Fałszywe oferty pracy przestały być marginesem. Stały się jednym z częstszych sposobów docierania do konkretnych osób — zwłaszcza specjalistów IT, finansów i osób z dostępem do firmowych systemów. Schemat jest powtarzalny: ktoś podszywa się pod rekrutera znanej marki, proponuje wyraźnie ponadprzeciętne warunki i prosi o wykonanie „zadania rekrutacyjnego”. W paczce z zadaniem znajduje się złośliwy kod, który wykrada dane logowania, klucze i zawartość portfeli kryptowalutowych.
Ten przewodnik pokazuje, po czym rozpoznać oszustwo, jak wyglądają najczęstsze scenariusze ataku i co robić na każdym etapie procesu, żeby szukanie pracy nie skończyło się utratą danych lub pieniędzy.
Materiał ma charakter edukacyjny i nie zastępuje analizy incydentu przez dział bezpieczeństwa, prawnika ani organy ścigania. Jeśli podejrzewasz przejęcie konta, infekcję urządzenia lub kradzież tożsamości, zabezpiecz dowody, nie uruchamiaj kolejnych plików i skontaktuj się ze specjalistą.
Dlaczego rekrutacja jest wygodnym pretekstem dla atakujących
Proces rekrutacyjny ma cechy, które wyjątkowo dobrze pasują do socjotechniki.
Emocje i presja czasu. Osoba szukająca pracy, która dostaje bardzo dobrą ofertę, działa szybciej i mniej krytycznie. Atakujący świadomie tę presję podkręcają.
Wymiana plików jest naturalna. CV, portfolio, zadanie testowe — przesyłanie dokumentów nikogo nie dziwi, więc złośliwy załącznik nie wygląda podejrzanie.
Zaufanie do marki. Logo dużej firmy w podpisie działa automatycznie, a niewiele osób sprawdza, czy nadawca rzeczywiście tam pracuje.
Rozproszenie kanałów. Kontakt bywa prowadzony przez portale społecznościowe, prywatną pocztę i komunikatory jednocześnie, co utrudnia weryfikację i zaciera obraz całości.
Dziesięć sygnałów ostrzegawczych
- Wynagrodzenie oderwane od rynku — stawka dwu- lub trzykrotnie wyższa niż typowa dla roli, bez wyjaśnienia.
- Kontakt z konta bez historii — świeży profil, niewiele powiązań, brak śladu wcześniejszej aktywności zawodowej.
- Sztuczna presja czasu — „decyzja musi zapaść dziś, bo zamykamy rekrutację”.
- Prośba o pobranie plików spoza standardowych narzędzi — archiwa, obrazy dysków, pliki wykonywalne z prywatnych dysków w chmurze.
- Zadanie wymagające uruchomienia kodu lokalnie — repozytorium z instrukcją instalacji zależności i startu aplikacji.
- Brak danych firmy — sama nazwa, bez adresu, numeru KRS i strony kariery.
- Komunikacja wyłącznie przez komunikatory — zamiast firmowej poczty i telefonu z centrali.
- Wczesna prośba o dane wrażliwe — PESEL, numer i skan dowodu, numer rachunku przed jakąkolwiek umową.
- Niespójności językowe — literówki, kalki z innego języka, mieszanie form grzecznościowych.
- Odmowa weryfikacji — brak zgody na rozmowę wideo lub kontakt przez oficjalny numer firmy.
Pojedynczy sygnał nie przesądza sprawy. Trzy lub więcej występujące razem to mocna przesłanka, żeby przerwać kontakt i sprawdzić fakty.
Jak wyglądają typowe scenariusze ataku
Zadanie rekrutacyjne z ukrytym kodem
Kandydat dostaje link do repozytorium z „projektem testowym”. Struktura wygląda standardowo, ale w jednym z plików pomocniczych ukryto fragment pobierający i wykonujący kod z zewnętrznego serwera. Uruchomienie projektu wystarcza, żeby atakujący uzyskał dostęp do kluczy SSH, haseł zapisanych w przeglądarce i plików lokalnych.
Jak się bronić: nie uruchamiaj nieznanego kodu na komputerze, na którym masz dane osobiste i firmowe. Jeśli musisz sprawdzić projekt, użyj maszyny wirtualnej lub kontenera bez dostępu do Twoich danych. Zanim cokolwiek uruchomisz, przejrzyj zależności i poszukaj wywołań wykonujących kod dynamicznie oraz nieoczekiwanych połączeń sieciowych.
Podstawione narzędzie lub instalator
Zamiast repozytorium kandydat dostaje „pakiet z instrukcjami” — archiwum albo obraz dysku zawierający zmodyfikowaną wersję popularnego narzędzia. Program działa normalnie, a w tle instaluje komponent utrzymujący zdalny dostęp.
Jak się bronić: oprogramowanie pobieraj wyłącznie ze stron producenta. Sprawdzaj podpis cyfrowy plików wykonywalnych. Traktuj obrazy dysków i archiwa przesłane komunikatorem jako niebezpieczne z założenia.
Wyłudzenie danych osobowych
„Rekruter” prosi o wypełnienie formularza przed podpisaniem NDA: PESEL, seria i numer dowodu, adres, czasem skan dokumentu. Dane trafiają następnie do wyłudzeń kredytowych lub przejęcia tożsamości.
Jak się bronić: pamiętaj, że pracodawca nie potrzebuje numeru PESEL ani skanu dowodu na etapie rekrutacji. Te dane stają się potrzebne dopiero przy zawieraniu umowy, u zweryfikowanego podmiotu.
Oszustwo „na koszty początkowe”
Rzadziej opisywany, ale częsty wariant: po „przyjęciu do pracy” pojawia się prośba o opłacenie szkolenia, sprzętu, badań albo pakietu startowego, zwykle z obietnicą zwrotu w pierwszej wypłacie.
Jak się bronić: legalny pracodawca nigdy nie przenosi kosztów rekrutacji ani wyposażenia na kandydata przed zatrudnieniem. Każda prośba o przelew na tym etapie oznacza oszustwo.
Checklista bezpieczeństwa
Zanim odpowiesz na ofertę
- Sprawdź profil osoby kontaktującej się: staż konta, historię aktywności, powiązania.
- Zweryfikuj firmę niezależnie: strona kariery, rejestr KRS, opinie, adres siedziby.
- Porównaj proponowane wynagrodzenie z raportami płacowymi dla danej roli i lokalizacji.
- Poszukaj tej samej oferty na oficjalnej stronie firmy. Jej brak jest wyraźnym sygnałem.
W trakcie procesu
- Przenieś komunikację na oficjalne kanały — firmowa poczta, telefon z centrali.
- Poproś o rozmowę wideo. Odmowa przy jednoczesnym naciskaniu na szybkie działanie jest bardzo mocnym sygnałem ostrzegawczym.
- Nie pobieraj plików z prywatnych dysków w chmurze ani z komunikatorów.
- Nie uruchamiaj żadnego kodu poza izolowanym środowiskiem.
Ochrona danych
- Nie podawaj numeru PESEL, numeru rachunku ani skanów dokumentów przed zawarciem umowy.
- Przygotuj publiczną wersję CV, bez adresu zamieszkania i innych zbędnych danych.
- Używaj osobnego adresu e-mail do rekrutacji.
- Włącz uwierzytelnianie dwuskładnikowe na poczcie, portalach zawodowych i repozytoriach kodu.
Co zrobić, gdy podejrzewasz oszustwo
- Przerwij kontakt. Nie klikaj w kolejne linki i nie pobieraj plików.
- Zabezpiecz dowody. Zachowaj korespondencję, adresy nadawców i linki — przydadzą się przy zgłoszeniu.
- Zgłoś ogłoszenie. Podejrzane ogłoszenie na ZatrudnijMnie możesz zgłosić przyciskiem zgłoszenia albo przez formularz kontaktowy.
- Powiadom firmę, pod którą podszywają się oszuści — zwykle ma zespół bezpieczeństwa przyjmujący takie sygnały.
- Sprawdź urządzenie, jeśli uruchomiłeś podejrzany plik: odłącz je od sieci i przeskanuj, a najlepiej poproś o pomoc specjalistę.
- Zmień hasła do kluczowych kont z innego, zaufanego urządzenia. Zacznij od poczty, bankowości i repozytoriów kodu.
- Zgłoś incydent do zespołu CERT Polska, a w przypadku strat finansowych lub kradzieży tożsamości — na policję.
Jak ograniczamy ryzyko na ZatrudnijMnie
Model odwróconej rekrutacji zmienia rozkład ryzyka: to kandydat publikuje ogłoszenie, a kontakt inicjuje rekruter z konta w serwisie.
- Konta rekruterskie i firmowe wymagają weryfikacji numeru NIP, więc za kontaktem stoi zidentyfikowany podmiot gospodarczy, a nie anonimowy profil.
- Dane kontaktowe i CV nie są publiczne — widzą je wyłącznie rekruterzy z aktywnym dostępem, na zasadach opisanych na stronie jak działa dostęp.
- Pliki CV są skanowane antywirusowo przed zapisaniem, a wymiana dokumentów odbywa się w obrębie serwisu.
- Każde ogłoszenie i zachowanie można zgłosić do weryfikacji.
Żaden serwis nie wyeliminuje jednak ryzyka całkowicie. Jeśli kontakt zaczyna przenosić się poza platformę, przyspieszać i wymagać plików lub danych wrażliwych, warto zatrzymać proces niezależnie od tego, gdzie się zaczął.
FAQ: bezpieczeństwo kandydata w rekrutacji
Czy prawdziwy rekruter prosi o zadanie z uruchomieniem kodu?
Rzadko. Większość firm korzysta z platform, na których zadanie wykonuje się w przeglądarce, w izolowanym środowisku. Prośba o pobranie projektu i uruchomienie go lokalnie powinna wzbudzić czujność — a jeśli już się na to decydujesz, użyj maszyny wirtualnej bez dostępu do Twoich danych.
Co zrobić, jeśli już uruchomiłem podejrzany kod?
Odłącz urządzenie od sieci, żeby przerwać ewentualną komunikację z serwerem atakującego. Z innego, zaufanego urządzenia zmień hasła do poczty, bankowości, repozytoriów i portfeli kryptowalutowych oraz wyloguj aktywne sesje. Następnie przeskanuj system i rozważ konsultację ze specjalistą — przy podejrzeniu poważnej infekcji bezpieczniejsza bywa ponowna instalacja systemu.
Jakie pliki są najbardziej niebezpieczne?
Największe ryzyko niosą pliki wykonywalne, obrazy dysków i archiwa z nieznanych źródeł. Dokumenty PDF i DOCX są bezpieczniejsze, ale również mogą zawierać makra lub odnośniki prowadzące do złośliwych stron, dlatego otwieraj je w trybie chronionym i nie włączaj makr na prośbę nadawcy.
Czy pracodawca może prosić o PESEL na etapie rekrutacji?
Nie ma takiej potrzeby. Dane identyfikacyjne w tym zakresie są potrzebne dopiero przy zawieraniu umowy i zgłoszeniu do ubezpieczeń. Prośba o PESEL, skan dowodu lub numer rachunku przed zatrudnieniem to jeden z najczęstszych sygnałów wyłudzenia.
Podsumowanie
Oszustwa rekrutacyjne działają nie dlatego, że są wyrafinowane technicznie, lecz dlatego, że trafiają w moment, w którym zależy Ci na szybkim wyniku. Najskuteczniejszą ochroną jest więc zwolnienie tempa: niezależna weryfikacja firmy, rozmowa wideo, oficjalne kanały kontaktu i konsekwentna odmowa uruchamiania nieznanego kodu oraz podawania danych wrażliwych przed umową.
Jeśli chcesz ograniczyć liczbę przypadkowych kontaktów, rozważ publikację ogłoszenia kandydata, w którym dane kontaktowe pozostają chronione, a stronę inicjującą rozmowę można zidentyfikować. Perspektywę drugiej strony procesu opisujemy w materiale Bezpieczeństwo w rekrutacji: przewodnik dla rekruterów, a praktyczne wskazówki dotyczące dokumentów znajdziesz w artykule CV w erze AI i ATS: przewodnik w 2026 roku.
