慢雾科技安全チームは最近の警告を発表しました：開発者を対象とした悪意のある活動は最近始まったものではなく、7ヶ月前にすでにGitHub上に現れていました。

具体的には、攻撃者は偽の採用情報を餌として利用し、開発者に一見普通のVS Codeプロジェクトをダウンロードさせるよう誘導します。このプロジェクトを開くと、隠された悪意のあるタスクが静かに実行されることがあります—ユーザーはほとんど気付かないことが多いです。これらのタスクが起動されると、Vercelなどのサービスから敏感なデータを盗み出します。

この手法は特に危険であり、開発者層を標的としています。就職シーズンは特に騙されやすいです。セキュリティチームは、開発者が未知のコードプロジェクトに触れる際には警戒心を高める必要があると強調しています。特に、採用チャネルの出所が不明な場合です。同時に、定期的にVS Codeの拡張機能やプロジェクト設定を見直し、異常な起動スクリプトやバックグラウンドタスクがないか確認することも防御の重要な一歩です。