LinkedIn 面試詐騙實錄：打開檔案就被駭？教你 4 招自保 SOP | Tai

你是否曾想過，在這個數位遊牧與遠端工作盛行的年代，一場面試不僅可能讓你找不到工作，還可能讓你傾家蕩產？

我們通常認為，只要不隨意下載 .exe 執行檔，或者在 Clone 程式碼後不隨便執行 npm install，我們就是安全的。然而，近期發生在全球最大職涯平台 LinkedIn 上的一起真實案例，徹底粉碎了這個安全假象。一位資深開發者在沒有執行任何指令的情況下，僅僅是用編輯器打開了對方傳來的面試考題，短短幾分鐘內，電子錢包裡的 20,000 美金（約新台幣 64 萬元）便不翼而飛。

這不再是單純的釣魚連結，而是一場精心設計的供應鏈攻擊。從這起令人毛骨悚然的案例中，我們整理出 4 個關鍵洞見，這不僅是技術人員的警訊，更是所有現代求職者必須具備的生存指南。

為什麼高手也會中招？解析新型態面試詐騙手法

關鍵字一：駭客不需要你「執行」程式，只要你「看」

這起 LinkedIn 詐騙 最令人震驚之處，在於它突破了許多資深工程師的防禦認知：「只要我不跑 Code，只是讀 Code，應該沒事吧？」

事實證明，錯了。攻擊者利用了現代開發工具 VS Code 漏洞（具體來說是 .vscode/tasks 自動化腳本）。當受害者使用 IDE 開啟專案資料夾的那一刻，惡意腳本就已經在背景悄悄啟動，直接取得了電腦的控制權 (RCE)，並搜刮了瀏覽器與 加密貨幣錢包 的權限。

「我明明很小心，Clone 下來後沒有執行 npm install 或任何指令——但我還是中招了。事後我才知道原來 VS Code 有自動執行功能。這真的非常危險。」 — 受害者自白

這告訴我們一個殘酷的新現實：在資安的世界裡，沒有所謂的「被動瀏覽」。 現代軟體的便利性（自動化腳本、預先加載）往往就是安全漏洞的藏身之處。

關鍵字二：利用「專業自尊」的社交工程攻擊

為什麼一位有經驗的開發者會上當？因為詐騙集團並不是用「中獎通知」這種低劣手段，而是利用了人們對「專業」的渴望。

詐騙者偽裝成新創公司創辦人，聲稱有一個 MVP 產品 需要作為面試題目。這種話術精準擊中了求職者的兩個心理盲點：

展現專業的慾望：面試者急於證明自己有能力 Review 程式碼。
降低戒心：既然是「還沒上市的 MVP」，程式碼寫得亂一點、結構奇怪一點，似乎都很合理。

正是這種「合理化」的過程，讓受害者忽視了 DeepWiki 等資安工具發出的微弱警訊，最終釀成大錯。

求職者如何自保？4 個必備的防禦觀念

1. 建立隔離環境：你的數位防爆室

如果「不執行」也無法保證安全，那我們該如何自保？答案是：不要信任你的本機電腦（Localhost）。

面對來源不明的 GitHub 專案 或程式碼，我們應當採取「零信任（Zero Trust）」原則。最安全的做法是使用 雲端 IDE（如 GitHub Codespaces） 或 虛擬機（VM） 來開啟。

想像一下，你是拆彈小組的成員。你不會把疑似炸彈的包裹帶回自家客廳拆解，而是會將其放入防爆室。雲端環境就是你的數位防爆室——即便程式碼真的含有惡意病毒，爆炸的也只是一個隨用隨丟的雲端容器，駭客絕對摸不到你本機電腦裡的私人照片、信用卡號與資產。

2. 進行「反向盡職調查」(Reverse Due Diligence)

過去，我們習慣由公司來調查求職者（Reference Check）；現在，求職者必須學會調查公司。在點擊任何連結或接受測試前，請務必執行以下三項 公司背景調查 步驟：

公司實體查核：不要只看精美的官網。去查詢該公司是否有統編、商業登記，或是具體的辦公室地址。如果一家公司在 Google Maps 上是一片荒地，請直接封鎖。
社群帳號時間軸：檢查公司 LinkedIn 與社群媒體的成立時間。詐騙集團通常沒有耐心「養號」，如果所有貼文都集中在過去兩週內，這就是巨大的紅燈警訊，極高機率是求職詐騙。
商業邏輯驗證：真正的科技公司視源代碼（Source Code）為最高機密，絕不可能在未簽署保密協議（NDA）的情況下，就將完整的 MVP 寄給一位陌生的面試者。

3. 堅持「同步視訊」驗證身份

在 AI 生成技術（Deepfake）日益精進的今天，純文字或語音的溝通已不足以採信。詐騙集團往往會以「訊號不好」、「不方便開鏡頭」為由拒絕露臉。

請務必堅持進行 視訊面試 (Video Call)。在即時互動中，你可以觀察對方的神情、背景環境以及對話的流暢度。如果對方是使用 DeepWiki 或 LLM 生成的虛假身份，往往會在即時問答中露出破綻。記住：不敢露臉的面試官，本身就是最大的問題。

4. 落實「資產與開發」的物理分離

這起案件中，受害者之所以損失慘重，是因為他的 加密貨幣錢包 (MetaMask) 與 開發環境 (VS Code) 安裝在同一台電腦上。這就像是把金庫的鑰匙掛在工地的圍籬上一樣危險。

身為專業工作者，請務必遵守 資產隔離原則：

專機專用：處理高風險操作（如下載陌生代碼、測試軟體）的電腦，絕不登入私人銀行帳號或安裝加密錢包。
冷錢包保存：對於大額資產，請務必使用硬體冷錢包，並確保私鑰永遠不觸網。

總結：當面試成為獵殺場：你的「多疑」不是無禮，而是專業

這起損失 2 萬美金的悲劇提醒了我們，職場詐騙 的手法已從「資訊落差」進化為「技術獵殺」。

我們常擔心多問幾個問題會顯得不禮貌，或是拒絕下載檔案會錯失機會。但這起損失 2 萬美金的案例告訴我們：在安全面前，禮貌是多餘的。真正的科技公司會尊重你的資安意識，只有詐騙集團才會急著要你點開檔案。身為專業工作者，建立起自己的防禦邊界，不僅是保護資產，更是展現你對數位環境的深刻理解。適當的「多疑」不是一種性格缺陷，而是一種必要的職業素養。

請將這篇 面試自保指南 分享給你身邊正在求職的朋友，你的這一個小動作，或許就能挽救他們數年的積蓄。