Una prueba de programación puede ser parte de un proceso de selección legítimo. Pero recibir un repositorio, un archivo comprimido o una invitación a instalar una herramienta no demuestra que quien te escribe represente a la empresa. Antes de ejecutar nada, verifica la identidad del contacto y el origen del material.
Esta guía se dirige a personas que buscan trabajo digital desde España, especialmente en desarrollo y soporte técnico. No pretende convertirte en analista de malware ni enseñarte a investigar archivos peligrosos. Su objetivo es ayudarte a reconocer cuándo detener una candidatura y pedir comprobaciones.
El riesgo está documentado, no es una sospecha sobre todas las ofertas
En su investigación publicada el 20 de febrero de 2025, ESET describió proyectos con software malicioso enviados como retos de selección a desarrolladores. La apariencia de tarea profesional era parte del engaño.
Unit 42 también ha documentado actividad de marzo y abril de 2026 que utilizaba una supuesta contratación y un proyecto de Visual Studio manipulado. En el caso analizado, cargar el proyecto podía activar acciones antes de que el candidato decidiera compilarlo.
No presentamos esos hechos como una campaña masiva confirmada en España. Sí existe un precedente español: ESET publicó en septiembre de 2023 el caso de una empresa aeroespacial cuyos empleados recibieron falsos retos de selección. Son investigaciones diferentes, con fechas distintas.
Verifica el proceso por un canal independiente
Busca la web corporativa escribiendo su dirección por tu cuenta. Localiza el apartado de empleo y comprueba si la vacante y el proceso tienen sentido. Si interviene una agencia, confirma qué relación tiene con la empresa y quién puede validar la candidatura.
Un perfil con fotografía, una conversación larga o un correo que incluye un logotipo no bastan. Tampoco la ausencia de la vacante en la web demuestra por sí sola un fraude: puede haber procesos confidenciales. En ese caso, pide una vía independiente para verificar al interlocutor antes de abrir archivos.
Puedes escribir: «Antes de instalar herramientas o ejecutar el proyecto, necesito confirmar el proceso desde un contacto corporativo verificable. ¿Podéis indicarme la referencia de la vacante y el canal de validación?».
Separa leer una propuesta de ejecutar código
Pregunta qué evalúa la prueba, cuánto tiempo estiman que requiere y qué debes entregar. Un enunciado claro permite discutir el trabajo sin empezar instalando programas. La presión para ejecutar algo inmediatamente impide hacer esa comprobación.
No trates abrir un proyecto completo como si fuera leer un documento. Los entornos de desarrollo pueden realizar tareas automáticas. Si no reconoces el origen, no sigas instrucciones para activar confianza, aceptar permisos o saltarte avisos simplemente porque el supuesto reclutador lo exige.
La documentación de confianza de Visual Studio explica los riesgos de manejar código desconocido y sus advertencias. Visual Studio y Visual Studio Code son productos distintos; no presupongas que sus controles se configuran igual.
Qué revisar antes de instalar dependencias
- Quién mantiene el repositorio y cómo has llegado a él.
- Si el enunciado explica por qué hacen falta esas herramientas.
- Si se piden permisos de administrador o cambios de seguridad que no entiendes.
- Si debes introducir credenciales, claves de API o datos de un cliente.
- Si la prueba exige trabajar dentro del equipo o las cuentas de tu empleo actual.
Una lista de archivos con nombres normales no certifica que el contenido sea seguro. Si no puedes valorar lo que te piden ejecutar, solicita otra forma de evaluación o revisión por una persona competente. No pegues comandos de un chat en la terminal para «comprobar qué pasa».
También evita subir material confidencial a servicios públicos de análisis. Que un archivo proceda de una candidatura no significa que puedas redistribuirlo libremente, y una herramienta automática tampoco ofrece una garantía absoluta.
El modo restringido ayuda, pero no sustituye la verificación
En Visual Studio Code, Workspace Trust permite mantener carpetas desconocidas en modo restringido, limitando funciones que pueden ejecutar código. Microsoft advierte de que una extensión maliciosa puede ignorar esas restricciones.
Por tanto, no conviertas «lo he abierto en modo restringido» en un permiso para instalar extensiones enviadas por un desconocido. No desactives la protección para completar un reto cuya procedencia sigue sin estar clara.
Una máquina virtual tampoco debe considerarse una solución mágica para cualquier candidato. Configurar un entorno de análisis requiere conocimientos y puede dejar accesibles archivos o cuentas. Si no dominas esa preparación, detenerte es una opción más prudente que improvisarla.
Protege tu trabajo actual y tus credenciales
No ejecutes material de selección en un equipo empresarial sin autorización. Tampoco uses datos reales de clientes para impresionar al evaluador. Si necesitas demostrar capacidades, prepara un ejemplo propio con datos ficticios o una explicación del enfoque.
Nuestra guía de portafolio en GitHub explica cómo presentar proyectos sin publicar secretos. Puede ayudarte a proponer una muestra verificable cuando una prueba solicita permisos o material que no deberías entregar.
Si pides una alternativa, propón revisar una muestra propia, explicar una solución en directo o responder a un enunciado sin instalar archivos ajenos. La respuesta del contacto no es una prueba definitiva, pero te permite mantener un límite claro.
Si ya has abierto algo sospechoso
Deja de seguir las instrucciones del contacto y conserva el contexto: mensajes, enlaces, nombres de archivos y acciones realizadas. No reenvíes el archivo para que otra persona lo ejecute «a ver si funciona».
Si afecta a un equipo de empresa, avisa a su responsable de seguridad y sigue su procedimiento. No borres pruebas ni prometas que todo está limpio porque no has visto una ventana extraña. Para un equipo personal, busca ayuda técnica de confianza antes de continuar utilizando accesos sensibles.
La regla práctica es verificar primero y ejecutar después. Un proceso profesional debe permitirte plantear preguntas razonables sobre seguridad sin obligarte a poner en riesgo tu equipo.
Fuentes revisadas el 26 de octubre de 2026. Portada ilustrativa de código, no archivo malicioso: Arnold Francisca en Unsplash, bajo licencia Unsplash.
