的目标；骗子可能假冒招聘员、雇主或商业伙伴以获取信任，诱使受害者泄露敏感信息、下载文件或执行代码。企业应加强内部教育，防范这类陷阱。
当局强调，求职者在回复招聘或面试邀约前，应通过官方渠道核实对方招聘员的身份。如果面试官在通话中拒绝开启摄像头露面，或要求通过陌生网站或非官方平台沟通，求职者应提高警惕。
求职者也不应执行来自未知或未经证实来源的代码。为安全起见，在下载任何软件或文件前，应使用安全工具进行扫描，并在与公司系统隔离的环境中进行。
当局也建议企业，加强网络安全防护，妥善保管应用程序接口（API）密钥和内部凭证，并严格限制和缩短访问权限。
如果怀疑系统遭入侵，应立即隔离受影响的设备或系统、终止现有会话和重置凭证，并尽快通知内部网安团队或服务供应商进行检查。
