Осторожно: мошенники под видом работодателей на HH и в мессенджерах — как не попасться
Сегодня всё чаще появляются сообщения о новых схемах мошенничества при поиске работы — особенно в IT и смежных сферах. Мошенники научились использовать популярные площадки вроде HH.ru и Telegram: выманивают персональные данные, получают доступ к устройствам, а иногда и к банковским счетам.
Недавно с нашей бывшей коллегой произошёл такой случай. Поэтому мы в «Софт-Юнити» решили подготовить подробную инструкцию для всех: наших сотрудников, HR-специалистов, клиентов и партнёров. Расскажем, как устроены схемы обмана и как защитить себя и своих коллег — чтобы как можно больше людей были в безопасности.
Как это было: реальный случай с HH
- На HH размещена реальная вакансия IT-компании, допустим, X ONE.
- Соискателю пишут в WhatsApp якобы от лица рекрутера, ссылаясь на вакансию и компанию.
- Переписка выглядит профессионально: обсуждают опыт, зарплатные ожидания.
- После этого на почту приходит письмо с просьбой подписать согласие на обработку персональных данных с помощью простой электронной подписи (ПЭП) через сторонний сайт, якобы предназначенный для подписания согласия на обработку ПДн.
- К письму приложен индивидуальный код (пароль), ссылка ведёт на неизвестный ресурс.
Уже здесь стоит насторожиться: в письме фигурирует другая компания — ООО «ИКС ОДИН», а не X ONE, и никаких ПЭП на этом этапе быть не должно.
Коллега не стала ничего подписывать. Знакомые HR подтвердили: это мошенническая схема. Злоумышленники либо собирают персональные данные, либо пытаются получить согласие на доступ к аккаунтам или даже устройству.
Еще одна схема мошенничества при поиске работы в IT
Особенно часто такие схемы встречаются в Telegram-каналах с вакансиями:
- Мошенник публикует фейковую вакансию, представляясь сотрудником известной IT-компании.
- Просит заполнить Google-форму с персональными данными.
- После этого подставное лицо звонит и предлагает привязать номер телефона к корпоративной сим-карте через онлайн-банк — якобы чтобы получать зарплату.
- На деле это даёт мошенникам доступ к вашему онлайн-банку.
МВД России фиксировало десятки таких объявлений, которые распространяются одним мошенническим аккаунтом.
Какие ещё схемы используют мошенники
- Просят коды из SMS, CVV, push-уведомлений, email-подтверждений.
- Выманивают паспортные данные, водительские удостоверения.
- Заманивают бесплатными тестовыми заданиями, фактически получая от кандидатов готовые стратегии и разработки.
- Просят оплатить пошлины, комиссии, оформление виз — особенно при «трудоустройстве» за границей.
- Высылают фишинговые ссылки, замаскированные под официальные порталы HH или компаний.
- Предлагают оплатить обучение, доступ к базе данных или софту.
Почему это подозрительно
-
Реальные компании не требуют ПЭП или пароли на этапе рассмотрения резюме.
-
Когда вы откликаетесь на вакансию на HH.ru или подобном сайте о поиске работы, вы автоматически даёте своё согласие на обработку персональных данных нужными компаниями. Это прописано в условиях на сайте того же Хэдхантера, например: «Отправляя отклик на вакансию посредством сайта hh.ru, пользователь ... предоставляет своё информированное согласие в пользу ООО "Хэдхантер" ... на систематизацию, хранение, уточнение, использование, распространение … для целей возможного трудоустройства у организации, разместившей вакансию». Это согласие действует неограниченно (до отзыва). Также его хватает, чтобы компания, в которую вы откликнулись, легально получила ваше резюме — часто без отдельного документа.
-
Переписка всегда идёт либо через HH, либо по корпоративной почте. Telegram и WhatsApp допустимы, но только после отклика кандидата.
Добропорядочные компании, столкнувшиеся с тем, что мошенники используют их наименования для противоправных действий, даже размещают на своих сайтах вот такие предупреждения
Как не попасться
| Проверьте | Действие |
|---|---|
| Контакты компании | Найдите официальный сайт, убедитесь в существовании рекрутера |
| Юридические данные | Проверьте ИНН, ОГРН, арбитражи, лицензии |
| Ссылки в письмах | Переходите только с официальных сайтов |
| Запросы личных данных | Никогда не сообщайте данные банков, паспортов до подписания договора |
| Поведение «работодателя» | Срочность, давление, нетипичные просьбы — красный флаг |
Что делать, если уже нажали на ссылку или ввели данные
- Срочно смените пароли на всех ключевых сервисах: почта, HH, Telegram.
- Проверьте устройство антивирусом.
- Если указывали банковские данные — заблокируйте карту.
- Сообщите в техподдержку HH и в компанию, чьим именем прикрывались мошенники.
- При необходимости — обратитесь в правоохранительные органы.
Как законно обрабатываются персональные данные кандидатов и сотрудников
Мошенники часто прикрываются якобы «законными» основаниями для запроса персональных данных — и этим путают соискателей. Поэтому важно знать, как должен действовать работодатель, и что вправе требовать, а что — нет.
Что вправе делать работодатель
- Обрабатывать резюме, если кандидат прислал его напрямую или откликнулся через HH или другой работный сайт, где размещение уже подразумевает согласие на обработку. А также собирать контактные данные (телефон, e‑mail) — исключительно для связи
- Запрашивать паспорт, СНИЛС, диплом и другие документы — только после заключения трудового договора, а не раньше
- Передавать данные третьим лицам (банкам, подрядчикам и пр.) — только при наличии письменного согласия, если иное не вытекает из закона
Еще важные моменты
| Вопрос | Пояснение |
|---|---|
| Когда согласие не требуется |
• Если данные обрабатываются в рамках исполнения трудового договора или по закону (налоги, ПФР, медосмотры, командировки). • Передача данных в банк без согласия возможна, если: - банк заключает договор напрямую с сотрудником; - есть доверенность работника; - способ выплаты закреплён в коллективном договоре. |
| Что работодатель не должен требовать |
• Коды из СМС, CVV, push-уведомления. • Привязку банковских карт к чужим номерам. • Скан паспорта до подписания договора. • Привязку личного телефона к «корпоративной сим-карте через онлайн-банк». |
| Как оформляется согласие, если оно нужно |
• В письменной форме или через официальный сайт компании. • В документе должно быть указано: - цели обработки; - конкретный перечень данных; - кто и зачем будет их получать. • С марта 2025 г. согласие должно быть оформлено отдельным документом, а не частью договора. |
| Если кандидат не принят |
• Удалить все его данные в течение 30 дней, если не оговорено иное. • Исключение — госструктуры (данные хранятся до 3 лет). |
Схемы могут быть разные, но их объединяет одно — любое нетипичное, подозрительное поведение «работодателя» должно вас насторожить.
Количество просмотров: 6674
