Cibersegurança nos RH: Detetar CV Maliciosos e Falsos Candidatos IA

Na maioria das organizações, a política de segurança recomenda expressamente aos colaboradores que nunca abram anexos provenientes de desconhecidos. Contudo, o trabalho diário de um recrutador ou gestor de recursos humanos consiste precisamente no oposto: receber dezenas de ficheiros externos todos os dias, clicar em hiperligações para portfólios, interagir com pessoas desconhecidas e recolher documentos de identificação ou comprovativos de IBAN. Esta abertura estrutural torna a área de Recursos Humanos num dos pontos de entrada mais expostos e visados pelos cibercriminosos.

Os atacantes conhecem perfeitamente esta vulnerabilidade intrínseca. Já não se limitam ao envio de macros maliciosas básicas em ficheiros Word de candidaturas. Atualmente, a engenharia social tira partido de perfis no LinkedIn totalmente forjados, ficheiros PDF com código malicioso indetetável pelas ferramentas de filtragem convencionais e até candidatos fictícios gerados por inteligência artificial, que realizam entrevistas de emprego por videoconferência com o objetivo de se infiltrarem no núcleo dos sistemas de informação.

Por que razão os recrutadores são o alvo prioritário dos ciberataques?#

Em resumo: As equipas de RH processam diariamente centenas de anexos não solicitados e possuem acessos diretos a dados sensíveis dos colaboradores, sistemas de processamento salarial e dados bancários. Esta combinação única de exposição externa obrigatória com privilégios internos elevados transforma este departamento no alvo ideal de engenharia social para os atacantes.

O fluxo de trabalho de um profissional de recrutamento exige grande rapidez de resposta. Perante a escassez de talento ou volumes elevados de candidaturas, o ato de abrir um currículo recebido por correio eletrónico ou descarregado de uma plataforma externa torna-se quase automático.

Os cibercriminosos exploram este comportamento através de vários vetores bem delineados:

• O anexo malicioso: Os atacantes ocultam infostealers ou ransomwares em formatos aparentemente inofensivos (como arquivos ZIP protegidos por palavra-passe para contornar os filtros dos gateways de email, ou ficheiros PDF com scripts e falsas hiperligações para o OneDrive ou Notion).
• O acesso direto a dados confidenciais: O departamento de recursos humanos processa dados com valor comercial elevado na darknet (números de identificação civil e fiscal, moradas, cópias de documentos de identificação e dados bancários dos colaboradores).
• O desvio para a fraude de transferências bancárias: Após comprometer a caixa de correio eletrónico de um gestor de RH, os atacantes conseguem alterar discretamente as contas bancárias de destino de colaboradores ou prestadores de serviços momentos antes da execução dos pagamentos de salários.

Para preparar as suas equipas para estes cenários realistas, o treino contínuo continua a ser a defesa mais eficaz. Soluções como o Super Phisher, o nosso simulador de campanhas de treino implementado com os especialistas da Brain Security, permitem expor os recrutadores a cenários contextuais adaptados aos seus canais reais de recrutamento.

Como identificar um CV com malware ou um portfólio malicioso?#

Em resumo: A deteção de um currículo com código malicioso baseia-se na análise rigorosa do formato do ficheiro, na atenção a pedidos para ativar scripts ou introduzir credenciais em falsos serviços de nuvem, bem como na observação de incongruências cronológicas e sintáticas no percurso profissional.

Os atacantes aprimoram continuamente os seus métodos para contornar os controlos técnicos habituais. Deste modo, os profissionais de seleção necessitam de adquirir reflexos de higiene digital específicos, sem comprometer a agilidade do seu trabalho diário.

Os sinais de alerta técnicos

Um currículo legítimo nunca necessita de executar comandos nem de solicitar privilégios de administrador. As equipas devem suspender imediatamente o manuseamento de um ficheiro perante as seguintes anomalias:

• A extensão real do documento encontra-se disfarçada por uma extensão dupla (por exemplo: CV_Programador_Senior.pdf.exe ou .pdf.vbs).
• O documento solicita a ativação de macros, a permissão para executar conteúdos ou a alteração de definições de segurança sob o pretexto de "visualizar corretamente a formatação".
• A mensagem remete para uma ligação externa que exige nova autenticação no Microsoft 365 ou Google Workspace para consultar um portfólio ou ficheiros de projetos.

As incoerências no perfil

Para além dos aspetos puramente técnicos, as táticas de engenharia social deixam pistas visíveis. Os recrutadores devem avaliar a consistência global: uma presença digital nula além de uma conta criada na semana anterior, textos de apresentação copiados de outros profissionais ou recomendações mútuas recentes entre perfis suspeitos constituem fortes indícios de uma tentativa de intrusão planeada.

Deepfakes e falsos candidatos com IA: o novo desafio no recrutamento#

O avanço das tecnologias generativas originou uma nova ameaça: a usurpação de identidade em tempo real durante entrevistas por vídeo. Grupos hostis recorrem a modelos de clonagem de voz e troca de rosto em direto (face swapping) para conduzir entrevistas com atores contratados, com o objetivo de obter funções em trabalho exclusivamente remoto em empresas tecnológicas ou prestadores de serviços estratégicos.

Uma vez integrado na organização, o falso colaborador obtém acesso aos repositórios de código fonte, chaves de API e credenciais de VPN, abrindo a porta à exfiltração massiva de dados ou a ações de sabotagem interna.

Dicas para desmascarar um candidato que utiliza deepfake em vídeo

Embora os modelos estejam cada vez mais aperfeiçoados, a transmissão de vídeo manipulada em direto apresenta pequenas falhas percetíveis:

• Artefactos visuais no contorno do rosto: Surgem distorções ou zonas desfocadas junto aos olhos, aos óculos, ao maxilar ou no momento em que o candidato passa a mão em frente à face.
• Dessincronização labial: O movimento dos lábios apresenta ligeiros atrasos em relação à voz, sobretudo na articulação de consoantes oclusivas (P, B, M).
• Postura pouco natural: O candidato tende a evitar virar a cabeça totalmente de perfil, dado que os algoritmos de deepfake perdem frequentemente a referência espacial em ângulos extremos.

Perante este panorama de novas ameaças, o Artigo 4.º do AI Act determina que as organizações devem adotar e documentar medidas práticas de literacia e sensibilização para os riscos associados à inteligência artificial junto de todos os colaboradores envolvidos.

INTERFACE E EXPERIÊNCIA BRAIN SECURITY · Super Phisher

Implementar um processo seguro para contratações estratégicas#

Proteger os processos de recursos humanos não implica bloquear o recrutamento, mas sim estabelecer regras claras em estreita colaboração com a direção de cibersegurança e sistemas de informação:

1. Garantir a segurança no tratamento de anexos: Canalizar as candidaturas através de plataformas ATS dedicadas em vez de caixas de correio individuais diretas, e isolar a análise de portfólios suspeitos em ambientes seguros e controlados (sandboxes).

2. Exigir uma dupla validação de identidade: Em contratações totalmente remotas com acesso a ativos sensíveis (engenharia de software, administração de sistemas, tesouraria), aplicar contactos de controlo imprevisíveis, a conferência de documentos de identificação autênticos ou reuniões presenciais antes da atribuição definitiva de acessos.

3. Definir um protocolo rigoroso para alterações de IBAN: Proibir a atualização de dados bancários com base exclusiva em pedidos por correio eletrónico, exigindo confirmação por contacto telefónico direto através do número de telefone interno já registado do colaborador.

A resiliência global de uma organização depende em grande escala da atenção das suas equipas de recrutamento. Para avaliar a resposta dos seus profissionais perante ataques direcionados e estruturar um plano de treino adaptado, partilhe as suas necessidades connosco através de uma reunião com os especialistas da Brain Security.

Para aprofundar: artigos relacionados e soluções da Brain Security#

Artigos complementares sobre este tema

• Indústria Farmacêutica, Biotech e I&D: Proteger patentes e ensaios clínicos contra a espionagem (Setores e Funções) : Proteja a sua propriedade intelectual e ensaios clínicos contra a ciberespionagem com uma sensibilização adaptada às equipas de I&D e cientistas.
• Cibersegurança no hospital: Como sensibilizar as equipas de saúde sem roubar tempo clínico? (Setores e Funções) : Sensibilizar profissionais de saúde para o risco cibernético é vital. Descubra métodos inovadores para formar médicos e enfermeiros sem impacto no tempo clínico.
• Sensibilização em Cibersegurança na Banca e Seguros: Além do Cumprimento Normativo (Setores e Funções) : Saiba como transformar a sensibilização em cibersegurança na banca e seguros perante as exigências DORA e a sofisticação da fraude digital.
• Ataque BEC e alteração de IBAN: Travar a fraude do falso fornecedor (Phishing e Engenharia social) : Como detetar uma alteração fraudulenta de IBAN com o email do fornecedor comprometido? Sinais de alerta, validação por chamada e reflexos cruciais.

Descobrir as soluções da Brain Security no site

• Solução associada : Super Phisher : O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe.
• Consultar os casos de uso por necessidade e setor
• Comparar os nossos formatos de sensibilização ciber e IA
• Explorar todo o catálogo interativo da Brain Security
• Falar das suas necessidades com a nossa equipa (demo e implementação)