Dlaczego oferty pracy zdalnej stały się celem oszustów
Celem wielu osób szukających pracy zdalnej jest znalezienie stabilnego, wygodnego zatrudnienia bez wychodzenia z domu. Dla oszustów to idealne środowisko: komunikacja odbywa się wyłącznie online, dokumenty i dane przekazywane są przez formularze lub komunikatory, a presja szybkiego znalezienia pracy ułatwia manipulację. Rozpoznanie fałszywych ogłoszeń o pracy zdalnej i ochrona danych do kont staje się jednym z kluczowych nawyków bezpieczeństwa online.
Frazy, które dobrze oddają sedno problemu: oszustwa na oferty pracy zdalnej, fałszywi rekruterzy w social media, wyłudzanie danych logowania przez ogłoszenia, jak sprawdzić ogłoszenie o pracę, fałszywe portale z pracą, bezpieczna rekrutacja online, phishing na kody SMS i 2FA, kradzież konta bankowego przy rekrutacji, weryfikacja firmy przed rozmową, checklista bezpieczeństwa przy szukaniu pracy.
Normalizacja rekrutacji online – raj dla cyberprzestępców
Praca zdalna stała się normą w wielu branżach. Cały proces – od pierwszego kontaktu, przez rozmowy rekrutacyjne, po podpisanie umowy – coraz częściej odbywa się wyłącznie w sieci. Dla uczciwych firm to oszczędność czasu i pieniędzy, dla oszustów – znakomita okazja, by ukryć swoją tożsamość.
Gdy nikt nie oczekuje spotkania twarzą w twarz, znika naturalny filtr: nie widać biura, nie ma wizytówki, nie ma recepcji firmy. Wystarczy ładnie przygotowana strona internetowa, konto w social media i kilka ogłoszeń na portalach z pracą. Oszust nie musi wynajmować lokalu ani drukować umów – wystarczy mu kilka dobrze przygotowanych szablonów maili i zautomatyzowane formularze.
Dodatkowo duża część kandydatów szuka pracy w pośpiechu: wysyłają dziesiątki CV dziennie, aplikują jednym kliknięciem, nie czytają regulaminów portali. To środowisko sprzyja temu, by „wcisnąć” podejrzaną ofertę między dziesiątki prawdziwych ogłoszeń.
Dlaczego w sieci łatwiej podszyć się pod firmę niż w świecie offline
Podszycie się pod realną firmę w świecie offline wymaga sporo zachodu: pieczątki, fałszywe umowy, czasem nawet wynajęte biuro. W internecie to kilkadziesiąt minut pracy.
Najczęstsze techniki:
Podobna domena internetowa – zamiast firmaXYZ.pl pojawia się firma-xyz.com lub firmaxyz-career.net. Dla osoby zerkającej na adres tylko przez sekundę wygląda to wystarczająco wiarygodnie.
Fałszywe profile rekruterów – zdjęcie stockowe lub skradzione z LinkedIn, opis stanowiska „HR Specialist w [znana marka]”, kilka losowych kontaktów, kilka postów przeklejonych z prawdziwych profili. Oszust nie potrzebuje więcej, by wyglądać jak legitymująca się osoba z działu HR.
Kopiowanie treści z prawdziwych ogłoszeń – oszust bierze opis stanowiska ze znanego portalu, zmienia tylko dane kontaktowe i wkleja na Facebooku, w grupie ogłoszeń lub na mniej znanym serwisie.
Wszystko to powoduje, że nawet osoba technicznie obeznana może na pierwszy rzut oka uznać taką ofertę za prawdziwą. Dlatego kluczowy jest nie jeden „magiczny trik”, ale konsekwentny, krok po kroku, sposób weryfikacji.
Jakie dane próbują wyłudzić fałszywi pracodawcy zdalni
Fałszywe ogłoszenia o pracy zdalnej rzadko chcą „tylko” Twojego CV. Ich celem są dane, które dają dostęp do pieniędzy, tożsamości lub innych kont. Najczęściej próbowane do wyłudzenia:
Loginy i hasła do:
poczty e-mail,
portali społecznościowych,
serwisów z płatnościami,
bankowości internetowej.
Kody SMS i 2FA – rzekomo potrzebne do „weryfikacji tożsamości pracownika” lub „podpisania umowy online”. Prawdziwym celem jest przejęcie Twojego konta, najczęściej bankowego, giełdy krypto lub skrzynki e‑mail.
Zdjęcia dokumentów – dowód osobisty z obu stron, paszport, prawo jazdy, czasem też skan karty płatniczej. Preteksty: „potwierdzenie, że masz ukończone 18 lat”, „wymogi działu kadr” czy „procedury AML” w rzekomej firmie finansowej.
Dane do przelewów i logowania do banku – oszust prosi o wykonanie przelewu testowego, podanie loginu do banku, formularz „podpięcia konta do systemu wypłat”.
Same dane osobowe z CV (adres, telefon, doświadczenie) też są wartościowe – mogą posłużyć do kradzieży tożsamości, otwarcia konta na Twoje nazwisko czy dalszych ataków phishingowych. Jednak dla większości grup przestępczych najbardziej opłacalne są dane dające szybki dostęp do pieniędzy lub kont o wysokiej wartości (np. social media z dużą liczbą obserwujących).
Realistyczny przykład: idealna oferta z social media kończy się prośbą o logowanie do banku
Wyobraź sobie taką sytuację: przewijasz Facebooka i widzisz ogłoszenie w grupie „Praca zdalna – cały kraj”. Tytuł: „Asystent ds. administracji – praca zdalna, 6000 zł netto, elastyczne godziny, bez doświadczenia”. Ogłoszenie wygląda na profesjonalne: logo znanej firmy logistycznej, opis obowiązków skopiowany z realnych ofert, link do formularza aplikacyjnego.
Krok 1: wypełniasz formularz, podajesz imię, nazwisko, telefon, e‑mail. Krok 2: po godzinie ktoś odzywa się na WhatsAppie z numeru zagranicznego, przedstawia się jako „Koordynator HR”, wysyła ci plik PDF z „instrukcją wdrożenia” z logo tej samej firmy. Krok 3: dostajesz link do panelu „pracownika”, na stronie z bardzo podobnym logo, ale pod dziwną domeną. Panel pokazuje przyszłe „zadania” i obiecuje pierwszą wypłatę już po tygodniu.
Krok 4: oszust tłumaczy, że firma wypłaca wynagrodzenie automatycznie, dlatego musi „podpiąć Twoje konto bankowe do systemu”. Prosi, żebyś zalogował się do banku przez specjalny link z panelu, „dzięki czemu system sam zajmie się integracją”. Strona logowania wygląda identycznie jak strona Twojego banku. Po wpisaniu loginu i hasła, a potem kodu SMS, oszust ma pełny dostęp do Twojego konta.
Od pierwszego kliknięcia w ogłoszenie do utraty pieniędzy mija czasem mniej niż godzina – szczególnie jeśli proces jest dopracowany, a kandydat jest pod presją finansową.
Co sprawdzić: pierwsze założenie bezpieczeństwa przy ofertach zdalnych
Podstawowa zasada: każda oferta pracy zdalnej to potencjalny wektor ataku, niezależnie od portalu, na którym ją widzisz. Nawet duże serwisy nie są w stanie wychwycić wszystkich fałszywych ogłoszeń od razu.
Kiedy widzisz ogłoszenie o pracy zdalnej, zastosuj proste założenie startowe:
Krok 1: Załóż, że ogłoszenie może być fałszywe, dopóki nie udowodnisz sobie, że jest prawdziwe (a nie odwrotnie).
Krok 2: Rozdziel dwa obszary – oceniasz ofertę pracy oraz bezpieczeństwo procesu. Możesz chcieć dokładnie takie stanowisko, ale proces rekrutacji może być skrajnie niebezpieczny.
Krok 3: Ustal, gdzie są Twoje „twarde granice” – jakich danych nigdy nie podasz na etapie rekrutacji (np. loginu i hasła do banku, kodów SMS, pełnego skanu dowodu wysłanego na komunikator).
Co sprawdzić po przeczytaniu pierwszego ogłoszenia:
czy nazwa firmy jest podana w sposób jednoznaczny,
czy ogłoszenie wygląda jak standardowa oferta z danej branży,
czy wymagania i zarobki nie są „magicznie” zawyżone przy braku odpowiedzialności,
czy sposób kontaktu i aplikacji jest typowy dla poważnego pracodawcy,
czy jesteś gotowy poświęcić kilkanaście minut na weryfikację, zanim wyślesz dane.
Jak działa typowe oszustwo „na pracę zdalną” – schemat krok po kroku
Krok 1: Przyciągająca oferta, która ma skłonić do szybkiej reakcji
Pierwszym etapem jest zawsze stworzenie oferty, która przyciąga uwagę i obniża czujność. Oszuści testują różne warianty tytułów i opisów, obserwują, na które ludzie reagują najczęściej, a następnie powielają najbardziej skuteczne schematy.
Typowe cechy takiej „idealnej” oferty:
Wysokie, często nierealne zarobki w stosunku do wymaganych umiejętności („6500–8000 zł netto, bez doświadczenia, praca 3–4 godziny dziennie”).
Brak realnych wymagań („wystarczy telefon z dostępem do Internetu”, „wystarczy podstawowa znajomość obsługi komputera”).
Silnie eksponowane benefity („pieniądze od pierwszego dnia”, „zaliczka na start”, „sprzęt firmowy wysyłany od razu do domu”).
Szerokie, mało konkretne nazwy stanowisk („asystent online”, „konsultant ds. obsługi aplikacji”, „praca zdalna przy komputerze”).
Oszust nie chce, byś długo się zastanawiał – jego celem jest, byś kliknął „Aplikuj” zanim porównasz tę ofertę z innymi czy sprawdzisz firmę. Stąd nacisk na emocje: wysoka pensja, elastyczność, brak stresu, start „od jutra”.
Krok 2: Szybki kontakt i presja czasu – „musimy działać dziś”
Gdy tylko zostawisz swoje dane, kolejnym etapem jest natychmiastowy kontakt. Zwykle pojawia się on w ciągu kilku minut lub godzin. Oszust wie, że im dłużej czekasz, tym większa szansa, że zaczniesz myśleć krytycznie lub znajdziesz inne oferty.
Najczęstsze schematy kontaktu:
Wiadomość na komunikatorze (WhatsApp, Telegram, Messenger) – „Dzień dobry, tu [imię] z działu HR, otrzymaliśmy Twoje zgłoszenie, gratulacje, przeszedłeś wstępną selekcję”.
Mail z adresu łudząco podobnego do firmowego – w treści dużo pochwał („Twoje CV idealnie pasuje do profilu”), link do panelu lub formularza.
Telefon z nieznanego numeru – szybka rozmowa z dużą ilością pozytywnych informacji i prośbą o natychmiastowe uzupełnienie danych w „systemie rekrutacyjnym”.
W tym etapie pojawia się pierwsza presja czasu:
„Mamy tylko dwa wolne miejsca, kto pierwszy przejdzie weryfikację, ten podpisze umowę”.
„System rekrutacyjny zamyka się dziś o 18:00, proszę wypełnić formularz jak najszybciej”.
„Jeśli nie zdąży Pan/Pani dziś, będziemy zmuszeni przekazać ofertę kolejnym kandydatom”.
Ta presja ma jeden cel: uniemożliwić spokojną analizę i niezależną weryfikację firmy. W normalnej rekrutacji presja czasu praktycznie nie występuje – pracodawca może się spieszyć, ale nigdy nie uzależnia dostępu do etatu od natychmiastowego kliknięcia w link czy zrobienia przelewu.
Krok 3: „Weryfikacja” i formularze do wypełnienia – pierwszy moment zagrożenia
Następny etap to różnego rodzaju formularze, testy, panele rekrutacyjne i strony „weryfikacji tożsamości”. W wielu uczciwych procesach rekrutacyjnych również występują formularze, dlatego ten krok jest szczególnie trudny do oceny.
Najczęstsze elementy tego etapu:
Formularz rekrutacyjny na zewnętrznej stronie – teksty typu „regulamin”, „RODO”, „polityka prywatności” mają stworzyć wrażenie legalności.
Panel „kandydata” lub „pracownika” – po zalogowaniu widzisz zadania testowe, harmonogram szkoleń, przycisk „aktywuj konto” lub „aktywuj wypłaty”.
Prośba o dołączenie do grupy na komunikatorze – rzekoma „grupa szkoleniowa nowych pracowników”, w rzeczywistości przestrzeń do masowej manipulacji.
Na tym etapie oszust może prosić o:
szczegółowe dane osobowe (PESEL, seria i numer dowodu, adres zameldowania),
skany dokumentów,
dane do logowania do różnych serwisów „niezbędnych do pracy” (poczta, komunikatory, panel banku).
Problem polega na tym, że uczciwe firmy rzeczywiście zbierają część tych danych – ale zwykle po podpisaniu realnej umowy i w bezpieczny sposób (np. przez wewnętrzny system kadrowy, który potrafisz powiązać z oficjalną stroną firmy). W fałszywych procesach „weryfikacja” jest kluczowym elementem scenariusza wyłudzenia.
Krok 4: Prośba o dane logowania, kody SMS lub przelew – moment krytyczny
Krok 4 (ciąg dalszy): różne odmiany żądania pieniędzy i dostępu do konta
W momencie, gdy pojawia się temat pieniędzy lub logowania do banku, scenariusz zwykle przyspiesza. Oszust chce, żeby decyzje zapadały pod wpływem emocji: ekscytacji, strachu, obietnicy szybkiego zysku.
Najpopularniejsze warianty tego etapu:
„Kaucja” lub „opłata aktywacyjna” – rzekomo zwrotna, jeśli „nie przejdziesz okresu próbnego”. Przelew ma być wykonany natychmiast, najlepiej z linku w panelu.
„Weryfikacja konta do wypłat” – system „sprawdza Twoją zdolność do przyjmowania przelewów”, wymagane jest zalogowanie do bankowości przez zewnętrzny link.
„Zakup pakietu startowego” – dostęp do aplikacji, materiałów lub „oprogramowania firmowego”, które trzeba kupić z własnych środków.
„Błąd przelewu” – fałszywy przelew na Twoją korzyść, po którym „trzeba tylko odesłać część środków”, zanim cokolwiek realnie zobaczysz na koncie.
Częstym błędem kandydatów jest myślenie: „to tylko 200–300 zł, najwyżej stracę małą kwotę, a może się opłaci”. Problem w tym, że jednorazowy przelew często nie jest celem. Prawdziwym celem jest:
uzyskanie dostępu do Twojego konta (loginy, kody SMS, autoryzacje BLIK),
pozyskanie danych do dalszych kradzieży (np. kredyty na Twoje nazwisko),
sprzedanie Twoich danych innym grupom przestępczym.
Jeżeli na tym etapie zadasz kilka konkretnych pytań (o umowę, dane firmy, alternatywny sposób rozliczeń), często pojawia się zniecierpliwienie, przyspieszanie rozmowy lub straszenie, że „w takiej postawie nie będziemy mogli współpracować”. To wyraźny sygnał, że jedynym celem drugiej strony jest jak najszybsze zamknięcie transakcji, nie zaś rzetelny proces rekrutacyjny.
Co sprawdzić na etapie „płacenia za pracę”:
czy jakiekolwiek opłaty są jasno opisane w ogłoszeniu i umowie,
czy możesz zapłacić w zwykły sposób (np. faktura, przelew na rachunek firmy z oficjalnej strony), a nie tylko z linku wysłanego w komunikatorze,
czy znasz pełną nazwę firmy, jej numer KRS/NIP i masz możliwość spokojnej weryfikacji,
czy ktoś oczekuje od Ciebie danych do logowania, kodów SMS, zdjęć karty płatniczej – jeśli tak, natychmiast przerwij kontakt.
Krok 5: Utrzymanie pozorów „normalnej pracy”, żeby ukryć oszustwo
Po przejęciu środków lub danych część oszustów znika od razu. Coraz częściej jednak starają się jak najdłużej utrzymać pozory, by ofiara nie blokowała konta i nie zgłaszała sprawy.
Jak to wygląda w praktyce:
dostajesz „zadania” do wykonania – np. klikanie w reklamy, wystawianie fikcyjnych opinii, przepisywanie prostych tekstów,
na panelu pojawiają się wirtualne kwoty – saldo „wynagrodzenia”, prowizje, premie, które nie mają żadnego związku z realnymi pieniędzmi,
jesteś uspokajany i chwalony – „świetne wyniki”, „jesteś w top 10 pracowników”, „jeszcze tylko jedna weryfikacja i przelew ruszy”.
Celem jest opóźnienie Twojej reakcji: masz wierzyć, że „to tylko kwestia czasu”, więc nie kontaktujesz banku, nie zmieniasz haseł, nie zgłaszasz sprawy policji. W tym czasie na Twoich kontach mogą dziać się rzeczy, o których dowiesz się dużo później.
Co sprawdzić, gdy już „pracujesz”:
czy otrzymałeś podpisaną umowę (choćby elektronicznie), zawierającą dane firmy i Twoje obowiązki,
czy potrafisz powiązać panel logowania z oficjalną stroną firmy (ta sama domena, certyfikat, spójne dane kontaktowe),
czy choć raz zobaczyłeś realny przelew na swoje konto, a nie tylko obietnice i zrzuty ekranu,
czy w jakimkolwiek momencie prosili Cię o złamanie regulaminów portali, banków, sklepów („konto musi być na Ciebie, ale będzie używane służbowo”).
Źródło: Pexels | Autor: Thirdman
Sygnały ostrzegawcze w samym ogłoszeniu o pracy zdalnej
Niejasna lub zmienna nazwa firmy
Punkt wyjścia to zawsze to, kto tę pracę oferuje. W fałszywych ogłoszeniach nazwa firmy bywa celowo rozmyta albo zmienia się w trakcie kontaktu.
Na co zwrócić uwagę:
w ogłoszeniu widnieje tylko „międzynarodowa korporacja”, „partner globalnej marki”, „znana firma z branży e‑commerce” – bez konkretu,
w tytule jest nazwa popularnej marki, ale w treści już jej nie ma, brak też danych identyfikacyjnych (NIP, KRS, adres),
w trakcie rozmowy pojawia się inna nazwa firmy niż w ogłoszeniu („to tylko agencja pośrednicząca”, „teraz pracujesz dla spółki‑córki”).
Jeżeli nie możesz jednoznacznie wskazać, z jaką firmą podpiszesz umowę, traktuj to jako poważny sygnał ostrzegawczy.
Co sprawdzić przy nazwie firmy:
czy w ogłoszeniu podano pełną nazwę i formę prawną (sp. z o.o., SA itp.),
czy możesz znaleźć tę firmę w oficjalnych rejestrach (KRS, CEIDG),
czy nazwa w ogłoszeniu, umowie, stopce maila i na stronie internetowej jest identyczna.
Obietnice bez pokrycia i „magiczne” warunki zatrudnienia
Oszustwie ogłoszenia są budowane na silnych obietnicach: wysokie zarobki, zero odpowiedzialności, praca „dla każdego”. Tu łatwo złapać się na emocje.
Typowe czerwone flagi:
brak górnej granicy zarobków przy braku realnych zadań („zarabiaj ile chcesz, bez limitu, bez doświadczenia”),
zero odpowiedzialności i wymagań przy wysokiej pensji („nie wymagamy CV, nie pytamy o doświadczenie, 7000 zł netto na start”),
natychmiastowy start – „możesz zacząć jeszcze dziś”, „pieniądze jutro”, brak jakichkolwiek etapów rozmów.
Krok 1: porównaj ofertę z kilkoma innymi z tej samej branży. Krok 2: jeśli dana propozycja odstaje mocno „w górę” od rynkowych warunków przy minimalnych wymaganiach, załóż, że to przynęta. Uczciwe firmy walczą o kandydatów, ale nie znoszą praw rynku.
Co sprawdzić przy warunkach finansowych:
czy ogłoszenie podaje przedział wynagrodzenia powiązany z zakresem obowiązków,
czy pojawiają się słowa typu „gwarantowane”, „bez żadnych ryzyk”, „bez wkładu własnego” przy jednoczesnych zyskach,
czy ktoś sugeruje, że „bankowość elektroniczna” będzie częścią zadań, mimo że stanowisko brzmi całkowicie inaczej.
Nietypowy sposób aplikacji: wyłącznie komunikator lub zewnętrzny link
Solidne firmy dbają o to, aby proces rekrutacji był możliwy do odtworzenia i zgodny z przepisami. Dlatego preferują aplikacje przez własną stronę, znane portale lub przynajmniej dedykowany adres e‑mail w domenie firmowej.
Jeżeli ogłoszenie wymusza na Tobie jeden z poniższych sposobów aplikacji, zachowaj szczególną ostrożność:
„Wyślij wiadomość na WhatsApp na numer…” – bez alternatywy w postaci adresu e‑mail w domenie firmy,
link skrócony (bit.ly, tinyurl i podobne) jako jedyna droga do formularza aplikacyjnego,
formularz na zupełnie obcej domenie, której nie da się powiązać z nazwą firmy (np. „career‑job‑online123.info”).
Ryzykowny błąd: „kliknę tylko, zobaczę”. Już samo wejście na nieuczciwą stronę może oznaczać wyciek danych (cookies, fingerprinting przeglądarki), a w skrajnych przypadkach instalację złośliwego oprogramowania.
Co sprawdzić przed kliknięciem „Aplikuj”:
czy możesz aplikować przez oficjalną stronę firmy (sekcja „Kariera”, „Praca”),
czy link prowadzi do domeny, której część główna (np. „nazwafirmy.pl”) jest zgodna z nazwą firmy,
czy istnieje alternatywny sposób kontaktu (np. adres rekrutacja@nazwafirmy.pl, telefon do działu HR z oficjalnej strony).
Brak informacji o formie zatrudnienia i realnych obowiązkach
Fałszywe ogłoszenia często opisują pracę w sposób maksymalnie ogólny. Ma być „łatwo, przyjemnie i zdalnie”. Kiedy pytasz o szczegóły, odpowiedzi są wymijające albo obiecują, że „wszystko wyjaśni się po zalogowaniu do panelu”.
Sygnały ostrzegawcze:
brak wskazania formy zatrudnienia (umowa o pracę, zlecenie, B2B), a jedynie „współpraca”, „kontrakt”, „projekt”,
opis obowiązków, który równie dobrze pasuje do dziesiątek różnych ról („obsługa systemu”, „nadzór nad procesem”, „praca w zespole online”),
odmowa przesłania przykładowych zadań lub wyjaśnienia, za co dokładnie dostajesz wynagrodzenie.
Krok 1: spróbuj własnymi słowami opisać, co miałbyś robić przez pierwsze dwa tygodnie pracy. Krok 2: jeśli po przeczytaniu ogłoszenia nadal nie potrafisz tego zrobić, coś jest nie tak.
Co sprawdzić w opisie stanowiska:
czy wymienione są konkretne zadania (np. liczba telefonów, rodzaj dokumentów, typ klientów),
czy wiesz, do kogo formalnie raportujesz (stanowisko przełożonego, dział),
czy już w ogłoszeniu pojawia się minimum informacji o procesie rekrutacji (rozmowa, test, umowa).
Błędy językowe, niespójności i „kopiuj‑wklej” z innych ofert
Nie każde ogłoszenie z błędem ortograficznym jest oszustwem, ale połączenie wielu niechlujnych elementów powinno włączyć lampkę ostrzegawczą.
Na co zwrócić uwagę:
dziwne, dosłowne tłumaczenia z obcego języka („proszę nacisnąć przycisk aplikować, aby zaprezentować swoje umiejętności”),
mieszanka różnych stanowisk w jednym opisie („asystent administracji / operator kryptowalut / specjalista sprzedaży online”),
fragmenty tekstu, które ewidentnie pochodzą z innych branż (np. opis pracy magazynowej w ofercie „copywritera zdalnego”).
Przestępcy często kopiują fragmenty opisów z legalnych ogłoszeń, ale nie dbają o spójność. Celem jest ilość, nie jakość.
Co sprawdzić przy jakości ogłoszenia:
czy opis stanowiska jest wewnętrznie spójny (branża, zakres obowiązków, wymagania),
czy ta sama treść nie pojawia się masowo w innych miejscach pod różnymi nazwami firm (wyszukiwarka, wyszukanie fragmentów tekstu w cudzysłowie),
czy styl językowy ogłoszenia pasuje do rzekomej wielkości i renomy firmy.
Weryfikacja firmy i rekrutera – jak sprawdzić, z kim naprawdę rozmawiasz
Krok 1: Sprawdzenie firmy w publicznych rejestrach i wyszukiwarkach
Zanim podasz jakiekolwiek dane wrażliwe, upewnij się, że firma faktycznie istnieje i działa w deklarowanej branży. To zajmuje kilka minut, a może oszczędzić wielotygodniowych problemów.
Praktyczne kroki:
wyszukaj nazwę firmy + „KRS” lub „CEIDG” – zobacz, czy dane z ogłoszenia pokrywają się z wpisem (adres, profil działalności),
sprawdź NIP i REGON, jeśli są podane – czy należą do tej samej firmy,
poszukaj opinii („nazwa firmy + opinie”, „nazwa firmy + oszustwo”, „nazwa firmy + praca zdalna”) – pojedyncza negatywna opinia niczego nie przesądza, ale seria podobnych historii to wyraźny sygnał.
Krok 2: Weryfikacja danych kontaktowych i domeny internetowej
Kiedy podstawowe dane firmy wyglądają poprawnie, kolejnym etapem jest sprawdzenie, czy osoba rekrutująca i kanały kontaktu faktycznie są z nią powiązane.
Krok 1: przyjrzyj się dokładnie adresowi e‑mail:
czy używa domeny firmowej (np. imię.nazwisko@nazwafirmy.pl),
czy domena w adresie e‑mail ma niepokojące dodatki (np. nazwa_firmy.hr@gmail.com, nazwa‑firmy‑rekrutacja@outlook.com),
czy adres nie jest zbudowany z losowych ciągów znaków sugerujących konto masowo zakładane tylko do spamu.
Krok 2: porównaj domenę maila i strony internetowej:
wejdź na oficjalną stronę firmy z wyszukiwarki i zobacz, jakiej domeny używa (np. nazwafirmy.com zamiast nazwa‑firmy‑global.com),
sprawdź, czy domena w ogłoszeniu nie jest łudząco podobna, ale inna (zamiana liter, dopisane „‑career”, inny kraj w końcówce),
jeśli firma jest międzynarodowa, zobacz, czy domena regionalna (np. .pl) faktycznie należy do tej samej grupy kapitałowej.
Krok 3: zweryfikuj numery telefonów i komunikatory:
wpisz numer w wyszukiwarkę i zobacz, czy pojawia się na oficjalnych stronach firmy,
sprawdź, czy ten sam numer nie figuruje w serwisach ostrzegających przed spamem i wyłudzeniami,
jeśli kontakt ma się odbywać wyłącznie przez komunikator, poszukaj w internecie, czy firma faktycznie prowadzi rekrutacje w taki sposób.
Typowy błąd: uznanie, że „jak ktoś ma stopkę z logo firmy, to na pewno tam pracuje”. Stopki w mailach i zdjęcia profilowe na komunikatorach są banalnie proste do podrobienia.
Co sprawdzić przy danych kontaktowych:
czy adres e‑mail i numer telefonu znajdują się na oficjalnej stronie firmy lub w jej profilach w mediach społecznościowych,
czy domena w adresie e‑mail jest identyczna (co do litery) z domeną strony firmowej,
czy osoba rekrutująca jest w stanie podać alternatywny, oficjalny kanał kontaktu (np. telefon stacjonarny do biura, skrzynkę ogólną HR).
Krok 3: Sprawdzenie rekrutera w serwisach zawodowych i społecznościowych
Profesjonalni rekruterzy zostawiają po sobie cyfrowy ślad: profile na LinkedIn, udział w wydarzeniach branżowych, publikacje. Fałszywe konta są zwykle „puste” lub wyglądają przesadnie idealnie.
Krok 1: wyszukaj rekrutera po imieniu i nazwisku:
sprawdź, czy profil na LinkedIn jest powiązany z tą samą firmą, która oferuje pracę,
zwróć uwagę na historię zatrudnienia – czy wygląda naturalnie, czy pojawia się wiele krótkich, niespójnych okresów,
zobacz, od kiedy profil istnieje – konta stworzone „wczoraj” z kilkoma ogólnymi informacjami budzą uzasadnione podejrzenia.
Krok 2: zestaw informacje z różnych źródeł:
porównaj zdjęcie rekrutera z wynikami wyszukiwania obrazem (czy nie jest to stock lub zdjęcie znanej osoby),
zobacz, czy ta sama osoba nie „pracuje” jednocześnie w kilku firmach w różnych krajach,
jeśli rekruter powołuje się na konkretne stanowisko (np. HR Manager), upewnij się, że firma ma taką osobę na stronie „O nas” lub w strukturze organizacyjnej.
Przykład z praktyki: kandydat otrzymał wiadomość od „Senior Recruiter w globalnym banku”. Profil miał jedno zdjęcie, minimalne dane, zero aktywności. Po weryfikacji okazało się, że prawdziwy rekruter o tym samym nazwisku od dawna pracuje w zupełnie innej branży i mieszka w innym kraju.
Co sprawdzić przy profilu rekrutera:
spójność danych: firma, stanowisko, lokalizacja,
obecność historii zawodowej i realnych interakcji (rekomendacje, komentarze, wpisy),
czy rekruter ma powiązania z innymi pracownikami firmy (wspólne miejsce pracy, obserwacje, sieć kontaktów).
Krok 4: Kontakt weryfikacyjny z firmą oficjalnym kanałem
Kiedy coś nie do końca się zgadza, wykonaj dodatkowy krok – skontaktuj się z firmą bezpośrednio, korzystając z danych znalezionych samodzielnie, a nie przekazanych w ogłoszeniu.
Krok 1: znajdź oficjalne dane kontaktowe:
wejdź na stronę firmy wpisując jej nazwę w wyszukiwarkę, a nie klikając link z ogłoszenia,
odszukaj zakładki „Kontakt”, „Kariera”, „Praca”,
zanotuj numer telefonu do biura lub adres mailowy ogólny (np. hr@, rekrutacja@, kontakt@).
Krok 2: zadaj proste, konkretne pytania:
czy firma prowadzi rekrutację na stanowisko o podanej nazwie,
czy osoba X (imię i nazwisko rekrutera) faktycznie współpracuje z działem HR,
czy proces rekrutacji obejmuje takie etapy, o jakich wspomina rekruter (np. logowanie do panelu, instalacja aplikacji).
W uczciwej firmie pracownik recepcji, sekretariatu lub HR albo potwierdzi rekrutację, albo jasno powie, że nic im o niej nie wiadomo. Brak jednoznacznej odpowiedzi lub agresywne unikanie tematu to powód, żeby natychmiast przerwać proces.
Co sprawdzić przy kontakcie z firmą:
czy osoba po drugiej stronie słyszała o takiej rekrutacji i takim stanowisku,
czy potwierdza imię i nazwisko rekrutera oraz sposób prowadzenia procesu,
czy otrzymasz oficjalny, firmowy adres e‑mail, z którego będą wysyłane dalsze informacje.
Krok 5: Analiza dokumentów i „paneli rekrutacyjnych”
Coraz częściej oszuści podszywają się pod legalne procesy, tworząc fałszywe panele kandydatów, generując „umowy” i „regulaminy”. Pojawiają się tam sprytne zapisy, które wymuszają podanie danych do kont bankowych lub instalację aplikacji.
Krok 1: przyjrzyj się adresowi strony panelu:
czy panel rekrutacyjny znajduje się w tej samej domenie co strona firmy (np. kariera.nazwafirmy.pl),
czy adres nie zawiera losowych ciągów znaków, dodatków typu „secure‑login‑panel” w obcej domenie,
czy połączenie jest szyfrowane (https), ale jednocześnie – czy certyfikat SSL faktycznie wystawiono dla tej firmy, a nie dla anonimowej spółki z innego kraju.
Krok 2: oceń treść dokumentów:
czy w umowie lub regulaminie są pełne dane firmy (nazwa, adres, NIP/KRS),
czy pojawiają się zapisy o konieczności „użyczenia konta bankowego” lub „prowadzenia rozliczeń w imieniu klienta”,
czy dokument wymaga uzupełnienia loginów, haseł, kodów autoryzacyjnych – co jest absolutnie niedopuszczalne.
Jeśli cokolwiek w dokumentach brzmi tak, jakby Twoje konto miało służyć do „tymczasowego przechowywania środków” lub „pomocy w realizacji płatności” – to klasyczny schemat prania pieniędzy z wykorzystaniem tzw. „słupa”.
Co sprawdzić przy panelach i dokumentach:
czy nazwa i dane firmy w dokumentach są identyczne z tymi z oficjalnych rejestrów,
czy panel rekrutacyjny jest logiczną częścią infrastruktury IT firmy (domena, styl graficzny, regulamin),
czy nie pojawia się żądanie podania haseł, kodów SMS, numeru karty lub dostępu do bankowości elektronicznej.
Bezpieczna komunikacja z „pracodawcą” – jak nie oddać dostępu do kont
O jakie dane może poprosić legalny pracodawca, a o jakie nigdy
Rozróżnienie między danymi potrzebnymi do rekrutacji a danymi używanymi do wyłudzeń to klucz do bezpieczeństwa. Kiedy wiesz, co jest standardem, łatwiej wychwycisz nadużycie.
Dane, o które uczciwy pracodawca może poprosić w trakcie rekrutacji lub tuż przed podpisaniem umowy:
imię i nazwisko,
adres e‑mail i numer telefonu,
miasto zamieszkania (czasem pełen adres – dopiero na etapie umowy),
podstawowe informacje zawodowe (CV, doświadczenie, wykształcenie),
PESEL i numer dowodu – co do zasady dopiero na etapie podpisywania umowy, a nie przy pierwszej rozmowie,
numer konta bankowego – dopiero do wypłaty wynagrodzenia.
Dane, o które nikt uczciwy nie poprosi w rekrutacji na pracę zdalną:
loginy i hasła do bankowości elektronicznej, kont e‑mail, serwisów społecznościowych,
kody SMS z banku lub aplikacji mobilnej,
zdjęcia lub skany karty płatniczej (z obu stron!),
pełne dane kart (numer, data ważności, CVV/CVC),
upoważnienia do pełnego dostępu do rachunku,
zalogowanie się „wspólne” przez udostępniony ekran lub program do zdalnego pulpitu w celu „weryfikacji płatności”.
Co sprawdzić przy prośbach o dane osobowe:
na jakim etapie rekrutacji proszą o wrażliwe dane (PESEL, skan dowodu) – zbyt wcześnie to zły znak,
czy prośba ma podstawę prawną i jest opatrzona informacją o administratorze danych (RODO),
czy da się to zweryfikować w polityce prywatności na oficjalnej stronie firmy.
Najczęstsze socjotechniczne chwyty związane z „weryfikacją tożsamości”
Wielu oszustów nie prosi wprost o hasła. Zamiast tego buduje scenę, w której sam podajesz wszystko, bo chcesz „dokończyć rekrutację”.
Najpopularniejsze chwyty:
„Musimy potwierdzić, że konto bankowe należy do Ciebie” – proszą o wykonanie przelewu testowego, zalogowanie się do banku przy włączonym udostępnianiu ekranu lub przesłanie zrzutów ekranu z saldem,
„To tylko aplikacja do komunikacji służbowej” – w rzeczywistości jest to program do zdalnego pulpitu, który daje im pełny wgląd w Twoje działania,
„Aktywujemy Twój profil pracownika przez weryfikację karty” – musisz podać pełne dane karty, bo „zostanie pobrana i natychmiast zwrócona drobna opłata”.
Krok 1: zatrzymaj się zawsze, gdy słyszysz słowa „weryfikacja tożsamości” lub „aktywacja konta” powiązane z bankiem lub kartą. Krok 2: zadaj pytanie, czy możesz skorzystać z oficjalnych procedur banku (np. samodzielny kontakt z infolinią) zamiast pośrednictwa rekrutera.
Co sprawdzić przy „weryfikacjach”:
czy metoda weryfikacji jest zgodna z praktykami banku i przepisami (skontaktuj się z bankiem na własną rękę),
czy można ją wykonać bez udostępniania pulpitu ani kodów SMS,
czy w ogóle jest potrzebna na etapie rekrutacji – najczęściej nie jest.
Bezpieczne korzystanie z udostępniania ekranu i zdalnego pulpitu
W legalnej pracy zdalnej zdarzają się sytuacje, w których trzeba udostępnić ekran (np. na onboardingu, przy konfiguracji narzędzi). Różnica polega na tym, co i komu pokazujesz.
Zasady bezpiecznego udostępniania ekranu:
nie otwieraj w tym czasie żadnych stron bankowych, skrzynek e‑mail ani komunikatorów prywatnych,
zamknij wszystkie dokumenty zawierające dane osobowe lub firmowe,
używaj udostępniania tylko pojedynczego okna, a nie całego pulpitu, jeśli to możliwe.
Oprogramowanie do zdalnego pulpitu (AnyDesk, TeamViewer i podobne) powinno zapalić czerwoną lampkę, jeśli:
ma zostać zainstalowane przed podpisaniem jakiejkolwiek umowy,
rekruter chce przez nie „pomóc w rejestracji konta” lub „wypełnić formularz bankowy”,
ktoś próbuje przejąć pełną kontrolę nad myszką i klawiaturą, a nie tylko oglądać ekran.
Najczęściej zadawane pytania (FAQ)
Jak rozpoznać fałszywe ogłoszenie o pracy zdalnej?
Na początek przyjmij założenie, że ogłoszenie może być fałszywe, dopóki nie znajdziesz dowodów, że jest prawdziwe. Nietypowo wysokie zarobki „bez doświadczenia”, ogólne opisy obowiązków, brak jednoznacznej nazwy firmy i kontakt wyłącznie przez komunikator powinny od razu zapalić lampkę ostrzegawczą.
Krok 1: sprawdź, czy firma jest jasno nazwana i da się ją znaleźć w sieci w kilku niezależnych źródłach. Krok 2: porównaj ogłoszenie z innymi ofertami w tej branży – czy stawki i wymagania nie są „magicznie” korzystne. Krok 3: oceń sposób kontaktu – poważni pracodawcy rzadko proszą o pierwszą rozmowę wyłącznie na WhatsAppie/Telegramie z prywatnego numeru.
Co sprawdzić: nazwę firmy, domenę strony, adres e‑mail (czy jest „firmowy”), zakres obowiązków, poziom wynagrodzenia na tle rynku.
Jak sprawdzić, czy rekruter i firma są prawdziwi, zanim podam dane?
Krok 1: wpisz nazwę firmy + „opinie”, „praca”, „oszustwo” w wyszukiwarce. Brak jakichkolwiek śladów lub wyłącznie świeżo założona strona to sygnał ostrzegawczy. Krok 2: wejdź na oficjalną stronę firmy (samodzielnie wpisując adres w przeglądarkę) i zobacz, czy ogłoszenie faktycznie tam widnieje lub czy rekruter figuruje w zakładce „Zespół/HR”.
Krok 3: porównaj dane kontaktowe – adres e‑mail, numer telefonu, domenę z ogłoszenia z tymi na oficjalnej stronie. Jeśli firma X ma domenę „firmaX.pl”, a rekruter pisze z „firma-x-career.com”, zachowaj maksymalną ostrożność. W razie wątpliwości zadzwoń na numer z oficjalnej strony i zapytaj, czy taka rekrutacja trwa.
Co sprawdzić: obecność firmy w KRS/CEIDG, spójność domen, profil rekrutera na LinkedIn (czy ma historię, kontakty, aktywność, a nie pusty profil ze zdjęciem stockowym).
Jakich danych nigdy nie podawać podczas rekrutacji online?
Nawet przy prawdziwej ofercie na etapie rekrutacji nie podawaj danych logowania do jakichkolwiek kont. Dotyczy to w szczególności: loginów i haseł do poczty, social mediów, bankowości, serwisów płatniczych, paneli giełd krypto. Nikt uczciwy nie potrzebuje ich do zatrudnienia.
Druga kategoria to kody SMS i 2FA – jednorazowe hasła, które przychodzą z banku czy innych serwisów. Podanie takiego kodu „do weryfikacji tożsamości pracownika” to najkrótsza droga do przejęcia konta bankowego lub e‑mail. Bądź też bardzo ostrożny z wysyłaniem skanów dokumentów tożsamości przed podpisaniem umowy z potwierdzoną firmą.
Co sprawdzić: czy prośba dotyczy: loginu, hasła, kodu SMS, pełnego skanu dowodu/karty, „przelewu testowego”, logowania do banku przez cudzy link. Jeśli tak – przerwij kontakt.
Czy normalne jest logowanie się do banku przez link od pracodawcy, żeby „podpiąć konto do wypłat”?
Nie. Żaden wiarygodny pracodawca nie wymaga logowania do bankowości przez przesłany link ani podawania danych do logowania. Do wypłaty wynagrodzenia wystarczy numer konta bankowego w formacie IBAN, czasem dodatkowo oświadczenie do celów podatkowych – i to zwykle już po podpisaniu umowy.
Prośby w stylu „zaloguj się przez nasz system, żeby podpiąć konto do wypłat” albo „wykonaj przelew testowy, aby aktywować profil pracownika” to klasyczny schemat wyłudzenia. Nawet jeśli strona wygląda identycznie jak Twój bank, wpisanie tam danych i kodu SMS daje oszustowi dostęp do środków.
Co sprawdzić: czy wystarczy sam numer konta, czy ktoś usiłuje pośredniczyć w Twoim logowaniu do banku. Jeżeli pojawia się jakiekolwiek „zaloguj się do banku przez nasz system” – natychmiast zakończ proces.
Jak bezpiecznie sprawdzić link do panelu „pracownika” z ogłoszenia o pracy zdalnej?
Krok 1: nie klikaj automatycznie. Najpierw najedź kursorem na link i sprawdź pełen adres (URL). Podejrzane są: literówki w nazwie firmy, dodatkowe słowa typu „-career”, „-jobs-online” w dziwnych domenach, rozszerzenia .xyz, .top, .online przy znanych markach.
Krok 2: zamiast wchodzić przez link z ogłoszenia, otwórz nową kartę i samodzielnie wpisz oficjalny adres firmy. Szukaj zakładki „Kariera” lub „Oferty pracy” i sprawdź, czy tam pojawia się ten sam panel/ogłoszenie. Jeśli panel pracownika istnieje tylko pod linkiem z wiadomości, a nie na oficjalnej stronie – wstrzymaj się.
Co sprawdzić: domenę (czy należy do firmy), certyfikat HTTPS (kłódka to za mało, ale jej brak to czerwony alarm), wygląd strony na tle oficjalnej witryny (logo, język, styl, poprawność językowa).
Otrzymałem idealną ofertę z social media – co zrobić, zanim wyślę CV i dane?
Krok 1: zrób zrzut ekranu ogłoszenia i zapisz link – w razie oszustwa ułatwi to zgłoszenie sprawy. Krok 2: wykonaj podstawową weryfikację: firma, rekruter, domena, opinie w sieci. Nie daj się presji „rekrutacja tylko dziś”, „mamy ostatnie wolne miejsce”. To techniki mające przyspieszyć Twoją decyzję.
Krok 3: ogranicz dane na start – w CV nie umieszczaj numeru PESEL, skanów dokumentów, szczegółów o rodzinie. Na etapie pierwszego kontaktu wystarczą: imię i nazwisko, e‑mail, telefon, doświadczenie zawodowe. Wszystko, co wykracza poza standardowe CV, traktuj jako podejrzane.
Co sprawdzić: jakie dane faktycznie są potrzebne na tym etapie, czy ogłoszenie jest dostępne również na oficjalnych portalach lub stronie firmy, czy rekruter nie unika rozmowy głosowej/wideo i kontaktu przez oficjalne kanały.
Co zrobić, jeśli podałem dane (np. kod SMS, login do banku) fałszywemu „pracodawcy”?
Krok 1: natychmiast skontaktuj się z bankiem przez oficjalny numer infolinii lub aplikację i zgłoś podejrzenie oszustwa – poproś o zablokowanie dostępu do bankowości i kart. Krok 2: zmień hasła do wszystkich kont, które mogły być powiązane (poczta, portale społecznościowe, serwisy płatnicze). Jeśli wszędzie używałeś tego samego hasła, zmień je we wszystkich miejscach.
Opracowano na podstawie
Cybersecurity Awareness for Remote Work. European Union Agency for Cybersecurity (ENISA) (2021) – Zalecenia bezpieczeństwa przy pracy zdalnej, ryzyka socjotechniki
Phishing and Social Engineering Attacks. National Institute of Standards and Technology (NIST) (2020) – Opis technik phishingu, w tym wyłudzania danych logowania i 2FA
Remote Work Security Guidance. Cybersecurity and Infrastructure Security Agency (CISA) (2020) – Wytyczne ochrony kont i danych przy pracy zdalnej
Bezpieczeństwo w sieci – poradnik dla użytkowników. NASK – Państwowy Instytut Badawczy – Ogólne zasady ochrony danych, ostrzeżenia przed fałszywymi ofertami
Oszustwa „na pracę” – komunikat ostrzegawczy. Komenda Główna Policji – Przykłady oszustw rekrutacyjnych i zalecenia weryfikacji ofert
