Kandydaci myślą, że twój rekruter to oszust. Udowodnij, że jesteś prawdziwy.

Podszywanie się pod rekruterów polega na tym, że oszuści udają rekruterów prawdziwej firmy — wykorzystują jej nazwę, logo i łudząco podobne domeny, żeby oszukać osoby szukające pracy. Zjawisko stało się tak powszechne, że prawie połowa kandydatów podchodzi dziś z podejrzliwością do wiadomości od prawdziwych rekruterów, co zmusza autentyczne zespoły rekrutacyjne do udowadniania, że nie są oszustwem, zanim rozmowa w ogóle się zacznie. To znaczy, że twoje wskaźniki odpowiedzi nie spadają dlatego, że źle piszesz. Spadają dlatego, że nieufny kandydat nie potrafi cię odróżnić od oszusta.

Jeśli zajmujesz się pozyskiwaniem kandydatów albo komunikacją z nimi i patrzysz, jak wskaźniki odpowiedzi lecą w dół, a kandydaci odpisują z prośbą, żebyś „potwierdził, że jesteś prawdziwą osobą” — ten tekst jest dla ciebie. Oto dane stojące za załamaniem zaufania, powód, dla którego lepszy copywriting tego nie naprawi, oraz konkretne sygnały wiarygodności, które prawdziwy rekruter naprawdę może wdrożyć.

Dlaczego kandydaci z góry zakładają, że twój rekruter to oszust

Sceptycyzm wobec niezamówionego kontaktu od rekrutera przestał być reakcją marginesu. To dziś niemal przeciętna postawa kandydata. W ankiecie Monster przeprowadzonej wśród 884 pracowników na początku marca 2026 roku (za HR Dive) 95% osób szukających pracy przyznało, że natknęło się na podejrzane oferty pracy, ponad połowa była bezpośrednio celem oszustów, a prawie połowa podchodzi teraz do wiadomości od rekruterów ze sceptycyzmem.

Zatrzymaj się przy tej ostatniej liczbie. Mniej więcej co druga osoba, do której piszesz na zimno, z góry zakłada, że możesz próbować ją naciągnąć. To nie paranoja. To dopasowywanie wzorców do środowiska, które tego ich nauczyło.

Szkody to nie tylko zmarnowany czas, choć i tego jest sporo. W tych samych danych Monster około jedna trzecia osób szukających pracy straciła czas na sprawdzanie fałszywych ofert, prawie jedna czwarta zgłasza utrzymujący się stres i lęk, a prawie jedna czwarta udostępniła dane osobowe — jak adres e-mail czy numer telefonu — zanim zorientowała się, że to oszustwo. To właśnie ta ostatnia liczba powinna niepokoić każdego rekrutera, bo podanie danych kontaktowych i kliknięcie w link to dokładnie to, o co każdy zwykły proces aplikacyjny prosi kandydata. Oszuści nauczyli ludzi traktować najbardziej podstawowy krok twojego lejka jako zagrożenie.

Jak duży naprawdę jest problem oszustw rekrutacyjnych?

Załamanie zaufania to skutek realnych, szybko rosnących strat finansowych. Najmocniejsze liczby pochodzą z danych Consumer Sentinel amerykańskiej Federalnej Komisji Handlu (FTC) i rosną gwałtownie.

To ponad trzykrotny wzrost między 2020 a 2023 rokiem, a sama pierwsza połowa 2024 roku niemal dorównała całemu wynikowi z 2022 roku (FTC Data Spotlight, grudzień 2024). FTC zaznacza też, że większość oszustw pozostaje niezgłoszona, więc te liczby zaniżają rzeczywiste straty.

Znaczna część niedawnego skoku to „oszustwa zadaniowe” (task scams) — zgrywalizowane fałszywe zlecenia, które pokazują fikcyjne zarobki w aplikacji, a potem żądają wpłaty, żeby „odblokować” wypłatę. FTC naliczyła około 20 000 zgłoszeń oszustw zadaniowych w pierwszej połowie 2024 roku, wobec mniej więcej 5 000 w całym 2023 roku. Kryptowaluty stały się najczęstszą metodą płatności w tych oszustwach — straty sięgnęły około 41 mln USD w I poł. 2024 roku wobec około 21 mln USD w całym 2023 roku (FTC, grudzień 2024). Ta machina rośnie i przyspiesza.

Dlaczego oszustwa zatruwają zaufanie do prawdziwych rekruterów

Oto mechanizm, który sprawia, że to konkretnie twój problem. Dominujące wektory oszustw to niespodziewane SMS-y, wiadomości na WhatsAppie, e-maile i niezamówiony kontakt od rzekomego „rekrutera”. Są to dokładnie te same kanały, których prawdziwi rekruterzy używają, żeby pisać do kandydatów na zimno.

Dlatego kiedy agencje chroniące konsumentów udzielają porad, te porady działają wprost przeciwko tobie. Wytyczne FTC mówią wprost: prawdziwi pracodawcy nigdy nie kontaktują się przez przypadkowe, niespodziewane SMS-y ani wiadomości na WhatsAppie, nigdy nie każą płacić, żeby dostać zapłatę, a niezamówione SMS-y z ofertami pracy należy ignorować. Każde z tych ostrzeżeń z zewnątrz opisuje zwykłą wiadomość rekrutacyjną.

W efekcie prawdziwy kontakt na zimno startuje dziś z minusa. Zanim kandydat przeczyta twoją propozycję, już przechodzi w głowie listę kontrolną oszustwa, a twoja wiadomość odhacza połowę jej punktów samym swoim istnieniem. Oszuści dokładają do tego podszywanie się pod nazwy prawdziwych firm, kopiowanie logo i rejestrowanie łudząco podobnych domen — więc kandydat naprawdę nie odróżni prawdziwego rekrutera od podszywacza po samej treści.

Oszustwo w obie strony: fałszywi kandydaci i fałszywi rekruterzy

Podszywanie się pod rekruterów to tylko jedna połowa dwustronnej fali oszustw, a zrozumienie drugiej połowy tłumaczy, dlaczego jednostronna obrona zawodzi.

Drugi kierunek to oszustwa wymierzone w pracodawców. FBI ostrzegało już w czerwcu 2022 roku, że przestępcy wykorzystują deepfake’i i skradzione dane osobowe, żeby aplikować na zdalne stanowiska w IT i przy tworzeniu oprogramowania — sygnałem ostrzegawczym bywa rozjazd między dźwiękiem a ruchem ust podczas rozmów wideo (FBI/IC3 PSA I-062822). Gartner prognozuje, że do 2028 roku co czwarty profil kandydata na świecie może być fałszywy (Gartner, 2024, za HR Dive; traktuj to jako prognozę, a nie pomiar). Z kolei obywatele Korei Północnej podający się za zdalnych pracowników IT, żeby infiltrować amerykańskie firmy, to dziś dobrze udokumentowany, wciąż trwający schemat. Kit opisał to konkretne zagrożenie w tekście Oszustwa rekrutacyjne północnokoreańskich pracowników IT.

Podszywanie się pod rekruterów to lustrzane odbicie: ataki na kandydatów, które wykorzystują tożsamość pracodawcy. Obie strony niszczą to samo — zdolność każdej ze stron do zaufania, że druga jest tym, za kogo się podaje. Zestaw narzędzi rekrutacyjnych, który wzmacnia tylko stronę pracodawcy — prześwietla fałszywych kandydatów, ale nie robi nic, żeby udowodnić własną wiarygodność tym prawdziwym — broni dokładnie połowy granicy.

Dlaczego lepszy tekst wiadomości tego nie naprawi

Kiedy wskaźniki odpowiedzi spadają, odruch jest jeden: przepisać wiadomość. Cieplejsze otwarcie. Ostrzejszy haczyk. Więcej personalizacji. Nic z tego tu nie zadziała, a powód jest strukturalny.

Napastnik może skopiować twoje słowa co do joty. Może podebrać twoje logo, powielić twój ton, sklonować układ strony kariery i zarejestrować domenę różniącą się o jeden znak. Lepszy copywriting nie pomoże kandydatowi odróżnić cię od kogoś, kto się pod ciebie podszywa, bo podszywacz po prostu skopiuje też twój lepszy copywriting. Fałszerza nie da się prześcignąć pisaniem.

Wyobraź sobie codzienną sytuację. Kandydat w ciągu jednego tygodnia dostaje dwie wiadomości. Jedna jest od prawdziwego rekrutera z 40-osobowego startupu. Druga od oszusta, który podszywa się pod logo znanej marki, chowając się za łudząco podobną domeną. Po treści są nie do odróżnienia; oszust może mieć nawet lepszy temat wiadomości. To, co je faktycznie różni, to czy prawdziwa wiadomość przychodzi podpisana DKIM z zweryfikowanej domeny i prowadzi do markowego portalu należącego do firmy, w którym nie trzeba wpisywać żadnego hasła. Wszystko, co kandydat może przeczytać, da się podrobić. Nie da się podrobić tylko tego, co pod spodem.

Jedyne trwałe wyróżniki to zatem rzeczy, których nie da się tanio podrobić. To nie język. To infrastruktura: kryptograficznie uwierzytelniony e-mail z twojej prawdziwej domeny, cel pod adresem domeny, którą naprawdę kontrolujesz, oraz proces logowania bez żadnego sekretu, który dałoby się wyłudzić. Te elementy albo są w twoim zestawie narzędzi rekrutacyjnych, albo ich nie ma — a kandydat lub jego program pocztowy może je zweryfikować, nie wierząc ci na słowo.

Sygnały wiarygodności, które prawdziwy rekruter naprawdę może wdrożyć

Słowa nie oddzielą cię od oszusta, ale zrobi to krótka lista weryfikowalnych sygnałów. Oto checklist, mniej więcej w kolejności od największego wpływu.

1. Uwierzytelniony adres nadawcy. Wysyłaj z własnej, zweryfikowanej domeny firmy z poprawnie skonfigurowanym SPF, DKIM i DMARC. To standardy branżowe właśnie dlatego, że pozwalają odbiorcy kryptograficznie zweryfikować nadawcę. Adresu z darmowej skrzynki (zwykłe konto Gmail albo Outlook) ani domeny, pod którą da się podszyć, nie sposób zweryfikować — a programy pocztowe coraz częściej mówią to wprost.
2. Markowy cel należący do firmy. Kieruj kandydatów do własnej domeny i markowego portalu kariery, a nie pod ogólny adres dostawcy systemu ATS, który wygląda jak każdy inny — i jak link phishingowy. Kandydat, który trafia na twojafirma.com, może odczytać pasek adresu; ten, który ląduje na przypadkowej subdomenie dostawcy, nie odróżni jej od podróbki.
3. Żadnego zbierania danych logowania. Nie każ kandydatom tworzyć hasła. Logowanie bez hasła, jednorazowym magic linkiem, oznacza, że nie ma hasła do wyłudzenia ani miejsca podatnego na credential stuffing. Uczy też kandydatów oczekiwać „wyślemy ci bezpieczny link” zamiast „załóż konto i wpisz hasło” — a to właśnie ten drugi schemat naśladują strony oszustów.
4. Spójna, weryfikowalna tożsamość. Ta sama domena nadawcy, ta sama domena portalu, ten sam wskazany z nazwiska rekruter w każdym punkcie kontaktu, plus realna obecność, którą kandydat może niezależnie potwierdzić. Sama spójność jest sygnałem; oszustwa zwykle zmieniają kanały i tożsamości z wiadomości na wiadomość.

Zwróć uwagę, czego na tej liście brakuje: twojego tekstu. Każdy punkt to coś, co maszyna albo uważny człowiek może sprawdzić niezależnie. I o to właśnie chodzi.

Jak zweryfikowany nadawca i logowanie bez hasła stały się standardem w rekrutacji

Dwa z tych sygnałów zasługują na wyjaśnienie prostym językiem, bo kiedyś były „mile widziane”, a era oszustw niezauważenie awansowała je do absolutnego minimum.

DKIM i DMARC to uwierzytelnianie weryfikowane po stronie odbiorcy, a nie filtr antyspamowy. Kiedy wysyłasz pocztę podpisaną DKIM z domeny z polityką DMARC, dołączasz kryptograficzny podpis, który serwer pocztowy odbiorcy sprawdza z opublikowanymi przez ciebie wpisami DNS. Jeśli podpis się zgadza, odbiorca wie, że wiadomość naprawdę pochodzi z twojej domeny i nie została zmieniona po drodze. Podszywacz wysyłający z łudząco podobnej domeny nie wytworzy takiego podpisu dla twojej domeny. Nie chodzi tu o trafienie do skrzynki odbiorczej zamiast do spamu — chodzi o to, że dostawca poczty kandydata potrafi potwierdzić, że jesteś tym, za kogo się podajesz.

Magic linki usuwają sekret, który dałoby się wyłudzić. Jednorazowy link wysłany kandydatowi e-mailem wpuszcza go do twojego portalu bez tworzenia jakiegokolwiek hasła. Nie da się ukraść hasła, którego nigdy nie utworzono, i nie ma w bazie danych żadnego celu dla credential stuffingu, który czekałby na wyciek. Nie chodzi o to, że magic linki są magicznie niezniszczalne w każdym scenariuszu — chodzi o to, że usunięcie przechowywanego sekretu likwiduje całą kategorię ataków. Kit ustawił to jako domyślny sposób dostępu dla kandydatów, a uzasadnienie znajdziesz w tekście Dlaczego skasowaliśmy hasła dla kandydatów.

Przedstaw obie rzeczy uczciwie kolegom dbającym o bezpieczeństwo. DKIM uwierzytelnia nadawcę, ale nie gwarantuje dostarczalności. Logowanie bez hasła usuwa pole do kradzieży danych logowania, ale nie sprawia, że phishing staje się niemożliwy. Razem są jednak dwiema rzeczami, których nie da się tanio podrobić — a na rynku, gdzie kandydaci z góry zakładają oszustwo, „nie da się tanio podrobić” to jedyne twierdzenie, które ma znaczenie.

Jak Kit domyślnie buduje zaufanie kandydatów

Wszystko powyżej to porady niezależne od dostawcy; możesz i powinieneś wymagać tych sygnałów od dowolnego zestawu narzędzi, którego używasz. Argument Kit jest prosty: w erze oszustw powinny to być ustawienia domyślne, a nie dodatki — oto więc, jak Kit je dostarcza.

• E-mail od zweryfikowanego nadawcy z twojej własnej domeny. Poczta wychodząca z Kit jest podpisana DKIM i wysyłana z twojej zweryfikowanej domeny firmowej przez samodzielnie hostowany serwer pocztowy, więc program pocztowy kandydata pokazuje prawdziwe uwierzytelnienie zamiast nadawcy z darmowej skrzynki, pod którego łatwo się podszyć. Jedyną rzeczą, której nie da się tanio podrobić, jest kryptograficznie uwierzytelniony e-mail z twojej prawdziwej domeny — a Kit podpisuje w ten sposób każdą wiadomość.
• Portal kandydata bez haseł, oparty na magic linkach. Kandydaci logują się bezpiecznymi, jednorazowymi linkami, więc nigdzie w całym procesie nie ma hasła do wyłudzenia ani pola dla credential stuffingu.
• Markowy portal należący do firmy. Kandydaci trafiają do markowego celu należącego do firmy, przypisanego do konkretnego konta, a nie pod ogólny link dostawcy, którego nie odróżnią od phishingu. Wiarygodność staje się czymś, co widać w pasku adresu.
• Konkretne wiadomości sprawdzane przez człowieka. Kontakt z kandydatami w Kit jest pomyślany pod prawdziwe, konkretne wiadomości wysyłane pod nadzorem człowieka — to przeciwieństwo masowej wysyłki, na której opierają się oszuści i spamujący rekruterzy. Jeśli zależy ci na wiadomościach, które trafiają uczciwie, zobacz spersonalizowany kontakt z kandydatami a wskaźniki odpowiedzi.

Jeśli szerszą troską stojącą za tym wszystkim są dane osobowe kandydatów i twój stan bezpieczeństwa, ochrona danych kandydatów, gdy to twój system ATS staje się źródłem wycieku opisuje stronę przechowywania tego samego problemu.

Wniosek jest wąski i trwały. Zaufanie kandydatów stało się problemem infrastruktury, a nie komunikacji. Samym pisaniem nie przestaniesz być branym za oszusta, bo oszust skopiuje wszystko, co napiszesz. Nie skopiuje natomiast uwierzytelnionej poczty z twojej prawdziwej domeny, portalu pod domeną, którą kontrolujesz, ani logowania bez sekretu do ukradzenia. Wbuduj to u siebie, a wiarygodność przestanie być czymś, co deklarujesz, i stanie się czymś, co nieufny kandydat może po prostu sprawdzić.

Chcesz zobaczyć, jak od ręki wygląda zweryfikowana, bezhasłowa komunikacja z kandydatami? Rozpocznij bezpłatny okres próbny i wyślij sobie e-mail dla kandydata.