Jak rozpoznać fałszywe oferty pracy przez internet i uniknąć oszustwa

Fałszywa oferta pracy coraz rzadziej wygląda jak wiadomość napisana łamaną polszczyzną przez anonimowego „managera HR”. Oszuści kopiują logotypy prawdziwych firm, tworzą profile rekruterów, podszywają się pod agencje zatrudnienia i prowadzą rozmowę tak, by kandydat przez pierwsze kilkanaście minut nie zobaczył niczego szczególnie podejrzanego. Problem zaczyna się później: pojawia się opłata aktywacyjna, prośba o skan dowodu, instalację programu do zdalnego dostępu, podanie danych karty albo wykonanie „testowej transakcji”.

Skala cyberoszustw pokazuje, dlaczego ostrożność nie jest przesadą. W marcu 2026 r. CERT Polska obsłużył około 31 tys. incydentów, z czego 98% stanowiły oszustwa komputerowe. Samych przypadków phishingu odnotowano około 14,4 tys. Nie są to wyłącznie oszustwa rekrutacyjne, ale mechanizm jest ten sam: zbudować wiarygodność, wywołać presję i skłonić ofiarę do działania, zanim zacznie sprawdzać szczegóły.

Najważniejsza zasada jest prosta: pracodawcę sprawdza się przed wysłaniem wrażliwych danych, a nie po fakcie.

Zanim odpowiesz rekruterowi, sprawdź firmę i samą ofertę

Pierwszy filtr zajmuje kilka minut. Nie zaczynaj jednak od opinii w Google. Zacznij od ustalenia, kto właściwie chce cię zatrudnić.

Prawidłowe ogłoszenie powinno pozwalać ustalić przynajmniej nazwę pracodawcy lub agencji, zakres obowiązków, miejsce albo formę wykonywania pracy oraz podstawowe warunki współpracy. Brak widełek wynagrodzenia sam w sobie nie oznacza oszustwa. Brak nazwy firmy, stanowiska i konkretnych obowiązków przy jednoczesnej obietnicy „500–1000 zł dziennie bez doświadczenia” to już zupełnie inna sytuacja.

Najpierw porównaj pięć elementów:

• pełną nazwę podmiotu,
• NIP oraz dane w CEIDG lub KRS,
• adres siedziby i dane kontaktowe,
• domenę, z której pisze rekruter,
• dane osoby prowadzącej rekrutację.

CEIDG obejmuje przede wszystkim jednoosobowych przedsiębiorców i wspólników spółek cywilnych, natomiast w KRS znajdziesz m.in. spółki z ograniczoną odpowiedzialnością i spółki akcyjne. Firmę można wyszukać po nazwie albo NIP. Sam fakt istnienia przedsiębiorstwa w rejestrze nie wystarcza jednak do uznania oferty za prawdziwą — oszuści podszywają się również pod realnie działające spółki.

Dlatego dane z ogłoszenia trzeba porównać z informacjami znalezionymi niezależnie. Jeśli wiadomość podpisuje „Anna Kowalska, HR Manager ABC Sp. z o.o.”, a e-mail przychodzi z adresu `abc-praca2026@gmail.com`, nie odpowiadaj automatycznie. Wejdź samodzielnie na oficjalną stronę przedsiębiorstwa, znajdź jego centralę lub dział HR i potwierdź, czy dana rekrutacja rzeczywiście trwa.

To samo dotyczy linków. Adres z poprawną nazwą firmy na początku może prowadzić do zupełnie innej domeny. Kłódka przy adresie i protokół HTTPS również nie potwierdzają uczciwości strony. Certyfikat szyfruje połączenie; nie sprawdza, czy właściciel witryny jest prawdziwym pracodawcą.

Szczególną uwagę trzeba zachować przy agencjach pracy. Jeżeli podmiot działa jako agencja zatrudnienia, sprawdź go również w KRAZ — Rejestrze Podmiotów Prowadzących Agencje Zatrudnienia. Wyszukiwanie umożliwia m.in. sprawdzenie nazwy, NIP, numeru wpisu, rodzaju usług i informacji o zawieszeniu działalności.

Czerwona lampka powinna zapalić się również wtedy, gdy cały proces wygląda tak:

• rekruter sam odzywa się na WhatsAppie lub Telegramie i nie podaje źródła twoich danych;
• rozmowa kwalifikacyjna sprowadza się do kilku wiadomości tekstowych;
• po pięciu minutach dostajesz informację, że „zostałeś przyjęty”;
• nie ma konkretnego przełożonego, zakresu obowiązków ani projektu;
• firma obiecuje wysokie zarobki za lajki, ocenianie produktów, kopiowanie ofert lub wykonywanie prostych kliknięć;
• warunkiem rozpoczęcia pracy jest wpłata pieniędzy.

Sam komunikator nie przesądza jeszcze o oszustwie. Prawdziwi rekruterzy również korzystają z LinkedIna, WhatsAppa czy Teamsa. Różnica polega na tym, że legalny proces można potwierdzić poza kanałem wskazanym przez rekrutera.

Opłata, dane bankowe i skan dowodu — tutaj kończy się zwykła rekrutacja

Najgroźniejsze fałszywe oferty zaczynają się niewinnie. Kandydat otrzymuje proste zadanie, czasem nawet pierwszą niewielką wypłatę. Dopiero później pojawia się prośba o wpłacenie 100, 300 albo 1000 zł, rzekomo po to, by odblokować wyższy poziom zleceń, aktywować konto pracownika albo wypłacić zgromadzone wynagrodzenie.

To klasyczny mechanizm budowania zaufania. Nie wpłacaj pieniędzy, aby otrzymać pracę albo wynagrodzenie za już wykonaną pracę.

Podejrzane są zwłaszcza opłaty opisane jako:

• aktywacja konta pracownika,
• depozyt za sprzęt wysyłany kurierem,
• wykupienie pakietu zadań,
• obowiązkowe szkolenie organizowane przez nieznaną firmę,
• weryfikacja rachunku bankowego poprzez przelew,
• „podatek” konieczny do wypłaty wynagrodzenia,
• zakup kryptowaluty potrzebnej do rozpoczęcia pracy.

W przypadku profesjonalnych agencji zatrudnienia sytuacja jest bardziej precyzyjna. Agencja nie może dowolnie pobierać od kandydata wynagrodzenia za znalezienie pracy. Przy kierowaniu do pracy za granicą mogą wystąpić faktycznie poniesione koszty, m.in. dojazdu i powrotu, wydania wizy, badań lekarskich oraz tłumaczeń dokumentów. Powinny być określone w pisemnej umowie. Pobieranie niedozwolonych dodatkowych opłat jest wykroczeniem zagrożonym grzywną od 3000 do 30 000 zł.

Drugi punkt krytyczny to dane osobowe. W zwykłej rekrutacji pracodawca może potrzebować m.in. imienia i nazwiska, daty urodzenia oraz danych kontaktowych. Jeżeli jest to niezbędne ze względu na stanowisko, może również wymagać informacji dotyczących wykształcenia, kwalifikacji zawodowych czy wcześniejszego zatrudnienia.

Numer PESEL, skan dowodu osobistego, dane karty i login do bankowości nie są standardowym zestawem danych potrzebnym do wysłania CV.

PESEL i kolejne dane pracownicze mogą być potrzebne później — gdy kandydat faktycznie zostaje zatrudniony i pracodawca realizuje obowiązki kadrowe. To zupełnie inny etap niż pierwsza rozmowa na komunikatorze.

Równie podejrzane jest żądanie zdjęcia obu stron dowodu „w celu potwierdzenia tożsamości”. Skan dokumentu zawiera znacznie więcej danych, niż zazwyczaj potrzeba do oceny kandydata. Jeżeli firma żąda go jeszcze przed rozmową kwalifikacyjną i nie potrafi rzeczowo wyjaśnić podstawy oraz celu przetwarzania danych, nie wysyłaj dokumentu.

Osobną kategorią jest „praca przy obsłudze płatności”. Kandydat ma przyjmować przelewy na prywatny rachunek, część pieniędzy zatrzymywać jako prowizję, a resztę przekazywać dalej albo kupować za nią kryptowaluty. To nie jest normalne rozliczenie pracownika. Możesz zostać wciągnięty w przepływ środków pochodzących z przestępstwa, rachunek może zostać zablokowany, a jego właściciel będzie musiał wyjaśniać transakcje bankowi i organom ścigania.

Podobna zasada dotyczy instalowania programów takich jak AnyDesk, TeamViewer czy inne narzędzia do zdalnego sterowania komputerem. Same programy są legalne i używane przez prawdziwe działy IT. Problem pojawia się wtedy, gdy niezweryfikowany rekruter każe je zainstalować, uruchomić bankowość elektroniczną i przekazać kod dostępu. Takiego etapu rekrutacji po prostu nie ma.

Co zrobić po kliknięciu linku, wysłaniu dokumentów albo przelaniu pieniędzy

Po błędzie najgorszą strategią jest kilkugodzinne sprawdzanie, czy „może jednak oferta była prawdziwa”. Jeżeli przekazałeś dane bankowe, kartę, kody autoryzacyjne lub pieniądze, liczy się kolejność działań.

Jeśli podałeś dane karty, login do bankowości, kod BLIK albo zatwierdziłeś podejrzaną operację, najpierw skontaktuj się z bankiem przez numer znaleziony w jego oficjalnej aplikacji, na stronie albo na karcie. Nie korzystaj z numeru przesłanego przez rzekomego rekrutera.

Poproś o zabezpieczenie rachunku, zastrzeżenie karty i sprawdzenie operacji. Jeżeli użyte hasło było stosowane również w innych serwisach, zmień je także tam. Zacznij od poczty elektronicznej, ponieważ przejęta skrzynka często pozwala resetować hasła do kolejnych usług. Włącz uwierzytelnianie dwuskładnikowe.

Jeżeli wysłałeś PESEL lub kopię dokumentu, zastrzeż numer PESEL. Można to zrobić m.in. w aplikacji mObywatel, przez usługę państwową lub osobiście. Od 1 czerwca 2024 r. określone instytucje, w tym instytucje finansowe przy wskazanych umowach kredytowych i pożyczkowych, mają obowiązek sprawdzać Rejestr Zastrzeżeń Numerów PESEL. Zastrzeżenie nie cofnie już wykonanego przelewu i nie rozwiązuje każdego rodzaju kradzieży tożsamości, ale zdecydowanie ogranicza część ryzyka.

Jeżeli zainstalowałeś na polecenie oszusta program do zdalnego dostępu, odłącz urządzenie od internetu. Z bankiem kontaktuj się z innego, zaufanego telefonu lub komputera. Samo zamknięcie okna programu może nie wystarczyć, szczególnie jeżeli oszust uzyskał możliwość stałego zdalnego połączenia albo nakłonił cię do instalacji dodatkowych aplikacji.

Zachowaj dowody. Nie kasuj rozmowy ze wstydu ani złości. Zrób kopie:

• treści ogłoszenia,
• korespondencji e-mail i rozmów z komunikatora,
• numerów telefonów,
• adresów stron,
• nazw profili,
• numerów rachunków,
• potwierdzeń przelewów,
• identyfikatorów transakcji,
• przesłanych dokumentów i plików.

Podejrzaną stronę lub wiadomość można zgłosić do CERT Polska, m.in. poprzez formularz incydent.cert.pl oraz usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Podejrzany SMS można przekazać na bezpłatny numer 8080. Jeżeli straciłeś pieniądze albo twoje dane zostały wykorzystane, skontaktuj się także z bankiem i zgłoś sprawę Policji. Samo zgłoszenie witryny do CERT nie zastępuje zawiadomienia o przestępstwie.

Najważniejsze ograniczenie jest proste: nie istnieje metoda, która daje 100% pewności po jednym sprawdzeniu. Prawdziwa firma może mieć mało rozbudowaną stronę, rekruter może pisać z prywatnego telefonu, a nowy przedsiębiorca może nie mieć wielu opinii. Dlatego nie oceniaj oferty na podstawie pojedynczej cechy. Jeżeli jednak pojawia się żądanie pieniędzy, danych bankowych, kodów autoryzacyjnych albo instalacji zdalnego pulpitu, nie potrzebujesz kolejnych dowodów, żeby przerwać kontakt.

FAQ — najczęstsze pytania o fałszywe oferty pracy

Czy oferta pracy wysłana przez WhatsApp lub Telegram zawsze jest oszustwem?
Nie. Komunikator może być zwykłym kanałem kontaktu, ale firma, rekruter i samo ogłoszenie muszą dać się potwierdzić niezależnie. Nie traktuj nazwy i zdjęcia profilu jako dowodu tożsamości.

Czy pracodawca może poprosić kandydata o PESEL?
PESEL nie jest standardową daną potrzebną na pierwszym etapie naboru. Może być potrzebny na późniejszym etapie związanym z zatrudnieniem i obowiązkami kadrowymi. Prośba o PESEL razem ze skanem dowodu przed pierwszą rozmową powinna być potraktowana jako poważny sygnał ostrzegawczy.

Czy agencja pracy może pobrać ode mnie opłatę?
Nie może dowolnie żądać zapłaty za samo znalezienie zatrudnienia. Przy kierowaniu do pracy za granicą dopuszczalne mogą być faktycznie poniesione i wskazane w pisemnej umowie koszty, np. dojazdu, wizy, badań lekarskich czy tłumaczeń dokumentów. „Opłata rekrutacyjna” albo „pakiet startowy” wymagają szczególnej ostrożności.

Czy kłódka przy adresie strony oznacza, że witryna pracodawcy jest bezpieczna?
Nie. HTTPS oznacza szyfrowane połączenie z daną stroną. Oszust również może uruchomić witrynę z certyfikatem SSL. Trzeba sprawdzić przede wszystkim samą domenę i dane stojącego za ofertą podmiotu.

Kliknąłem link, ale niczego nie wpisałem. Czy muszę zastrzegać kartę?
Samo wejście na stronę bez podania danych, instalowania plików i zatwierdzania operacji zwykle oznacza mniejsze ryzyko niż przekazanie danych logowania. Sprawdź jednak, czy nie pobrał się plik lub aplikacja. Jeżeli wpisałeś hasło, zmień je. Jeżeli podałeś dane karty lub bankowości, skontaktuj się z bankiem natychmiast.

Rekruter chce, żebym zrobił przelew na 1 zł w celu weryfikacji rachunku. Czy to normalne?
Nie wykonuj takiej operacji wyłącznie na podstawie wiadomości od niezweryfikowanego rekrutera. Szczególnie niebezpieczne są linki prowadzące do rzekomego panelu bankowego. Jeżeli firma twierdzi, że procedura jest autentyczna, najpierw potwierdź ją bezpośrednio w oficjalnym dziale HR.

Dostałem pierwsze 20 lub 50 zł za wykonanie zadania. Czy to potwierdza, że praca jest prawdziwa?
Nie. Niewielka wypłata może być elementem oszustwa. Jej celem jest przekonanie ofiary, że system działa, zanim zostanie poproszona o wpłatę kilkuset lub kilku tysięcy złotych. Jeżeli kolejne zadanie wymaga wniesienia własnych pieniędzy, przerwij udział.

Jeżeli masz przed sobą konkretną ofertę, zacznij od sprawdzenia podmiotu w CEIDG, KRS albo — w przypadku agencji — KRAZ i potwierdzenia rekrutacji przez oficjalny kanał firmy. Dopóki te dwa elementy się nie zgadzają, nie wysyłaj PESEL-u, skanu dokumentu ani danych bankowych i nie przelewaj żadnych pieniędzy. To jest pierwszy błąd, który trzeba wyeliminować: ufanie wiadomości tylko dlatego, że wygląda profesjonalnie.

Więcej informacji na: pracamoney.pl