طلبوا تشغيل مشروع كاختبار توظيف: هل هو برنامج خبيث؟

تصلك رسالة من مسؤول توظيف يعرض وظيفة برمجة عن بُعد بشروط مغرية، ثم يطلب منك تنزيل مشروع جاهز من مستودع وتشغيله على جهازك لإصلاح خطأ أو إضافة ميزة. يبدو الطلب عادياً في التوظيف التقني، لكنه قد يكون مدخلاً لتشغيل برنامج خبيث على جهازك. هذا المقال يشرح كيف تميّز الحالة المريبة، وما تطلبه قبل التنزيل، وكيف تتصرّف إن كنت شغّلت المشروع فعلاً.

كيف يبدأ الموقف عادةً

يتكرّر في التقارير الأمنية نمط متشابه: رسالة على لينكدإن أو منصة عمل حر من شخص يقدّم نفسه مسؤول توظيف في شركة ناشئة، وعرض براتب أعلى من المعتاد، ومقابلة قصيرة أو بلا مقابلة، ثم مهمة تقنية بموعد تسليم ضيق. الضغط الزمني جزء من الخطة، لأن المستعجل يشغّل الكود قبل أن يقرأه.

ليس كل اختبار عملي خطراً؛ فكثير من الشركات الجادة ترسل مهام منزلية، وقد شرحنا طريقة الاستعداد لها في مقال اختبار التقييم قبل المقابلة. الفرق أن المهمة الجادة تُصمَّم لتقيس مهارتك، بينما المهمة المريبة تُصمَّم لتجعلك تنفّذ ملفاً بعينه على جهازك.

العلامات المتكرّرة التي تستحق التوقّف

لا توجد علامة واحدة حاسمة، لكن اجتماع عدة علامات يرفع الشك:

• حساب حديث أو فارغ: ملف شخصي بلا تاريخ واضح، أو صورة عامة، أو شبكة علاقات قليلة لا تضمّ موظفين حقيقيين في الشركة نفسها.
• مشروع كامل بدل اختبار: بدلاً من مسألة محدّدة، تصلك شيفرة تطبيق متكامل فيه مكتبات كثيرة وملفات إعداد، ويُطلب منك تشغيله أولاً.
• إصرار على التشغيل المحلي: رفض أي بديل مثل المراجعة المكتوبة أو بيئة اختبار على الإنترنت.
• مستودع جديد: تاريخ تعديلات قصير أو حساب ناشر لا علاقة واضحة له بالشركة.
• عجلة غير مبرّرة: موعد تسليم خلال ساعات مع تلميح بأن الفرصة ستذهب لغيرك.

هذه العلامات تشترك جزئياً مع ما جمعناه في علامات احتيال التوظيف، لكن الخطر هنا تقني لا مالي فقط.

ملفات قد تعمل تلقائياً عند فتح المشروع

يظنّ كثيرون أن الخطر يبدأ عند تشغيل التطبيق نفسه، لكن بعض الأوامر تعمل قبل ذلك. من الأمثلة المعروفة:

• سكربتات التثبيت: في مشاريع Node.js قد يحتوي ملف package.json على أوامر مثل preinstall أو postinstall تُنفَّذ تلقائياً عند تثبيت المكتبات.
• مهام المحرر: بعض المحررات تقرأ مجلد إعدادات داخل المشروع، مثل .vscode/tasks.json، وقد تُضبط مهمة لتعمل عند فتح المجلد إن منحت المشروع الثقة.
• مكتبات مضافة: اعتماد على حزمة باسم قريب من حزمة مشهورة، أو ملف شيفرة مضغوط يصعب قراءته داخل مجلد عادي.
• أوامر مخفية: سطر طويل غير مقروء أو نص مرمّز داخل ملف إعداد لا يحتاجه الاختبار.

لذلك عندما يسألك المحرر هل تثق بمؤلفي هذا المجلد، فالجواب الآمن قبل المراجعة هو الفتح في الوضع المقيّد.

ما تطلبه قبل التنزيل

من حقك كمرشّح أن تطلب معلومات قبل أن تعطي وقتك وجهازك. اطلب بأسلوب مهني:

1. مكالمة فيديو قصيرة مع مسؤول التوظيف أو المدير التقني.
2. رابط موقع الشركة الرسمي وصفحة الوظيفة المنشورة فيه.
3. مراسلة من بريد على نطاق الشركة بدلاً من بريد مجاني.
4. وصفاً مكتوباً للمهمة: ما المطلوب، وكم ساعة تحتاج، وكيف تُقيَّم.

يمكنك أن تكتب: «يسعدني إنجاز المهمة، وقبل البدء أرجو تزويدي بصفحة الوظيفة على موقعكم وموعد لمكالمة قصيرة».

انتبه إلى أن نجاح المكالمة يقلّل الخطر ولا يثبت سلامة المشروع؛ فالمحتال قد يتقن المقابلة. المكالمة خطوة تحقّق، وليست شهادة أمان.

كيف تتحقّق من مسؤول التوظيف والشركة

ابدأ من الشركة لا من الشخص. ابحث عن موقعها الرسمي من محرك البحث مباشرة لا من الرابط المرسل إليك، ثم تأكّد أن الوظيفة منشورة في صفحة الوظائف لديها. راجع صفحة الشركة على لينكدإن وموظفيها، وهل يظهر مسؤول التوظيف بينهم بتاريخ عمل منطقي. إن لم تكن معتاداً على المنصة، يساعدك دليل استخدام لينكدإن للبحث عن عمل.

يمكنك أيضاً مراسلة الشركة عبر البريد المنشور في موقعها وسؤالها هل هذا الشخص يمثّلها فعلاً. وإن كانت الشركة صغيرة بلا حضور واسع، فاتّبع الأسئلة الواردة في مقال البحث عن شركة صغيرة قبل المقابلة. وتذكّر أن هذه القائمة تقلّل الخطر ولا تكشف كل حالة؛ فبعض المحتالين ينتحلون أسماء شركات حقيقية وموظفين حقيقيين.

لا تشغّله على جهاز يحوي بياناتك المهمة

إن قرّرت المتابعة، فالقاعدة الأساسية: لا تشغّل مشروعاً مجهولاً على الجهاز الذي فيه محفظة عملات رقمية، أو كلمات مرور محفوظة في المتصفح، أو حسابات بنكية، أو ملفات عملائك ومفاتيح وصولهم.

• اقرأ ملفات الإعداد والسكربتات أولاً قبل أي أمر تثبيت.
• استعمل بيئة معزولة مثل جهاز افتراضي أو حاوية لا تحمل حساباتك الشخصية.
• سجّل الخروج من المتصفح داخل تلك البيئة، ولا تضع فيها أي مفتاح وصول حقيقي.
• إن لم تملك بيئة معزولة، فاطلب من الشركة بديلاً بدلاً من المخاطرة.

العزل لا يلغي الخطر كلياً، لكنه يحصر الضرر المحتمل بعيداً عن بياناتك الأساسية.

إن كنت شغّلته فعلاً

لا تتجاهل الأمر بحجة أن شيئاً لم يحدث؛ فالبرامج الخبيثة عادة تعمل بصمت. تصرّف بالترتيب:

1. افصل الجهاز المشتبه به عن الإنترنت.
2. من جهاز آخر نظيف، غيّر كلمات مرور بريدك أولاً، ثم الحسابات البنكية ومنصات العمل الحر ومستودعات الشيفرة.
3. فعّل التحقق بخطوتين، وسجّل الخروج من كل الجلسات النشطة.
4. ألغِ مفاتيح الوصول ورموز الاستخدام المحفوظة على الجهاز، وأنشئ بدائل جديدة.
5. إن كانت لديك محفظة رقمية على الجهاز، فانقل ما فيها إلى محفظة جديدة أُنشئت على جهاز نظيف.
6. راجع سجلّ الدخول في حساباتك وأي معاملات لم تقم بها، وأبلغ عملاءك إن كانت بياناتهم معرّضة.
7. استشر مختصاً تقنياً لتنظيف الجهاز أو إعادة تثبيت النظام.

كيف تعتذر أو تطلب بديلاً دون خسارة فرصة حقيقية

الشركة الجادة تفهم الحذر الأمني، بل قد تعدّه نقطة لصالحك. يمكنك أن تكتب: «أفضّل ألا أشغّل شيفرة خارجية على جهاز عملي حفاظاً على بيانات عملائي. هل يمكن أن أنفّذ المهمة في بيئة اختبار على الإنترنت، أو أن أرسل مراجعة مكتوبة للشيفرة، أو أن نحلّ مسألة مباشرة في مكالمة؟».

إن رُفض أي بديل وزاد الضغط، فهذا بحدّ ذاته معلومة مهمة. وإن احتجت وقتاً للتحقّق، فاطلب تأجيلاً لطيفاً كما في مقال تأجيل المقابلة أو الاعتذار عنها. وتذكّر أن حدود المهمة نفسها قابلة للنقاش، كما شرحنا في مهمة التجربة غير المدفوعة.

أسئلة شائعة

هل كل اختبار برمجي منزلي احتيال؟

لا. أغلب الاختبارات المنزلية مشروعة، والحذر المطلوب هو مراجعة ما تشغّله لا رفض كل مهمة.

هل يكفي أن أفتح المشروع دون تشغيله؟

الفتح في الوضع المقيّد أكثر أماناً، لكن تثبيت المكتبات أو منح الثقة للمجلد قد ينفّذ أوامر. اقرأ الملفات أولاً.

هل يمكنني استخدام الذكاء الاصطناعي في المهمة؟

هذا سؤال مختلف يتعلّق بقواعد الشركة، وقد ناقشناه في استخدام الذكاء الاصطناعي في المهمة المنزلية.

هل المكالمة الناجحة تعني أن المشروع آمن؟

لا. هي تقلّل الاحتمال فقط، ويبقى فحص الملفات والعزل ضرورياً.

أين أجد نصائح أوسع عن احتيال العمل عن بُعد؟

راجع دليل تجنّب النصب في وظائف العمل عن بُعد.

الحذر لا يعني الخوف من كل فرصة، بل التحقّق قبل أن تمنح أحداً مفاتيح جهازك. وعندما تكون جاهزاً للبحث عن فرص موثوقة، تصفّح الوظائف المنشورة على Job In Syria وتابع الجديد يومياً.