Stel je voor: je krijgt op LinkedIn een bericht van een recruiter met een mooie crypto-baan. Goed salaris, interessant project, en je hoeft alleen een korte codeertest te doen. Klinkt als een kans. Maar precies daar zit soms de val. In Singapore hebben oplichters via die route inmiddels omgerekend 11,8 miljoen dollar buitgemaakt, en de manier waarop ze dat deden verdient uitleg.
Hoe werkt zo’n nep-sollicitatie precies?
De opzet is slim, omdat hij inspeelt op vertrouwen. Je denkt dat je solliciteert, dus je doet netjes wat er wordt gevraagd. Onderdeel van het “sollicitatieproces” was een technische opdracht: download dit bestandje en voer de codeertest uit. In dat bestand zat malware verstopt, schadelijke software die zich installeert zodra je hem draait.
Vanaf dat moment had de aanvaller een voet tussen de deur. De malware ging op zoek naar iets waardevols op de computer van het slachtoffer: een sessie-token. Dat is een soort digitale toegangspas die je browser bewaart nadat je bent ingelogd, zodat je niet bij elke klik opnieuw je wachtwoord hoeft in te typen.
Waarom hielp tweestapsverificatie hier niet?
Dit is het onderdeel dat veel mensen verrast. Je hebt misschien tweestapsverificatie aanstaan, dus een extra code naast je wachtwoord. Dat voelt als een stevig slot. En dat is het meestal ook.
Maar een sessie-token is als iemand die de sleutel steelt nadat jij de deur al hebt opengedaan. De beveiliging aan de voordeur heeft dan zijn werk al gedaan. Wie de token bemachtigt, glipt naar binnen zonder ooit een wachtwoord of extra code te hoeven invoeren. Zo kwamen de aanvallers bij een code-repository, de plek waar de broncode van een project wordt bewaard, en van daaruit konden ze verder.
Waarom richten oplichters zich juist op crypto-mensen?
Dat is geen toeval. In de cryptowereld werken veel developers, en zij hebben vaak toegang tot systemen waar echt geld doorheen stroomt. Eén gekaapte laptop kan dus de sleutel zijn tot een hele kluis. Voor criminelen is een nep-vacature daarom een goedkope, geduldige manier om binnen te komen bij mensen die er niet op verdacht zijn.
Het patroon is bovendien niet nieuw. Beveiligingsonderzoekers waarschuwen al langer voor nep-recruiters die via LinkedIn of andere platforms contact leggen, waarna een “opdracht” of “tool” de eigenlijke aanval verbergt. De setting verandert, maar de kern blijft hetzelfde: eerst vertrouwen winnen, dan toeslaan.
Wat kun je hier zelf uit meenemen?
De belangrijkste les is misschien wel dat een aanval er tegenwoordig niet meer uitziet als een aanval. Geen dreigende e-mail vol spelfouten, maar een vriendelijk berichtje over een baan. Juist die normaliteit maakt het gevaarlijk.
Een gezonde reflex helpt al veel. Voer geen onbekende bestanden of codeeropdrachten uit op je eigen computer, zeker niet als ze via een ongevraagd bericht binnenkomen. Twijfel je of een recruiter echt is? Zoek het bedrijf los op en neem via de officiele kanalen contact op, niet via de link die je is toegestuurd.
En besef dat je beveiliging meer is dan een sterk wachtwoord. Een gestolen sessie-token laat zien dat ook goed beveiligde accounts kwetsbaar zijn zodra je apparaat zelf besmet raakt. Het slot op je voordeur helpt weinig als iemand al binnen rondloopt.
