Legalnie wyglądająca oferta pracy z Facebooka prowadzi do fałszywej rekrutacji podszywającej się pod prawdziwą markę

Klikasz reklamę na Facebooku, widzisz logo znanej firmy, konkretną nazwę stanowiska, widełki wynagrodzenia i przycisk „Aplikuj”. Strona po przejściu z reklamy wygląda poprawnie, rekruter podpisuje się imieniem i nazwiskiem, a kolejne wiadomości przypominają standardową procedurę HR. Problem zaczyna się dopiero wtedy, gdy okazuje się, że firma jest prawdziwa, ale rekrutacja nie ma z nią nic wspólnego.

To właśnie ten wariant oszustwa jest trudniejszy do wychwycenia niż prymitywna oferta „500 zł dziennie bez doświadczenia”. Przestępcy nie muszą tworzyć fikcyjnego przedsiębiorstwa. Kopiują identyfikację wizualną istniejącej marki, fragment prawdziwego ogłoszenia, dane spółki, zdjęcia pracowników, a czasem również wygląd firmowej strony kariery. Kandydat sam znajduje później markę w KRS, CEIDG albo Google i uznaje, że wszystko się zgadza. Tyle że zweryfikował istnienie firmy, a nie osobę, która właśnie do niego pisze.

Prawdziwa marka nie oznacza prawdziwej rekrutacji

Schemat zaczyna się zwykle od elementu, który nie budzi podejrzeń: posta, reklamy sponsorowanej albo wpisu udostępnionego w grupie z ofertami pracy. Sam fakt, że materiał pojawił się na Facebooku w profesjonalnej formie reklamowej, nie potwierdza, że reklamodawcą jest firma widoczna na grafice.

Dalej kandydat jest przeprowadzany przez kilka etapów, które mają budować wiarygodność. W praktyce taki proces często wygląda następująco:

• reklama wykorzystuje nazwę i logo istniejącej marki;

• opis stanowiska jest skopiowany z autentycznej oferty albo napisany na tyle szczegółowo, że nie przypomina typowego spamu;

• przycisk prowadzi do formularza, strony imitującej portal kariery lub bezpośredniej rozmowy;

• kontakt zostaje przeniesiony na Messenger, WhatsApp lub Telegram;

• „rekruter” zadaje kilka normalnie brzmiących pytań o doświadczenie i dyspozycyjność;

• później pojawia się formularz z danymi, prośba o dokument, płatność, instalację aplikacji albo wykonanie operacji finansowej.

Nie jest to scenariusz teoretyczny. CSIRT NASK już wcześniej opisywał kampanie, w których sprawcy podszywali się m.in. pod Allegro, Asseco i BrainHub, oferując dobrze płatne stanowiska i przekierowując kandydatów do dalszego kontaktu przez WhatsApp.

Najbardziej niebezpieczny moment przychodzi wtedy, gdy kandydat jest już psychologicznie „po rozmowie”. Dostał informację, że przeszedł pierwszy etap albo został wstępnie zaakceptowany. Prośba o kolejne dane zaczyna wtedy wyglądać jak administracyjna formalność.

Tu przydaje się bardzo konkretne kryterium. Zgodnie z art. 22¹ Kodeksu pracy pracodawca może na etapie ubiegania się o zatrudnienie żądać takich danych jak imię i nazwisko, data urodzenia, wskazane przez kandydata dane kontaktowe, a w uzasadnionych przypadkach także wykształcenie, kwalifikacje zawodowe i przebieg zatrudnienia. Od 24 grudnia 2025 r. informacje o przebiegu zatrudnienia nie obejmują danych o wynagrodzeniu otrzymywanym w obecnej ani poprzednich pracach.

Adres zamieszkania, PESEL i numer rachunku płatniczego należą co do zasady do danych pobieranych od pracownika, a nie do standardowego formularza dla osoby wysyłającej pierwszą aplikację. Istnieją sytuacje, w których dodatkowe dane stają się potrzebne później, na przykład przy realizacji obowiązków związanych z zatrudnieniem lub medycyną pracy. Dlatego sama prośba o PESEL nie przesądza automatycznie o oszustwie. Prośba o PESEL, skan dowodu i numer konta kilka minut po kliknięciu reklamy na Facebooku powinna jednak zatrzymać proces natychmiast.

Jeszcze prostsza granica dotyczy pieniędzy. Kandydat nie powinien płacić za możliwość rozpoczęcia rekrutacji, „aktywację konta pracownika”, gwarancję sprzętu czy odblokowanie wynagrodzenia. Opłata w wysokości 20, 50 czy 200 zł jest czasem celowo niewielka. Nie chodzi wyłącznie o pierwszą kwotę — przestępca sprawdza w ten sposób, czy ofiara wykonuje polecenia i czy można przejść do większych transakcji.

Szczególnie niebezpieczna jest „praca” polegająca na przyjmowaniu pieniędzy na własne konto i przesyłaniu ich dalej. To nie jest nieszkodliwe zadanie administracyjne. Kandydat może zostać wykorzystany jako muł finansowy, czyli pośrednik w przepływie środków pochodzących z przestępstwa.

Pięć minut weryfikacji jest warte więcej niż godzinny „interview” na komunikatorze

Najczęstszy błąd polega na sprawdzeniu nazwy firmy w Google i zakończeniu weryfikacji. Jeśli oszust podszywa się pod prawdziwą spółkę, taki test oczywiście wyjdzie pozytywnie.

Trzeba zweryfikować połączenie między ofertą, rekruterem i firmą.

Najpierw należy wejść na oficjalną stronę przedsiębiorstwa samodzielnie — nie przez link z reklamy, SMS-a czy wiadomości od rekrutera. Jeżeli firma ma zakładkę „Kariera”, sprawdź, czy znajduje się tam podobne stanowisko. Brak ogłoszenia nie zawsze oznacza oszustwo, ponieważ część rekrutacji prowadzona jest przez agencje albo sourcing bez publicznej oferty. W takiej sytuacji potrzebny jest kolejny krok.

Sprawdź adres e-mail. Różnica między:

anna.kowalska@firma.pl

a

anna.kowalska.firma@gmail.com

jest zasadnicza. Darmowa skrzynka nie dowodzi przestępstwa w małej działalności gospodarczej, ale osoba przedstawiająca się jako pracownik dużej międzynarodowej marki powinna być w stanie skontaktować się z firmowej domeny.

Trzeba patrzeć również na samą domenę. Fałszywy adres może zawierać dodatkowy myślnik, literę albo słowo „career”, np. nazwę podobną do firma-careers, podczas gdy rzeczywista organizacja korzysta z firma.pl. Kłódka przy adresie i protokół HTTPS nie potwierdzają tożsamości właściciela strony. Certyfikat szyfruje połączenie. Nie gwarantuje uczciwości serwisu.

Następny krok jest bardzo prosty, choć wiele osób go pomija: skontaktuj się z firmą kanałem znalezionym niezależnie od ogłoszenia. W przypadku dużej organizacji wystarczy centrala, oficjalny dział HR albo formularz na stronie przedsiębiorstwa. Pytanie może być krótkie: „Czy osoba o nazwisku X prowadzi obecnie rekrutację na stanowisko Y i czy ten adres jest Państwa formularzem?”.

Jeżeli ogłoszenie publikuje agencja zatrudnienia, dochodzi jeszcze jeden test. Od 1 czerwca 2025 r. obowiązuje ustawa o rynku pracy i służbach zatrudnienia, a agencja zatrudnienia ma obowiązek podawać numer wpisu do rejestru agencji zatrudnienia w dokumentach, ogłoszeniach i ofertach pracy. Oferty pracy tymczasowej muszą być dodatkowo oznaczone jako oferty pracy tymczasowej. Numer można porównać z rejestrem KRAZ. Sam skopiowany numer nadal nie wystarcza — nazwa podmiotu i dane kontaktowe również muszą się zgadzać.

Od 24 grudnia 2025 r. działa też nowa zasada dotycząca wynagrodzeń. Kandydat powinien dostać informację o początkowej wysokości wynagrodzenia albo jego przedziale z odpowiednim wyprzedzeniem: w ogłoszeniu, przed rozmową kwalifikacyjną, jeżeli informacji nie było wcześniej, albo przed nawiązaniem stosunku pracy, gdy wcześniejsze etapy nie wystąpiły. To przydatny punkt kontrolny, ale nie metoda potwierdzania autentyczności — oszust bez problemu wpisze atrakcyjne, zmyślone widełki.

Najwyższy priorytet mają więc trzy testy:

1. Czy oferta istnieje w kanale kontrolowanym przez firmę albo potwierdza ją firma?

2. Czy rekruter komunikuje się z adresu rzeczywiście należącego do organizacji lub zweryfikowanej agencji?

3. Czy zakres żądanych danych odpowiada etapowi rekrutacji?

Dopiero później warto analizować stylistykę wiadomości, literówki, profil rekrutera czy jakość strony. Te elementy są pomocnicze. Dobrze przygotowane oszustwo może nie mieć ani jednego błędu językowego.

Jeśli dane zostały już wysłane, kolejność działań ma znaczenie

Po odkryciu fałszywej rekrutacji ludzie często zaczynają od zgłoszenia posta na Facebooku. To potrzebne, ale nie powinno być pierwszą reakcją, jeśli sprawca otrzymał już dane osobowe, hasło, dokument albo informacje bankowe.

Zakres działań zależy od tego, co dokładnie zostało przekazane.

Jeżeli wysłane zostało wyłącznie CV zawierające imię, nazwisko, telefon, e-mail i historię zawodową, trzeba przede wszystkim przygotować się na kolejną falę phishingu. Oszust zna już pracodawców, stanowiska i numer telefonu, więc następna wiadomość może być znacznie lepiej dopasowana niż typowy spam. Szczególną ostrożność trzeba zachować wobec wiadomości o „uzupełnieniu dokumentów”, „weryfikacji tożsamości” czy „podpisaniu umowy”.

Jeśli przekazany został PESEL, skan dowodu osobistego albo większy zestaw danych identyfikacyjnych, priorytetem powinno być zastrzeżenie numeru PESEL. Usługa jest bezpłatna i dostępna m.in. w aplikacji mObywatel, serwisie mObywatel oraz w urzędzie gminy. Od 1 czerwca 2024 r. określone instytucje, w tym banki i firmy pożyczkowe, mają obowiązek sprawdzać rejestr zastrzeżeń przed wskazanymi czynnościami.

W mObywatelu można również sprawdzić historię związaną z PESEL, w tym kto weryfikował status jego zastrzeżenia. To ważne po incydencie, ponieważ nie każda próba wykorzystania danych będzie widoczna w skrzynce e-mail czy historii bankowej.

Jeżeli oszust otrzymał hasło do poczty, Facebooka lub innego serwisu, kolejność jest inna:

• zmień hasło, zaczynając od konta e-mail, bo poczta często służy do resetowania pozostałych kont;

• wyloguj aktywne sesje na innych urządzeniach;

• włącz uwierzytelnianie dwuskładnikowe;

• jeśli to samo hasło było używane w innych usługach, zmień je również tam;

• sprawdź reguły przekazywania wiadomości i filtry pocztowe — po przejęciu skrzynki przestępca może ustawić automatyczne przesyłanie korespondencji.

Jeżeli wpisane zostały dane bankowości elektronicznej albo zatwierdzono operację w aplikacji banku, kontakt z bankiem ma pierwszeństwo przed dalszym analizowaniem strony. Nie należy czekać na pojawienie się nieautoryzowanej transakcji.

Podejrzane SMS-y można przekazywać do CERT Polska na numer 8080, a cyberincydenty zgłaszać do CSIRT NASK. Gdy doszło do utraty pieniędzy, wykorzystania danych, próby zaciągnięcia zobowiązania albo innego przestępstwa, należy również zachować dowody i zgłosić sprawę Policji. Przydatne będą zrzuty ekranu reklamy, adres strony, numer telefonu, e-maile, dane rachunku odbiorcy, potwierdzenia przelewów oraz cała rozmowa z „rekruterem”.

Nie należy kasować wiadomości tylko dlatego, że wyglądają kompromitująco albo zawierają przesłane dane. Historia rozmowy jest materiałem dowodowym. Lepiej ją zabezpieczyć, a dopiero potem blokować konto sprawcy.

Najbardziej irytujący element takiego incydentu polega na tym, że nie istnieje jeden przycisk „cofnij dane”. Zmiana hasła rozwiązuje problem przejętego hasła, ale nie usuwa kopii dowodu znajdującej się u przestępcy. Zastrzeżenie PESEL ogranicza część ryzyka finansowego, lecz nie blokuje wszystkich możliwych sposobów wykorzystania danych. Dlatego reakcja musi odpowiadać temu, co faktycznie wyciekło, a nie temu, jak wyglądało samo ogłoszenie.

FAQ

Czy firma może poprosić o PESEL podczas rekrutacji?
Na typowym etapie wysłania CV i pierwszej rozmowy PESEL nie należy do podstawowego katalogu danych wymaganych od kandydata. Może stać się potrzebny na późniejszym etapie w związku z konkretnym obowiązkiem prawnym lub po zatrudnieniu. Jeżeli formularz z reklamy na Facebooku żąda od razu PESEL, skanu dowodu i danych rachunku, zatrzymaj proces i najpierw potwierdź rekrutację bezpośrednio w firmie.

Czy oferta sponsorowana na Facebooku jest bezpieczniejsza od zwykłego posta?
Nie należy traktować formatu sponsorowanego jako potwierdzenia, że osoba publikująca reklamę rzeczywiście reprezentuje markę widoczną na grafice. Tożsamość pracodawcy trzeba zweryfikować osobno, najlepiej przez oficjalną stronę lub dział HR.

Czy brak oferty na stronie firmy oznacza oszustwo?
Nie zawsze. Rekrutacja może być prowadzona bez publicznego ogłoszenia albo przez zewnętrzną agencję. Wtedy trzeba potwierdzić nazwisko rekrutera i konkretną rekrutację przez niezależny kanał firmy. Jeśli pośrednikiem jest agencja zatrudnienia, należy dodatkowo sprawdzić jej wpis w KRAZ.

Czy można wysłać rekruterowi skan dowodu z zasłoniętym numerem?
Najpierw trzeba odpowiedzieć na wcześniejsze pytanie: po co dokument jest potrzebny na tym etapie i jaka jest podstawa jego żądania. Maskowanie części danych ogranicza zakres ujawnionych informacji, ale nie naprawia sytuacji, w której dokument w ogóle nie powinien być wysyłany.

Co zrobić jako pierwsze po zorientowaniu się, że formularz był fałszywy?
Nie zaczynaj od zgłaszania reklamy. Najpierw zabezpiecz to, co zostało ujawnione. Po przekazaniu PESEL i danych dokumentu zastrzeż PESEL; po podaniu hasła zmień je i zabezpiecz konto; po podaniu danych bankowych lub zatwierdzeniu operacji skontaktuj się z bankiem. Dopiero równolegle zabezpiecz dowody i zgłaszaj fałszywą rekrutację.

Jaki jest najprostszy test przed wysłaniem danych?
Otwórz oficjalną stronę firmy niezależnie od reklamy i skontaktuj się z nią kanałem, którego nie podał rekruter. Potwierdzenie jednego zdania — „tak, prowadzimy tę rekrutację i ta osoba działa w naszym imieniu” — jest warte więcej niż logo, profesjonalny formularz i kilkadziesiąt wiadomości na WhatsAppie.

Pierwszą decyzją po zobaczeniu atrakcyjnej oferty z Facebooka powinno być więc sprawdzenie rekrutacji poza Facebookiem i poza linkami dostarczonymi przez rekrutera. Dopóki firma nie potwierdzi oferty niezależnym kanałem, nie przekazuj PESEL, dokumentów, danych bankowych ani pieniędzy.

Więcej na ten temat na stronie: https://itux.pl