Tus candidatos creen que tu reclutador es falso. Demuéstrales que es real.

La suplantación de reclutadores consiste en que los estafadores se hacen pasar por los reclutadores de una empresa real, usando su nombre, su logotipo y dominios que imitan al suyo para defraudar a quienes buscan empleo. Se ha vuelto tan habitual que casi la mitad de los candidatos recibe hoy con recelo cualquier contacto legítimo de un reclutador, lo que obliga a los equipos de contratación reales a demostrar que no son una estafa antes incluso de poder iniciar una conversación. Eso significa que tus tasas de respuesta no caen porque tu prospección sea mala. Caen porque un candidato desconfiado no sabe distinguirte del fraude.

Si te dedicas a la captación o a la comunicación con candidatos y ves cómo tus tasas de respuesta se desploman mientras los candidatos te contestan pidiéndote que «demuestres que eres una persona real», esto es para ti. Aquí tienes los datos que hay detrás del desplome de la confianza, por qué un mejor texto no lo va a arreglar y las señales de confianza concretas que un reclutador legítimo puede desplegar de verdad.

Por qué los candidatos dan por hecho que tu reclutador es falso

El escepticismo ante el contacto no solicitado de un reclutador ya no es una reacción minoritaria. Se acerca a la postura mediana del candidato. En una encuesta de Monster a 884 trabajadores realizada a principios de marzo de 2026 (según informa HR Dive), el 95 % de quienes buscan empleo afirmó haberse topado con ofertas de trabajo sospechosas, más de la mitad había sido objetivo directo de estafadores y casi la mitad recibe ahora con escepticismo el contacto de los reclutadores.

Detente en esa última cifra. Aproximadamente una de cada dos personas a las que escribes en frío da por sentado, de entrada, que puedes estar tramando una estafa. No es paranoia. Están reconociendo un patrón en un entorno que las ha entrenado para ello.

El daño no es solo tiempo perdido, aunque de eso hay de sobra. Según los mismos datos de Monster, alrededor de un tercio de quienes buscan empleo declaró haber perdido tiempo investigando oportunidades falsas, casi una cuarta parte señaló sufrir estrés y ansiedad continuos y casi una cuarta parte había compartido información personal —como un correo o un número de teléfono— antes de darse cuenta de que era una estafa. Esa última cifra es la que debería preocupar a cualquier reclutador, porque facilitar datos de contacto y hacer clic en un enlace es exactamente lo que una candidatura normal le pide a un candidato. Los estafadores han enseñado a la gente a tratar el paso más básico de tu embudo como una amenaza.

¿Cómo de grande es en realidad el problema de las estafas laborales?

El desplome de la confianza es consecuencia de un daño económico real que crece a gran velocidad. Las cifras más sólidas provienen de los datos Consumer Sentinel de la Comisión Federal de Comercio de EE. UU. (FTC), y suben con fuerza.

Eso supone un crecimiento de más del triple entre 2020 y 2023, y solo la primera mitad de 2024 casi igualó el total de todo 2022 (FTC Data Spotlight, diciembre de 2024). La FTC también señala que la mayoría de los fraudes no se denuncian, así que estas cifras se quedan cortas frente al daño real.

Buena parte del repunte reciente procede de las «estafas de tareas», empleos falsos gamificados que muestran ganancias ficticias dentro de una app y luego exigen un depósito para desbloquear los pagos. La FTC contabilizó unas 20 000 denuncias de estafas de tareas en la primera mitad de 2024, frente a las aproximadamente 5 000 de todo 2023. Las criptomonedas se han convertido en el método de pago principal de estas estafas, con pérdidas de unos 41 millones de USD en el primer semestre de 2024 frente a los aproximadamente 21 millones de todo 2023 (FTC, diciembre de 2024). La maquinaria es cada vez más grande y más rápida.

Por qué las estafas envenenan la confianza en los reclutadores legítimos

Este es el mecanismo que convierte esto en tu problema en concreto. Los vectores de estafa dominantes son los SMS inesperados, los mensajes de WhatsApp, los correos y el contacto no solicitado de supuestos «reclutadores». Son exactamente los mismos canales que los reclutadores legítimos usan para escribir en frío a los candidatos.

Así que cuando las agencias de protección al consumidor dan consejos, esos consejos juegan directamente en tu contra. La recomendación de la FTC es tajante: un empleador real nunca te contactará mediante SMS genéricos inesperados ni mensajes de WhatsApp, nunca hay que pagar para cobrar y conviene ignorar los mensajes de empleo no solicitados. Vista desde fuera, cada una de esas advertencias describe un contacto de captación de lo más normal.

El resultado es que la prospección en frío legítima arranca hoy con desventaja. Antes de que un candidato lea tu propuesta, ya está aplicando una lista de comprobación antifraude, y tu mensaje activa la mitad de ella solo con existir. Los estafadores lo agravan falsificando nombres de empresas reales, copiando logotipos y registrando dominios que imitan a los auténticos, de modo que un candidato es realmente incapaz de distinguir a un reclutador real de un impostor solo por el contenido.

Las dos direcciones del fraude: candidatos falsos y reclutadores falsos

La suplantación de reclutadores es solo una cara de una ola de fraude con dos vertientes, y entender la otra cara explica por qué las defensas unilaterales fracasan.

La otra dirección es el fraude dirigido a los empleadores. El FBI advirtió ya en junio de 2022 de que los delincuentes usaban deepfakes e información de identificación personal robada para postularse a puestos remotos de TI y desarrollo de software, y una de las pistas era el desajuste del movimiento de labios durante las entrevistas por vídeo (FBI/IC3 PSA I-062822). Gartner ha proyectado que para 2028 uno de cada cuatro perfiles de candidatos en todo el mundo podría ser falso (Gartner, 2024, según informa HR Dive; tómalo como una proyección, no como una medición). Y el hecho de que ciudadanos norcoreanos se hagan pasar por trabajadores remotos de TI para infiltrarse en empresas estadounidenses es ya un patrón bien documentado y en marcha. Kit ha tratado esa amenaza concreta en el fraude de contratación de trabajadores de TI norcoreanos.

La suplantación de reclutadores es la imagen especular: ataques a los candidatos que utilizan la identidad del empleador. Ambos erosionan lo mismo: la capacidad de cada parte para confiar en que la otra es quien dice ser. Un stack de contratación que solo blinda el lado del empleador —cribando candidatos falsos sin hacer nada para demostrar tu propia legitimidad ante los reales— está defendiendo exactamente la mitad de la frontera.

Por qué un mejor texto de prospección no lo va a arreglar

El instinto, cuando caen las tasas de respuesta, es reescribir el mensaje. Un saludo más cálido. Un gancho más afilado. Más personalización. Aquí nada de eso funciona, y la razón es estructural.

Un atacante puede copiar tus palabras a la perfección. Puede apropiarse de tu logotipo, imitar tu tono, clonar el diseño de tu página de empleo y registrar un dominio que se diferencia del tuyo en un solo carácter. Un mejor texto no ayuda al candidato a distinguirte de quien te suplanta, porque el impostor simplemente copiará también tu mejor texto. No puedes ganarle a un falsificador escribiendo mejor.

Imagina el caso cotidiano. Un candidato recibe dos mensajes la misma semana. Uno es de un reclutador real de una startup de 40 personas. El otro es de un estafador que falsifica el logotipo de una marca conocida tras un dominio que la imita. Por contenido, los dos son indistinguibles; puede que incluso el estafador tenga el asunto más pulido. Lo que de verdad los separa es si el mensaje real llega firmado con DKIM desde un dominio verificado y enlaza a un portal con la marca de la empresa, propiedad de esta, en el que no hay que introducir ninguna contraseña. Todo lo que un candidato puede leer es falsificable. Solo la fontanería técnica no lo es.

Los únicos diferenciadores duraderos, por tanto, son las cosas que un atacante no puede falsificar de forma barata. Y eso no es el lenguaje. Es la infraestructura: un correo autenticado criptográficamente desde tu dominio real, un destino en un dominio que controlas de verdad y un flujo de acceso sin ningún secreto susceptible de phishing. Esto o existe en tu stack de contratación o no existe, y el candidato —o su cliente de correo— puede verificarlo sin tener que creerte en nada.

Las señales de confianza que un reclutador legítimo puede desplegar de verdad

Las palabras no te separarán de un estafador, pero una lista breve de señales verificables sí. Aquí tienes la lista de comprobación, ordenada más o menos por impacto.

1. Correo de remitente autenticado. Envía desde el dominio verificado de tu propia empresa, con SPF, DKIM y DMARC válidos. Estos son los mecanismos estándar del sector precisamente porque permiten que sea el receptor quien verifique criptográficamente al remitente. Una dirección de buzón gratuito (una cuenta genérica de Gmail o de Outlook) o un dominio suplantable no se pueden verificar, y cada vez más clientes de correo lo dicen en voz alta.
2. Un destino con la marca de la empresa y propiedad de esta. Enlaza a los candidatos a tu propio dominio y a un portal de empleo con tu marca, no a una URL genérica de un proveedor de ATS que parezca intercambiable con un enlace de phishing. Un candidato que aterriza en tuempresa.com puede leer la barra de direcciones; quien aterriza en un subdominio cualquiera de un proveedor no puede distinguirlo de una imitación.
3. Sin recopilación de credenciales. No pidas a los candidatos que creen una contraseña. Un acceso sin contraseña, mediante un enlace mágico de un solo uso, significa que no hay contraseña que robar mediante phishing ni superficie para ataques de relleno de credenciales. Además, acostumbra a los candidatos a esperar un «te enviaremos un enlace seguro por correo» en lugar de un «crea una cuenta e introduce una contraseña», que es justo el flujo que imitan los sitios de estafa.
4. Una identidad coherente y verificable. El mismo dominio de remitente, el mismo dominio de portal, el mismo reclutador con nombre y apellidos en cada punto de contacto, con una presencia real que el candidato pueda confirmar de forma independiente. La coherencia es en sí misma una señal; las estafas tienden a cambiar de canal y de identidad entre un mensaje y otro.

Fíjate en lo que falta en esta lista: tu prosa. Cada elemento es algo que una máquina o una persona atenta pueden comprobar de forma independiente. De eso se trata.

Cómo el remitente verificado y el acceso sin contraseña se convirtieron en el mínimo indispensable en la contratación

Dos de esas señales merecen una explicación en lenguaje llano, porque antes eran un «estaría bien tenerlo» y la era del fraude las ha ascendido sin hacer ruido a requisito imprescindible.

DKIM y DMARC son autenticación verificada por el receptor, no un filtro antispam. Cuando envías correo firmado con DKIM desde un dominio con una política DMARC, adjuntas una firma criptográfica que el servidor de correo del destinatario coteja con los registros DNS que has publicado. Si valida, el receptor sabe que el mensaje procede realmente de tu dominio y que no se alteró en tránsito. Un impostor que envía desde un dominio que imita al tuyo no puede producir esa firma para tu dominio. No se trata de llegar a la bandeja de entrada en lugar de a la de spam; se trata de que el proveedor de correo del candidato pueda confirmar que tú eres tú.

Los enlaces mágicos eliminan el secreto susceptible de phishing. Un enlace de un solo uso enviado por correo al candidato le permite entrar en tu portal sin necesidad de crear jamás una contraseña. No se puede robar una contraseña que nunca se creó, y no hay ningún objetivo de relleno de credenciales esperando en una base de datos a que se filtre. No es que los enlaces mágicos sean mágicamente inquebrantables en todos los escenarios; es que eliminar el secreto almacenado elimina toda una categoría de ataque. Kit lo convirtió en la opción por defecto para el acceso de los candidatos, y el razonamiento está detallado en por qué eliminamos las contraseñas para los candidatos.

Plantéaselo con honestidad a tus colegas con mentalidad de seguridad. DKIM autentica al remitente; no garantiza la entregabilidad. El acceso sin contraseña elimina la superficie de robo de credenciales; no hace imposible el phishing. Pero juntos son dos cosas que un impostor no puede reproducir de forma barata y, en un mercado donde los candidatos dan por sentado el fraude por defecto, «no se puede falsificar de forma barata» es la única afirmación que importa.

Cómo Kit incorpora la confianza del candidato por defecto

Todo lo anterior es un consejo neutral respecto a proveedores; puedes y debes exigir estas señales al stack que utilices, sea cual sea. El argumento de Kit es, sencillamente, que en la era del fraude deberían venir por defecto, no como complementos, así que aquí tienes cómo los ofrece Kit.

• Correo de remitente verificado desde tu propio dominio. El correo saliente de Kit se firma con DKIM y se envía como el dominio verificado de tu empresa a través de un servidor de correo autoalojado, de modo que el cliente de correo del candidato muestra una autenticación real en lugar de un remitente de buzón gratuito suplantable. Lo único que un estafador no puede falsificar de forma barata es un correo autenticado criptográficamente desde tu dominio real, y Kit firma cada mensaje de esa manera.
• Portal del candidato sin contraseña, con enlace mágico. Los candidatos inician sesión con enlaces seguros de un solo uso, así que no hay contraseña que robar mediante phishing ni superficie de relleno de credenciales en ningún punto del flujo.
• Una URL de portal con la marca de la empresa y propiedad de esta. Los candidatos aterrizan en un destino con la marca de la empresa y acotado a su instancia, en lugar de un enlace genérico de proveedor que no pueden distinguir del phishing. La legitimidad pasa a ser algo que pueden ver en la barra de direcciones.
• Prospección específica y revisada por personas. La prospección de Kit está pensada para mensajes reales y específicos, enviados bajo revisión humana, lo contrario del patrón de envío masivo del que dependen las estafas y los reclutadores spam. Si te importa una prospección que aterrice con honestidad, consulta la prospección personalizada de reclutadores y las tasas de respuesta.

Si la preocupación de fondo detrás de todo esto es la información personal de tus candidatos y tu postura de seguridad, proteger los datos de los candidatos cuando tu ATS se convierte en la brecha aborda la vertiente de almacenamiento del mismo problema.

La conclusión es concreta y duradera. La confianza del candidato se ha convertido en un problema de infraestructura, no de mensajes. No conseguirás que dejen de confundirte con un estafador a base de escribir mejor, porque el estafador puede copiar cualquier cosa que escribas. Lo que no puede copiar es un correo autenticado desde tu dominio real, un portal en un dominio que controlas y un acceso sin ningún secreto que robar. Incorpora todo eso y la legitimidad deja de ser algo que afirmas para pasar a ser algo que un candidato desconfiado puede, sencillamente, verificar.

¿Quieres ver cómo es una comunicación con el candidato verificada y sin contraseña, lista para usar? Empieza una prueba gratuita y envíate a ti mismo un correo de candidato.