Cyberbezpieczeństwo HR i rekrutacji: Jak wykryć zainfekowane CV i fałszywych kandydatów AI

W większości organizacji polityka bezpieczeństwa informacji jednoznacznie nakazuje pracownikom, aby nigdy nie otwierali załączników od nieznanych nadawców. Tymczasem codzienna praca rekrutera lub specjalisty HR polega dokładnie na czymś odwrotnym: odbieraniu dziesiątek plików z zewnątrz każdego dnia, klikaniu w linki prowadzące do portfolio kandydatów, nawiązywaniu kontaktu z obcymi osobami oraz pozyskiwaniu dokumentów tożsamości czy numerów rachunków bankowych. Ta strukturalna otwartość sprawia, że działy kadr stanowią jeden z najbardziej narażonych i najczęściej atakowanych punktów wejścia do organizacji.

Cyberprzestępcy doskonale rozumieją tę specyfikę operacyjną. Przestali ograniczać się do prymitywnych makr ukrytych w fałszywych plikach Word. Współczesna inżynieria społeczna wykorzystuje w pełni sfabrykowane profile na LinkedIn, dokumenty PDF zawierające złośliwy kod omijający standardowe filtry bezpieczeństwa, a nawet fikcyjnych kandydatów generowanych przez sztuczną inteligencję, którzy uczestniczą w rozmowach rekrutacyjnych wideo, aby przeniknąć do wnętrza infrastruktury IT.

Dlaczego rekruterzy są priorytetowym celem cyberataków?#

W skrócie: Zespoły HR przetwarzają każdego dnia setki niezweryfikowanych załączników zewnętrznych i posiadają bezpośrednie uprawnienia do poufnych danych pracowników, systemów płacowych oraz kont bankowych. To unikalne połączenie wymuszonej otwartości na świat zewnętrzny i wysokich uprawnień wewnętrznych czyni z nich idealny cel socjotechniczny.

Środowisko pracy specjalisty ds. rekrutacji wymaga dużej dynamiki działania. Przy presji czasu i setkach spływających aplikacji odruchowe otwieranie plików przesłanych pocztą elektroniczną lub pobranych z zewnętrznych portali staje się działaniem rutynowym.

Cyberprzestępcy wykorzystują ten schemat za pomocą precyzyjnie przygotowanych wektorów ataku:

• Zainfekowany załącznik: Atakujący przesyłają złośliwe oprogramowanie kradnące dane (infostealery) lub ransomware w pozornie bezpiecznych formatach (archiwa ZIP zabezpieczone hasłem w celu ominięcia bramek pocztowych, pliki PDF z ukrytymi skryptami lub fałszywe odnośniki do usług OneDrive czy Notion).
• Bezpośredni dostęp do danych wrażliwych: Dział HR przetwarza dane podlegające ścisłej ochronie RODO i kontroli Prezesa UODO, które na czarnym rynku mają ogromną wartość handlową (numery PESEL, adresy zamieszkania, skany dowodów tożsamości, numery kont bankowych).
• Punkt wyjścia do oszustw płacowych: Po przejęciu skrzynki pocztowej pracownika kadr przestępcy mogą niepostrzeżenie zmienić numery rachunków bankowych pracowników lub kontrahentów tuż przed realizacją cyklicznych przelewów wynagrodzeń.

Aby przygotować Państwa organizację na te realistyczne scenariusze, kluczowy pozostaje systematyczny trening personelu. Rozwiązania takie jak Super Phisher, nasz symulator kampanii edukacyjnych wdrażany przy wsparciu ekspertów Brain Security, pozwalają sprawdzić odporność rekruterów na ataki socjotechniczne osadzone bezpośrednio w realiach procesów rekrutacyjnych.

Jak rozpoznać zainfekowane CV lub złośliwe portfolio?#

W skrócie: Wykrywanie złośliwych aplikacji wymaga wnikliwej weryfikacji formatu plików, szczególnej czujności wobec żądań włączenia makr czy logowania do zewnętrznych chmur, a także analizy niespójności chronologicznych i językowych w przesłanym życiorysie.

Grupy przestępcze stale modyfikują narzędzia, aby omijać mechanizmy antywirusowe i filtry brzegowe. Dlatego specjaliści HR muszą wypracować konkretne nawyki higieny cyfrowej, które nie paraliżują ich codziennej pracy.

Techniczne sygnały ostrzegawcze

Prawdziwe CV nigdy nie wymaga uruchamiania kodu wykonywalnego ani podnoszenia uprawnień systemowych. Zespół rekrutacji powinien natychmiast wstrzymać otwieranie pliku w przypadku wykrycia następujących anomalii:

• Rzeczywiste rozszerzenie pliku jest ukryte za pomocą podwójnego rozszerzenia (na przykład: CV_Senior_Developer.pdf.exe lub .pdf.vbs).
• Dokument wyświetla prośbę o włączenie makr, zezwolenie na aktywną zawartość lub modyfikację ustawień zabezpieczeń pakietu biurowego w celu "poprawnego wyświetlenia treści".
• Wiadomość zawiera link zewnętrzny wymagający ponownego logowania do Microsoft 365 lub Google Workspace w celu pobrania portfolio projektowego.

Niespójności w profilu kandydata

Próby manipulacji często pozostawiają ślady poza warstwą techniczną. Warto zwrócić uwagę na ogólną spójność tożsamości zawodowej: brak jakiejkolwiek historii cyfrowej poza kontem założonym kilka dni wcześniej, opisy stanowisk skopiowane słowo w słowo z innych profili czy podejrzana sieć wzajemnych rekomendacji z niedawno utworzonymi kontami mogą świadczyć o ukierunkowanej próbie infiltracji.

Deepfake i fałszywi kandydaci AI: nowe wyzwanie w rekrutacji#

Rozwój generatywnej sztucznej inteligencji doprowadził do powstania nowego zagrożenia: podszywania się pod kandydatów w czasie rzeczywistym podczas rozmów rekrutacyjnych online. Zagraniczne grupy przestępcze wykorzystują syntezę mowy oraz algorytmy zamiany twarzy na żywo, aby podstawione osoby pomyślnie przeszły proces rekrutacji na stanowiska w pełni zdalne, szczególnie w firmach technologicznych i u dostawców usług krytycznych.

Po podpisaniu umowy taki fałszywy pracownik otrzymuje dostęp do repozytoriów kodu źródłowego, kluczy API oraz firmowego tunelu VPN, co otwiera drogę do kradzieży własności intelektualnej, sabotażu lub wycieku danych.

Jak zidentyfikować kandydata wykorzystującego deepfake wideo

Chociaż jakość modeli dynamicznie rośnie, transmisje wideo modyfikowane w czasie rzeczywistym wciąż generują subtelne błędy:

• Artefakty wizualne na krawędziach: Nienaturalne rozmycia pojawiające się wokół oczu, oprawek okularów, linii żuchwy lub w momencie przesunięcia dłoni przed twarzą.
• Desynchronizacja mowy i ruchu warg: Ruch ust jest minimalnie opóźniony względem ścieżki dźwiękowej, co jest szczególnie widoczne przy głoskach zwartych (P, B, M).
• Nienaturalna postawa i mimika: Rozmówca unika dynamicznego obracania głowy do pełnego profilu, ponieważ algorytmy generujące obraz często tracą spójność przestrzenną przy skrajnych kątach nachylenia.

W kontekście tych wyzwań warto pamiętać, że Artykuł 4 europejskiego rozporządzenia AI Act zobowiązuje organizacje do wdrożenia i udokumentowania odpowiednich środków podnoszenia kompetencji i budowania świadomości ryzyk związanych ze sztuczną inteligencją wśród całego personelu mającego kontakt z tymi technologiami.

INTERFEJS I DOŚWIADCZENIE BRAIN SECURITY · Super Phisher

Budowa bezpiecznego procesu dla krytycznych rekrutacji#

Zapewnienie bezpieczeństwa procesów personalnych nie oznacza blokowania rekrutacji, lecz wymaga wdrożenia przejrzystych procedur we współpracy z działem bezpieczeństwa IT:

1. Izolacja otwierania załączników: Przekierowanie napływu aplikacji do dedykowanych systemów ATS zamiast bezpośrednich skrzynek pocztowych oraz automatyczne skanowanie podejrzanych plików i portfolio w środowiskach izolowanych (sandbox).

2. Procedura weryfikacji tożsamości: W przypadku stanowisk zdalnych z dostępem uprzywilejowanym (programiści, inżynierowie DevOps, administratorzy, finanse) warto zaplanować niespodziewaną weryfikację telefoniczną, fizyczną kontrolę dokumentów tożsamości lub spotkanie stacjonarne przed nadaniem uprawnień w sieci wewnętrznej.

3. Ścisłe procedury zmiany danych finansowych: Bezwzględny zakaz aktualizacji numerów kont bankowych na podstawie zwykłej wiadomości e-mail, wymagający każdorazowo bezpośredniego potwierdzenia głosowego na znany, wewnętrzny numer służbowy pracownika.

Odporność całej organizacji na incydenty zależy w dużej mierze od czujności osób prowadzących rekrutację. Aby ocenić podatność Państwa zespołów na zaawansowane ataki socjotechniczne i opracować skuteczny program edukacyjny, warto porozmawiać o potrzebach organizacji z ekspertami Brain Security.

Przeczytaj również: powiązane artykuły i rozwiązania Brain Security#

Powiązane artykuły na ten temat

• Farmacja, biotechnologia i R&D: Ochrona patentów i badań klinicznych przed szpiegostwem (Industries & Roles) : Chroń własność intelektualną i dane z badań klinicznych przed szpiegostwem dzięki angażującej edukacji zespołów R&D i naukowców. Sprawdź Brain Security.
• Cyberbezpieczenstwo w szpitalu: Jak szkolic personel medyczny bez straty cennego czasu pacjentow? (Industries & Roles) : Szkolenie personelu szpitalnego z cyberbezpieczenstwa jest kluczowe. Poznaj innowacyjne metody budowania nawykow bez obciazania grafiku lekarzy i pielegniarek.
• Świadomość cyberbezpieczeństwa w bankowości i ubezpieczeniach: Więcej niż DORA i KNF (Industries & Roles) : Dowiedz się, jak przekształcić szkolenia cyberbezpieczeństwa w sektorze finansowym. Skuteczna ochrona przed zaawansowanymi oszustwami i wymogi DORA.
• Atak BEC i podmiana numeru konta: Jak udaremnić oszustwo na fakturę dostawcy (Phishing & Social Engineering) : Jak wykryć fałszywą zmianę rachunku bankowego przy przejętej skrzynce e-mail partnera? Poznaj procedury weryfikacji i kluczowe wskaźniki BEC.

Poznaj rozwiązania Brain Security na naszej stronie

• Powiązane rozwiązanie : Super Phisher : Realistyczne symulacje phishingu (Super Phisher): bezpieczny trening rozpoznawania socjotechniki i zgłaszania incydentów.
• Sprawdź przypadki użycia według celów i branż
• Porównaj nasze formaty budowania świadomości cyber i AI
• Zobacz pełny interaktywny katalog Brain Security
• Porozmawiaj o swoich potrzebach z naszym zespołem (demo i wdrożenie)