Fałszywa rekrutacja: pięć maili i „rekruter”, który rozwijał mój projekt

W ciągu trzech dni dostałem pięć podejrzanych wiadomości rekrutacyjnych. Nadawcy powoływali się na Robert Half i Stripe, wymieniali technologie z moich projektów i proponowali rozmowę o pracy. Jeden z nich napisał nawet, że rozwija Mouzi.

Mouzi to mój projekt.

Ten fragment był najbardziej absurdalny, ale wcześniej pojawiły się inne sygnały ostrzegawcze. Zmieniające się konta Gmail, brak odpowiedzi na konkretne pytania i firmowo wyglądający adres, który okazał się tylko nazwą nadawcy.

Opisuję wiadomości otrzymane od 13 do 15 września 2026 r. oraz stan korespondencji sprawdzony 16 września. Nazwiska i nazwy firm pojawiające się w mailach są deklaracjami nadawców. Nie potwierdzają, kto faktycznie obsługiwał te konta.

Odpisałem „Annie”, żeby zobaczyć, co będzie dalej

Pierwsza wiadomość przyszła 13 września. Osoba podpisana jako Anna Tice przedstawiała się jako członkini zespołu rekrutacyjnego Robert Half. Wymieniała TypeScript, React, Node.js, Rust i Tauri. Pasowało to do technologii widocznych w moich publicznych projektach.

O samej pracy pisała ogólnie. Brakowało konkretnego stanowiska, klienta i odnośnika do oferty. Wiadomość przyszła z Gmaila.

Następnego dnia dostałem kolejnego maila od „Anny”. Tym razem temat dotyczył software i QA engineering, a adres nadawcy był już inny.

Postanowiłem ją trochę podpuścić. Odpisałem, że mogę być zainteresowany, i poprosiłem o pełny opis stanowiska, numer rekrutacji w Robert Half, nazwę klienta, warunki zatrudnienia oraz link do oferty na stronie firmy. Chciałem zobaczyć, czy dostanę coś, co da się sprawdzić, czy zacznie się kolejna historia.

Na te pytania nie dostałem odpowiedzi. Za to 15 września przyszła nowa wiadomość podpisana tym samym nazwiskiem. Z trzeciego konta Gmail, z nieco innym tematem i kolejną ogólną propozycją rozmowy.

Sama zmiana adresu nie wyjaśnia, kto stoi za wiadomościami. W połączeniu z powoływaniem się na znaną firmę i ignorowaniem pytań o ofertę była jednak mocnym powodem, żeby nie traktować tego kontaktu jako zweryfikowanej rekrutacji.

Odpisałem z ciekawości. Do sprawdzenia podejrzanej oferty nie trzeba jednak prowadzić takiego eksperymentu. Można skontaktować się z firmą niezależnie, przez dane znalezione na jej oficjalnej stronie.

Potem pojawiła się rzekoma rekrutacja do Stripe

15 września dostałem też wiadomość od osoby przedstawiającej się jako Gregory Crenshaw, założyciel Vantage Talent Search. Pisał o poufnej rekrutacji na stanowisko Staff Backend Engineer w Stripe. Wymieniał San Francisco lub pracę zdalną i od 350 do 575 tys. dolarów łącznego wynagrodzenia.

Sama wysoka kwota nie dowodzi oszustwa. Znacznie więcej mówiły szczegóły nadawcy i treść wiadomości.

W środku znalazłem zdanie:

I build and maintain open-source and web projects, including Mouzi…

Dalej pojawiał się opis aplikacji i technologie: Rust, Tauri, React oraz TypeScript. Nadawca pisał o moim projekcie w pierwszej osobie, jakby sam go rozwijał.

Wieczorem dostałem niemal identyczny mail, podpisany tym samym nazwiskiem, ale wysłany z kolejnego Gmaila. Fragment o Mouzi też został.

Firmowy adres w nazwie nadawcy nie jest adresem skrzynki

To szczegół, który łatwo przeoczyć przy szybkim przeglądaniu poczty.

W pierwszej wiadomości od „Gregory'ego” nazwa nadawcy wyglądała tak:

gregorycrenshaw@vantagetalentsearch.com

Można ją było wziąć za adres skrzynki. Tymczasem właściwy adres w polu „Od” kończył się na @gmail.com.

W drugim wierszu skróciłem część adresu przed znakiem @.

Nazwa wyświetlana jest tekstową etykietą. Zwykle zawiera imię i nazwisko albo nazwę firmy, ale może również zawierać coś, co wygląda jak adres e-mail. W tej wiadomości firmowo wyglądający adres umieszczono właśnie w tej etykiecie.

Przy sprawdzaniu nadawcy trzeba więc rozwinąć szczegóły wiadomości i odczytać pełny adres w polu „Od”. Sam napis widoczny na liście maili nie wystarcza.

Warto też zerknąć na pole „Odpowiedź do”, jeżeli występuje. Może wskazywać inny adres niż pole „Od”. To bywa normalne, ale wymaga uwagi, gdy próbujesz ustalić, z kim rozmawiasz.

Google w swoich wytycznych dla nadawców rozróżnia nazwy wyświetlane i adresy oraz wymaga, aby informacje o nadawcy nie wprowadzały odbiorcy w błąd.

Dlaczego SPF, DKIM i DMARC miały wynik „pass”?

W nagłówkach analizowanych wiadomości kontrole SPF, DKIM i DMARC przechodziły poprawnie. Dotyczyły jednak domeny gmail.com.

W uproszczeniu SPF sprawdza, czy serwer może wysyłać pocztę dla sprawdzanej domeny. DKIM weryfikuje podpis wiadomości związany z domeną podpisującą. DMARC sprawdza zgodność domeny adresu „Od” z domeną uwierzytelnioną przez SPF lub DKIM. Te mechanizmy nie oceniają prawdziwości oferty pracy. Wyjaśnienie Google.

W moim przypadku wyniki potwierdzały uwierzytelnienie wiadomości dla Gmaila. Nie potwierdzały zatrudnienia nadawcy w Robert Half ani jego upoważnienia do rekrutowania dla Stripe. Adres wpisany jako nazwa wyświetlana nie zmieniał tego wyniku.

Google zaznacza również, że spamerzy mogą uwierzytelniać swoją pocztę. Poprawny wynik kontroli nie daje więc gwarancji uczciwości nadawcy. Pomoc Gmaila.

Znajomość Twojego projektu nie potwierdza tożsamości rekrutera

W moich mailach pojawiały się konkretne technologie i nazwa aplikacji. Taka personalizacja może sprawiać wrażenie, że ktoś poświęcił czas na poznanie kandydata.

Opis Mouzi jest jednak publiczny. Do napisania tych wiadomości nie była potrzebna znajomość mnie ani dostęp do prywatnych danych.

Błąd z pierwszą osobą wygląda jak źle przygotowana personalizacja. Mógł powstać przy generowaniu tekstu przez AI, kopiowaniu opisu lub składaniu szablonu. Z samego maila nie da się rozstrzygnąć, która wersja jest prawdziwa. Nie mam też dowodu, że za „Anną” i „Gregorym” stoi ta sama osoba.

Mogę natomiast pokazać pięć wiadomości z pięciu kont, powtarzające się deklaracje nadawców i brak odpowiedzi na prośbę o weryfikowalne szczegóły.

Jak sprawdzić podejrzaną ofertę pracy

Nie trzeba od razu analizować wszystkich nagłówków. Wiele można ustalić, sprawdzając kilka konkretnych rzeczy:

1. Odczytaj pełny adres nadawcy. Zwróć uwagę na domenę po znaku @, jej pisownię i zgodność z deklarowaną firmą. Własna domena również nie daje automatycznej gwarancji bezpieczeństwa.
2. Zweryfikuj rekrutację niezależnie. Wejdź na oficjalną stronę firmy i skorzystaj z podanych tam kontaktów. Brak publicznego ogłoszenia nie przesądza o oszustwie, bo zdarzają się rekrutacje poufne. Nadal można jednak sprawdzić tożsamość agencji i jej deklarowany związek z pracodawcą.
3. Oceń, o co prosi nadawca. Szczególną ostrożność powinny wzbudzić opłaty za udział w rekrutacji, prośby o hasła, kody logowania, dane bankowe lub skany dokumentów na samym początku kontaktu.
4. Sprawdź adres strony przed wpisaniem danych. Logo firmy i wygląd formularza nie potwierdzają, że należą do prawdziwego pracodawcy.
5. Nie uruchamiaj kodu ani instalatorów od niezweryfikowanego kontaktu. Zadanie rekrutacyjne to nadal pliki otrzymane od obcej osoby. Dotyczy to również poleceń, które ktoś każe wkleić do terminala.

Sam Gmail nie oznacza oszustwa. Korzystają z niego także niezależni specjaliści i małe firmy. Znaczenie ma cały kontekst: deklarowane zatrudnienie w dużej organizacji, zmiany kont, brak konkretów i unikanie weryfikacji.

Robert Half ostrzega przed podszywaniem się pod swoich rekruterów. Wymienia między innymi ogólnikowe opisy stanowisk, prywatne konta pocztowe i prośby o pieniądze lub niepotrzebne dane.

Fałszywe rekrutacje opisuje również CSIRT NASK. W ostrzeżeniu z 2023 r. pokazano schemat kontaktu pod nazwą znanej firmy i przekierowania kandydatów na fałszywe strony. To przykład możliwego dalszego etapu, a nie dowód, że właśnie tak miały rozwinąć się moje wiadomości.

Gdzie zgłosić taki mail

Podejrzaną wiadomość można zgłosić jako phishing w swojej poczcie. Jeżeli ktoś wykorzystuje nazwę firmy, warto poinformować ją przez oficjalny kontakt do obsługi takich zgłoszeń.

W Polsce incydent można zgłosić przez formularz CERT Polska, wskazany na oficjalnej stronie kontaktowej zespołu.

Zachowaj oryginalną wiadomość, najlepiej jako plik EML z pełnymi nagłówkami. Taki plik pomaga analizować pochodzenie maila. Zrzut ekranu pokazuje tylko to, co było widoczne w aplikacji. Jeśli publikujesz zrzuty, usuń własny adres i dane innych osób, które nie są potrzebne do wyjaśnienia sprawy.

W otrzymanych wiadomościach nie było jeszcze prośby o pieniądze, dane do logowania ani uruchomienie pliku. Nie wiem, do czego miał prowadzić dalszy kontakt. Nie musiałem jednak tego sprawdzać, żeby uznać te wiadomości za niewiarygodne.

Fragment o Mouzi łatwo zapamiętać. Bardziej przydatny na co dzień jest mniej efektowny szczegół: firmowy adres był tylko tekstem wpisanym w nazwie nadawcy. Warto rozwinąć to pole, zanim wyśle się CV.