Uusi työpaikka, mukana koodaustesti – joka tyhjentää kryptolompakkosi

Työpaikkailmoitus näyttää tavalliselta. Rekrytoija pyytää tekemään pienen koodaustehtävän, jotta osaamisesi voidaan varmistaa. Ajat valmiin koodivaraston koneellasi, se toimii juuri niin kuin pitää – ja tyhjentää samalla kryptolompakkosi taustalla.

Juuri tällaisen kampanjan Elastic Security Labs paljasti (The Hacker News kertoi siitä 17.7.2026), kun pohjoiskorealaiset toimijat iskivät Elasticin oman yhteisön Slack-työtilaan. Kyse ei ole uudesta ilmiöstä.

Taustalla on pitkään jatkunut Contagious Interview -operaatio, joka on ollut aktiivinen ainakin joulukuusta 2022. Daniel Stepanic, Elasticin tietoturvatutkija, kuvaa hyökkäyksiä tehokkaiksi ja todennäköisesti toimiviksi.

Miksi juuri työnhaku toimii näin hyvin syöttinä? Työnhakija on lähtökohtaisesti valmis näkemään vaivaa ja näyttämään osaamisensa. Koodaustehtävä kuulostaa ihan tavalliselta rekrytoinnin vaiheelta, joten sen ajaminen tuntuu luontevalta eikä herätä epäilyksiä.

Syötti oli arkinen. Toukokuun 2026 lopussa käyttäjä "Maxwell" haki #jobs-kanavalla kehittäjää modernisoimaan verkkokauppaa.

Kiinnostuneet siirrettiin yksityisviesteihin ja pyydettiin tekemään koodaustehtävä. Tehtävä oli troijalaistettu koodivarasto, joka toimii normaalisti mutta ajaa haittaohjelman taustalla.

Miten näin huomaamaton temppu läpäisee suojaukset? Hyötykuorman palaset oli piilotettu SVG-lippukuviin, joista JavaScript kokoaa ja ajaa koodin.

Tekniikka on suunniteltu välttämään automaattista tunnistusta. Julkaisuhetkellä yksikään virustorjunta ei tunnistanut varastoja haitallisiksi.

Pelkkään virustorjuntaan ei siis voi luottaa.

Uhri ei huomaa mitään poikkeavaa. Koodivarasto tekee juuri sen, mitä tehtävänannossa luvattiin, ja rekrytointikeskustelu jatkuu normaalisti.

Samaan aikaan taustaprosessi kahmii selaimeen tallennetut salasanat ja lompakot. Vahinko on jo tapahtunut, kun uhri tajuaa olleensa tekemisissä huijarin kanssa.

Varastettavaa riittää. Elastic kuvaa nelivaiheisen, OtterCookie-linjaisen hyötykuorman: selaimen tunnusten ja kryptolompakoiden varastaja, erillinen tiedostovaras, etähallintaohjelma sekä leikepöytävaras.

Etähallinta antaa hyökkääjälle pääsyn koneelle vielä testin jälkeenkin, ja leikepöytävaras vaihtaa kopioidun lompakko-osoitteen omakseen kesken maksun. Lähde ei nimeä yksittäisiä lompakkobrändejä eikä uhrimaita.

Sama klusteri on toiminut ennenkin samalla kaavalla. Se rakensi valheellisen Slack-työtilan Axios-npm-ylläpitäjän murtoon ja on houkutellut kryptokehittäjiä LinkedInissä valekokouksiin. Nyt kohteeksi valikoitui tietoturvayhtiön oma yhteisö, mikä kertoo tekijöiden luottavan menetelmäänsä.

Suomalainen työnhakija on uskottava kohde

Suomesta ei ole vahvistettuja uhreja tästä kampanjasta. Menetelmä on silti täsmälleen sama, josta Kyberturvallisuuskeskus varoitti jo kesäkuussa.

Juha Tretjakov, Kyberturvallisuuskeskuksen asiantuntija, kommentoi rekrytointihuijausten lisääntymistä Verkkouutisissa 14.6.2026 yhdessä Duunitorin kanssa. Ohje on yksioikoinen, koska yksikin ajettu tiedosto voi riittää.

– Älä suostu asentamaan ohjelmistoa koneellesi, Tretjakov ohjeisti rekrytoinnin aikana.

Juuri sitä tämä pohjoiskorealainen kampanja pyytää. Suomalainen tekniikan- tai kryptoalan kehittäjä on täsmälleen se profiili, jota valerekrytoijat metsästävät kansainvälisillä alustoilla. Suomi-kytkös on toistaiseksi menetelmätason, ei vahvistettu yksittäistapaus. Se ei tee uhasta yhtään kaukaisempaa.

Etätyö ja kansainvälinen rekrytointi ovat suomalaisellekin kehittäjälle arkea. Työtarjous ulkomaiselta yritykseltä ei ole poikkeus vaan normaali osa alaa, ja juuri se tekee valerekrytoinnista uskottavan. Jää nähtäväksi, kohdistuuko kampanja jatkossa suoraan suomalaisiin työnhakijoihin.

Tunnistusmerkit

• Rekrytoija siirtää keskustelun pois alustalta Slack-viesteihin, WhatsAppiin tai Telegramiin.
• Sinua pyydetään asentamaan ohjelmisto tai ajamaan valmis koodivarasto koneellasi.
• Palkka on epärealistisen suuri, mukana on kiire, eikä työnantajaa voi varmentaa julkisista lähteistä.
• Rekrytoija katoaa heti, kun olet ajanut "testin".

Mitä tehdä

Perussääntö on yksinkertainen. Älä koskaan aja tuntematonta koodaustehtävää tai varastoa pääkoneellasi.

Käytä kertakäyttöistä virtuaalikonetta tai muuten eristettyä ympäristöä, jossa ei ole lompakoita eikä tunnuksia. Eristetyssä ympäristössä ajettu haittaohjelma ei pääse käsiksi oikeisiin varoihisi.

Pidä kryptolompakot ja palautuslauseet erillään koneesta, jolla ajat vierasta koodia. Laitelompakko on tässä turvallisin. Kryptovarat kannattaa säilyttää laitteessa, jota et käytä päivittäiseen selaamiseen.

Varmenna työnantaja itse. Virallinen sivu, Y-tunnus ja LinkedIn-historia kertovat, onko yritys aito. Jos mikään ei täsmää, keskeytä yhteydenpito.

Epäilyistä voi ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi ja poliisille rikosilmoituksella. Uhrituki löytyy Rikosuhripäivystyksestä numerosta 116 006. Mitä nopeammin ilmoitat, sitä paremmat mahdollisuudet on rajata vahingot.