Il trucco nascosto nell’offerta di lavoro su LinkedIn
Negli ultimi giorni è emersa una segnalazione che ha fatto sobbalzare più di un esperto di sicurezza: un annuncio di lavoro pubblicato su LinkedIn conteneva, nascosto nel testo apparentemente innocuo, uno script capace di eseguire codice arbitrario sul computer del candidato. Non si tratta di un semplice phishing, ma di una vera e propria backdoor inserita direttamente nel corpo dell’annuncio, sfruttando la possibilità della piattaforma di accettare HTML ricco nei campi descrizione. Questo episodio, sebbene isolato, getta una luce cruda su quanto il processo di assunzione sia diventato un terreno di conquista per attori che vedono nei dati dei candidati una nuova frontiera di sorveglianza e profitto.
La scoperta è avvenuta grazie a un ricercatore indipendente che, dopo aver cliccato sul pulsante “Candidati”, ha notato una richiesta di connessione a un dominio esterno mai dichiarato nell’offerta. Analizzando il sorgente della pagina, ha trovato un blocco JavaScript ofuscato, attivato solo quando il curriculum veniva inviato tramite il modulo interno di LinkedIn. Lo script, una volta eseguito, apriva una porta nascosta verso un server di comando e controllo, permettendo agli aggressori di esfiltrare file, catturare schermate e persino attivare la webcam. Un vero e proprio trojan mascherato da opportunità professionale.
Come funziona la backdoor: dal click allo sfruttamento
Il meccanismo è sorprendentemente semplice, ma efficace grazie alla fiducia che gli utenti ripongono nel brand LinkedIn. L’annuncio appare come qualsiasi altro: titolo accattivante, azienda rispettabile, benefici allettanti. Nel campo descrizione, però, è inserito un tag script che punta a un file ospitato su un servizio di condivisione di codice poco noto. Quando l’utente compila il modulo di candidatura, il browser esegue lo script in background, senza alcun avviso visibile. La ofuscazione rende difficile l’individuazione anche a strumenti di scansione tradizionali, poiché il codice è diviso in piccoli frammenti ricomposti in fase di runtime.
Una volta attivato, il malware installa una persistente estensione del browser che monitora ogni attività legata alla ricerca di lavoro: keylogging, cattura di credenziali inserite in altri portali (Indeed, Glassdoor, siti aziendali) e invio periodico di dati a un server situato in una giurisdizione con scarse leggi sulla protezione dei dati. Il tutto avviene mentre il candidato crede di stare semplicemente inviando il proprio CV, ignaro di aver appena consegnato le chiavi della propria vita digitale a sconosciuti.
Chi ci guadagna? Big Tech, reclutatori e il mercato dei dati
La risposta non è difficile da intuire: chi possiede le infrastrutture di raccolta e chi trae profitto dalla vendita di profili dettagliati. Le grandi piattaforme di reclutamento, LinkedIn in testa, hanno trasformato il CV in una merce di scambio, vendendo accesso ai dati dei candidati a headhunter, agenzie di lavoro interinale e persino a compagnie assicurative che valutano il “rischio” di assunzione in base a tratti psicometrici estratti dai post pubblici. In questo ecosistema, una backdoor non è un bug, ma una feature potenziale: permette di raccogliere informazioni ancora più granulari, dalle abitudini di navigazione alle risposte emotive a determinati annunci.
Alcuni analisti hanno collegato questo episodio a un aumento delle richieste di dati da parte di fondi di investimento specializzati in “human capital analytics”, che pagano cifre elevate per ottenere modelli predittivi sul turnover e sulla produttività dei lavoratori. In pratica, più si conosce il candidato, più si può trattarlo come una variabile da ottimizzare, riducendo il costo del lavoro e aumentando il controllo sulle forze lavoro. La linea tra reclutamento e sorveglianza si fa sempre più sottile.
Chi ci perde? Lavoratori, precari e la sorveglianza algoritmica
Le vittime principali sono, ovviamente, i lavoratori stessi, soprattutto quelli più vulnerabili: neolaureati, freelance, migranti e persone in cerca di ricollocazione dopo periodi di disoccupazione. Questi gruppi tendono a fidarsi ciecamente delle piattaforme ufficiali, ritenendole luoghi sicuri dove costruire la propria carriera. Quando la fiducia viene tradita, il danno va oltre la perdita di dati: si genera un clima di sfiducia che scoraggia l’uso di strumenti digitali utili, spingendo molti verso soluzioni ancora più opache o verso il lavoro informale, dove i diritti sono ancora meno tutelati.
Inoltre, l’esistenza di tali backdoor alimenta il capitale di sorveglianza algoritmica: i dati raccolti possono essere usati per affinare sistemi di punteggio sociale, per escludere automaticamente candidati considerati “a rischio” sulla base di comportamenti fuori norma (ad esempio, frequente cambio di lavoro o partecipazione a movimenti di protesta). In questo modo, la tecnologia non solo viola la privacy, ma diventa uno strumento di esclusione sociale, rafforzando le gerarchie esistenti.
Alternative dal basso: reti di fiducia, cooperative di lavoro e software libero
Di fronte a questo scenario, la risposta non può essere solo tecnica, ma deve essere politica ed organizzativa. Alcune comunità di sviluppatori hanno iniziato a sperimentare piattaforme di reclutamento basate su software libero e protocolli decentralizzati, dove il controllo dei dati rimane nelle mani dei candidati. Progetti come JobChain (costruito su blockchain pubblica) o CoopHire (una cooperativa di lavoratori che gestisce un proprio elenco di offerte) dimostrano che è possibile creare spazi di incontro tra domanda e offerta senza passare attraverso i silos di Big Tech.
Un altro approccio è quello delle reti di fiducia locali: gruppi di lavoratori che condividono offerte verificate attraverso canali crittografati (Signal, Matrix) e che si impegnano a segnalare immediatamente qualsiasi anomalia. Queste pratiche, sebbene ancora di nicchia, rappresentano un modello di autodifesa tecnologica che si basa sulla solidarietà piuttosto che sulla sorveglianza.
Infine, è fondamentale rivendicare il diritto alla formazione sulla sicurezza digitale nei corsi di orientamento al lavoro. Università e centri per l’impiego dovrebbero includere moduli su come riconoscere annunci sospetti, come disattivare l’esecuzione di script nei browser e quali strumenti di analisi del codice utilizzare prima di interagire con un’offerta online. Solo attraverso la conoscenza condivisa si può ridurre il potere asimmetrico di chi tenta di sfruttare la fiducia altrui.
Conclusioni: riappropriarsi del processo di assunzione
La backdoor trovata in un annuncio di LinkedIn non è un incidente isolato, ma un sintomo di un modello economico che vede nei dati dei lavoratori una nuova fonte di profitto e di controllo. Mentre le grandi piattaforme continuano a promettere trasparenza e innovazione, la realtà mostra come il reclutamento sia diventato un campo di battaglia dove la privacy è merce di scambio e la sicurezza un optional.
Per invertire questa tendenza serve un cambio di paradigma: passare da piattaforme proprietarie e centralizzate a soluzioni open source, decentralizzate e gestite dalle stesse comunità di lavoratori. Solo così il processo di assunzione potrà tornare a essere uno strumento di emancipazione e non di sfruttamento. La tecnologia, quando è al servizio delle persone e non del potere, può davvero aprire porte – ma quelle giuste, senza trappole nascoste.