Vos candidats vous croient faux. Prouvez le contraire.

L’usurpation d’identité de recruteur, c’est lorsque des escrocs se font passer pour les recruteurs d’une véritable entreprise, en utilisant son nom, son logo et des domaines qui lui ressemblent pour arnaquer les chercheurs d’emploi. Le phénomène est devenu si courant que près de la moitié des candidats abordent désormais avec méfiance toute prise de contact d’un recruteur légitime, obligeant les vraies équipes de recrutement à prouver qu’elles ne sont pas une arnaque avant même de pouvoir entamer la conversation. Autrement dit, si vos taux de réponse chutent, ce n’est pas parce que votre prospection est mauvaise. C’est parce qu’un candidat sur ses gardes ne parvient pas à vous distinguer de la fraude.

Si vous gérez la recherche de candidats ou la communication avec eux et que vous voyez vos taux de réponse s’effriter pendant que des candidats vous répondent en demandant de « prouver que vous êtes une vraie personne », cet article est pour vous. On y décortique les données derrière cet effondrement de la confiance, pourquoi un meilleur texte de prospection n’y changera rien, et les signaux de confiance concrets qu’un recruteur légitime peut réellement mettre en place.

Pourquoi les candidats partent du principe que votre recruteur est un faux

Le scepticisme face à une prise de contact non sollicitée d’un recruteur n’est plus une réaction marginale. Il correspond presque à l’attitude médiane des candidats. Dans une enquête Monster menée auprès de 884 travailleurs début mars 2026 (rapportée par HR Dive), 95 % des chercheurs d’emploi ont déclaré avoir rencontré des offres suspectes, plus de la moitié ont été directement ciblés par des escrocs, et près de la moitié abordent désormais la prospection des recruteurs avec scepticisme.

Arrêtez-vous sur ce dernier chiffre. Près d’une personne sur deux que vous contactez à froid part du principe que vous menez peut-être une escroquerie. Ce n’est pas de la paranoïa. Ces personnes reconnaissent un schéma, dans un environnement qui les y a entraînées.

Les dégâts ne se limitent pas au temps perdu, même s’il y en a beaucoup. Dans les mêmes données Monster, environ un tiers des chercheurs d’emploi ont déclaré avoir perdu du temps à enquêter sur de fausses offres, près d’un quart ont fait état d’un stress et d’une anxiété persistants, et près d’un quart avaient communiqué des informations personnelles comme un e-mail ou un numéro de téléphone avant de se rendre compte qu’il s’agissait d’une arnaque. Ce dernier chiffre devrait inquiéter tout recruteur, car communiquer ses coordonnées et cliquer sur un lien, c’est précisément ce qu’une candidature normale demande à un candidat de faire. Les escrocs ont appris aux gens à considérer l’étape la plus élémentaire de votre entonnoir comme une menace.

Quelle est l’ampleur réelle des arnaques à l’emploi ?

L’effondrement de la confiance découle d’un préjudice financier bien réel et en forte croissance. Les chiffres les plus solides proviennent des données Consumer Sentinel de la Federal Trade Commission (FTC) américaine, et ils grimpent en flèche.

Soit plus qu’un triplement entre 2020 et 2023, et le premier semestre 2024 à lui seul a presque égalé le total de toute l’année 2022 (FTC Data Spotlight, décembre 2024). La FTC souligne également que la plupart des fraudes ne sont jamais signalées : ces chiffres sous-estiment donc le préjudice réel.

Une grande partie de la récente flambée provient des « arnaques aux microtâches », de faux emplois ludifiés qui affichent de faux gains dans une application, puis exigent un dépôt pour débloquer les versements. La FTC a recensé environ 20 000 signalements d’arnaques aux microtâches au premier semestre 2024, contre environ 5 000 sur l’ensemble de l’année 2023. La cryptomonnaie est devenue le principal moyen de paiement de ces arnaques, avec des pertes d’environ 41 millions de dollars au premier semestre 2024, contre environ 21 millions de dollars sur toute l’année 2023 (FTC, décembre 2024). La machine grossit et accélère.

Pourquoi les arnaques minent la confiance envers les recruteurs légitimes

Le mécanisme est le suivant, et il vous concerne directement. Les principaux vecteurs d’arnaque sont les SMS inattendus, les messages WhatsApp, les e-mails et les prises de contact non sollicitées de prétendus « recruteurs ». Ce sont exactement les mêmes canaux que ceux qu’utilisent les recruteurs légitimes pour contacter à froid les candidats.

Résultat : quand les organismes de protection des consommateurs prodiguent des conseils, ceux-ci jouent directement contre vous. Les recommandations de la FTC sont sans détour : un vrai employeur ne vous contactera jamais par des SMS inattendus et impersonnels ni par WhatsApp, ne vous demandera jamais de payer pour être payé, et il faut ignorer les SMS d’emploi non sollicités. Chacun de ces avertissements décrit, vu de l’extérieur, une prise de contact de prospection tout à fait normale.

Conséquence : une prise de contact à froid légitime démarre désormais avec un handicap. Avant même de lire votre argumentaire, le candidat déroule déjà une liste de contrôle anti-fraude, et votre message en coche la moitié rien que par son existence. Les escrocs aggravent la situation en usurpant les noms de vraies entreprises, en copiant les logos et en enregistrant des domaines ressemblants : un candidat ne peut tout simplement pas distinguer un vrai recruteur d’un imposteur sur le seul contenu.

Les deux sens de la fraude : faux candidats et faux recruteurs

L’usurpation d’identité de recruteur n’est qu’une moitié d’une vague de fraude à double sens, et comprendre l’autre moitié explique pourquoi les défenses à sens unique échouent.

L’autre sens, c’est la fraude qui vise les employeurs. Dès juin 2022, le FBI avertissait que des criminels utilisaient des deepfakes et des données personnelles volées pour postuler à des emplois informatiques et de développement logiciel à distance, les décalages de synchronisation labiale pendant les entretiens vidéo servant d’indice révélateur (FBI/IC3 PSA I-062822). Gartner a projeté que, d’ici 2028, un profil de candidat sur quatre dans le monde pourrait être faux (Gartner, 2024, d’après HR Dive ; à considérer comme une projection, non une mesure). Et le cas de ressortissants nord-coréens se faisant passer pour des informaticiens à distance afin d’infiltrer des entreprises américaines est désormais un schéma bien documenté et toujours d’actualité. Kit a traité cette menace précise dans la fraude à l’embauche des informaticiens nord-coréens.

L’usurpation d’identité de recruteur en est l’image inversée : des attaques contre les candidats qui exploitent l’identité de l’employeur. Les deux érodent la même chose : la capacité de chaque partie à croire que l’autre est bien celle qu’elle prétend être. Une pile d’outils de recrutement qui ne renforce que le côté employeur — en filtrant les faux candidats sans rien faire pour prouver votre propre légitimité aux vrais — ne défend qu’exactement la moitié de la frontière.

Pourquoi un meilleur texte de prospection n’y changera rien

Le réflexe, quand les taux de réponse baissent, c’est de réécrire le message. Une entrée en matière plus chaleureuse. Une accroche plus percutante. Davantage de personnalisation. Rien de tout cela ne fonctionne ici, et la raison est structurelle.

Un attaquant peut copier vos mots à la perfection. Il peut récupérer votre logo, imiter votre ton, cloner la mise en page de votre page carrière et enregistrer un domaine qui ne diffère du vôtre que d’un caractère. Un meilleur texte n’aide en rien le candidat à vous distinguer de celui qui vous usurpe, car l’usurpateur se contentera de copier votre meilleur texte, lui aussi. On ne peut pas battre un faussaire à la plume.

Imaginez le cas de tous les jours. Un candidat reçoit deux messages la même semaine. L’un vient d’un vrai recruteur d’une startup de 40 personnes. L’autre vient d’un escroc qui usurpe le logo d’une marque connue derrière un domaine ressemblant. Sur le contenu, les deux sont indiscernables ; l’escroc a peut-être même l’objet le mieux ficelé. Ce qui les distingue vraiment, c’est de savoir si le vrai message arrive signé en DKIM depuis un domaine vérifié et renvoie vers un portail aux couleurs de l’entreprise, détenu par elle, sans aucun mot de passe à saisir. Tout ce qu’un candidat peut lire est falsifiable. Seule la tuyauterie ne l’est pas.

Les seuls éléments distinctifs durables sont donc ceux qu’un attaquant ne peut pas falsifier à moindre coût. Ce n’est pas le langage. C’est l’infrastructure : un e-mail authentifié par cryptographie depuis votre vrai domaine, une destination sur un domaine que vous contrôlez réellement, et un parcours de connexion sans aucun secret hameçonnable. Ces éléments sont présents dans votre pile d’outils de recrutement, ou ils ne le sont pas, et le candidat — ou son client de messagerie — peut les vérifier sans avoir à vous croire sur parole.

Les signaux de confiance qu’un recruteur légitime peut réellement déployer

Les mots ne vous distingueront pas d’un escroc, mais une courte liste de signaux vérifiables, si. La voici, à peu près par ordre d’impact.

1. Un expéditeur authentifié. Envoyez depuis le domaine vérifié de votre entreprise, avec des enregistrements SPF, DKIM et DMARC valides. Ce sont les mécanismes de référence du secteur, précisément parce qu’ils permettent au destinataire de vérifier l’expéditeur par cryptographie. Une adresse de messagerie gratuite (un compte Gmail ou Outlook générique) ou un domaine usurpable ne peut pas être vérifié, et les clients de messagerie le disent de plus en plus ouvertement.
2. Une destination aux couleurs de l’entreprise, détenue par elle. Renvoyez les candidats vers votre propre domaine et un portail carrière aux couleurs de l’entreprise, détenu par elle, pas vers une URL générique d’éditeur d’ATS qui ressemble à s’y méprendre à un lien de hameçonnage. Un candidat qui arrive sur votreentreprise.com peut lire la barre d’adresse ; celui qui atterrit sur un sous-domaine d’éditeur quelconque ne peut pas le distinguer d’une contrefaçon.
3. Aucune collecte d’identifiants. Ne demandez pas aux candidats de créer un mot de passe. Une connexion sans mot de passe par lien magique à usage unique signifie qu’il n’y a aucun mot de passe à hameçonner ni aucune surface d’attaque par bourrage d’identifiants. Cela habitue aussi les candidats à s’attendre à « nous vous enverrons un lien sécurisé par e-mail » plutôt qu’à « créez un compte et saisissez un mot de passe », qui est précisément le parcours qu’imitent les sites frauduleux.
4. Une identité cohérente et vérifiable. Même domaine d’expéditeur, même domaine de portail, même recruteur nommément identifié à chaque point de contact, avec une présence réelle qu’un candidat peut confirmer de manière indépendante. La cohérence est en soi un signal ; les arnaques ont tendance à changer de canal et d’identité d’un message à l’autre.

Remarquez ce qui manque à cette liste : votre prose. Chaque élément peut être vérifié de manière indépendante, par une machine ou par un humain attentif. C’est là tout l’intérêt.

Comment l’expéditeur vérifié et l’authentification sans mot de passe sont devenus la norme du recrutement

Deux de ces signaux méritent une explication en clair, car ils relevaient autrefois du « confort optionnel » et l’ère de la fraude les a discrètement promus au rang de prérequis incontournable.

DKIM et DMARC sont une authentification vérifiée par le destinataire, pas un filtre antispam. Lorsque vous envoyez un courrier signé en DKIM depuis un domaine doté d’une politique DMARC, vous y attachez une signature cryptographique que le serveur de messagerie du destinataire compare aux enregistrements DNS que vous avez publiés. Si elle est validée, le destinataire sait que le message provient bien de votre domaine et n’a pas été altéré en chemin. Un usurpateur qui envoie depuis un domaine ressemblant ne peut pas produire cette signature pour votre domaine. Il ne s’agit pas d’arriver dans la boîte de réception plutôt que dans les spams ; il s’agit de permettre au fournisseur de messagerie du candidat de confirmer que vous êtes bien vous.

Les liens magiques suppriment le secret hameçonnable. Un lien à usage unique envoyé par e-mail au candidat lui donne accès à votre portail sans jamais créer de mot de passe. On ne peut pas voler un mot de passe qui n’a jamais existé, et aucune cible de bourrage d’identifiants ne dort dans une base de données en attendant de fuiter. Ce n’est pas que les liens magiques soient magiquement inviolables dans tous les cas de figure ; c’est que supprimer le secret stocké supprime toute une catégorie d’attaques. Kit en a fait le mode par défaut pour l’accès des candidats, et le raisonnement est détaillé dans Pourquoi nous avons supprimé les mots de passe pour les candidats.

Présentez les deux honnêtement à vos collègues soucieux de sécurité. DKIM authentifie l’expéditeur ; il ne garantit pas la délivrabilité. L’authentification sans mot de passe supprime la surface de vol d’identifiants ; elle ne rend pas le hameçonnage impossible. Mais ensemble, ce sont deux choses qu’un imposteur ne peut pas reproduire à moindre coût, et sur un marché où les candidats présument la fraude par défaut, « impossible à falsifier à bas prix » est le seul argument qui compte.

Comment Kit intègre la confiance des candidats par défaut

Tout ce qui précède est un conseil indépendant de tout éditeur ; vous pouvez et devez exiger ces signaux de la pile d’outils que vous utilisez, quelle qu’elle soit. L’argument de Kit est simplement qu’à l’ère de la fraude, ils devraient être des réglages par défaut, pas des modules complémentaires. Kit les livre donc ainsi.

• Un expéditeur vérifié depuis votre propre domaine. Le courrier sortant de Kit est signé en DKIM et envoyé sous le domaine vérifié de votre entreprise via un serveur de messagerie auto-hébergé : le client de messagerie du candidat affiche donc une véritable authentification plutôt qu’un expéditeur de messagerie gratuite usurpable. La seule chose qu’un escroc ne peut pas falsifier à bas prix, c’est un e-mail authentifié par cryptographie depuis votre vrai domaine, et Kit signe chaque message de cette façon.
• Un portail candidat sans mot de passe, par lien magique. Les candidats se connectent avec des liens sécurisés à usage unique : il n’y a donc aucun mot de passe à hameçonner ni aucune surface de bourrage d’identifiants nulle part dans le parcours.
• Une URL de portail aux couleurs de l’entreprise, détenue par elle. Les candidats arrivent sur une destination aux couleurs de l’entreprise, détenue par elle et dédiée à votre espace, plutôt que sur un lien générique d’éditeur qu’ils ne peuvent distinguer du hameçonnage. La légitimité devient quelque chose qu’ils peuvent voir dans la barre d’adresse.
• Une prospection ciblée et relue par un humain. La prospection de Kit est conçue pour des messages réels et spécifiques, envoyés après relecture humaine — l’exact opposé de l’envoi en masse sur lequel s’appuient les arnaques et les recruteurs spammeurs. Si une prospection qui touche juste vous tient à cœur, voyez la prospection de recruteur personnalisée et les taux de réponse.

Si la préoccupation plus large derrière tout cela concerne les données personnelles de vos candidats et votre posture de sécurité, sécuriser les données des candidats quand votre ATS devient la brèche traite le versant stockage du même problème.

La conclusion est précise et durable. La confiance des candidats est devenue un problème d’infrastructure, pas de message. Vous ne vous sortirez pas à coups de plume de la confusion avec un escroc, car l’escroc peut copier tout ce que vous écrivez. Ce qu’il ne peut pas copier, c’est un courrier authentifié depuis votre vrai domaine, un portail sur un domaine que vous contrôlez, et une connexion sans aucun secret à voler. Intégrez cela, et la légitimité cesse d’être une chose que vous affirmez pour devenir une chose qu’un candidat méfiant peut tout simplement vérifier.

Envie de voir à quoi ressemble une communication candidat vérifiée et sans mot de passe, prête à l’emploi ? Démarrez un essai gratuit et envoyez-vous un e-mail de candidat.