de Călin Perpelea,
Consultant IT pentru procese financiare,
Membru al echipei PNEFR
Două luni de căutat. Sute de aplicații. Tăcere.
Apoi, pe LinkedIn, un mesaj. Recrutoare cu profil solid, multinațională cunoscută, salariu peste piață, interviu video în 48 de ore. Trimiți CV-ul, copia buletinului „pentru verificarea identității”, datele bancare „pentru pregătirea contractului”.
Două săptămâni mai târziu, contactul dispare. Compania nu cunoaște persoana. Poziția nu există.
Trei luni mai târziu, banca îți respinge cererea de credit auto. Pe numele tău e deja unul de 25.000 de lei, neplătit, în recuperare.
CV-ul tău nu a fost niciodată ținta. CNP-ul tău a fost.
Cifrele care arată dimensiunea reală a fenomenului
Raportările privind fraudele la angajare s-au triplat în patru ani la nivel global, conform Federal Trade Commission. Pierderile au crescut de la 90 la 513 milioane de dolari. Și acestea sunt doar cazurile raportate.
Schimbarea reală nu e însă numerică, ci de natură. Înainte, atacatorii încercau să spargă sisteme: instalau viruși, găseau bug-uri, exploatau servere. Astăzi nu mai au nevoie. Le e mai ușor să te convingă pe tine să le dai voluntar tot ce vor: nume, CNP, copii după acte, date bancare. Conform buletinului DNSC din iulie 2025, aproape opt din zece atacuri cibernetice se fac acum exact așa: fără cod, fără viruși, doar prin manipulare directă. Identitatea ta a devenit mai valoroasă decât accesul la un sistem informatic.
Iar cei mai vizați sunt tinerii. Conform studiului Resume.org din 2025, unul din cinci tineri din generația Z spune că a căzut deja victimă unei fraude la angajare, de cinci ori mai mult decât în cazul generațiilor mai în vârstă. Dintre cei păcăliți, aproape unul din trei a pierdut bani direct din contul bancar.
„Eu nu trimit niciodată copia buletinului la o firmă necunoscută”
Asta e prima reacție a majorității cititorilor și e un instinct corect. Problema e că modul în care frauda modernă colectează date personale s-a schimbat fundamental.
În scenariul vechi, cineva îți cere direct copia actului. Mulți am refuza. În scenariul actual, datele se colectează gradual, fiecare cerere fiind justificată de logica unui proces de angajare real.
CV-ul actualizat, solicitat firesc în primul mesaj, conține deja numele complet, data nașterii, adresa, telefoanele, angajatorii anteriori și perioadele de angajare. Pentru un atacator, e o hartă a vieții tale profesionale. După un „interviu” promițător, primești o ofertă cu formular pre-completat: date bancare „pentru salariu”, copie buletin „pentru evidența personalului”, date despre familie „pentru asigurarea medicală”. Solicitarea pare profesională, formularul e branduit, totul curge natural.
Apoi vine cererea cu adevărat distructivă, deghizată în cea mai mică: o sumă „simbolică”, 200, 300, 500 de lei, pentru „verificarea antecedentelor”, „echipament de lucru” sau „training obligatoriu”. Sumele sunt mici tocmai pentru că nu activează suspiciuni.
Pierderea celor 500 de lei e neglijabilă. Dar nu acolo e atacul. Atacul real apare luni mai târziu, când datele colectate sunt folosite pentru a deschide conturi pe numele tău, pentru a aplica la credite rapide la instituții financiare nebancare cu verificări superficiale, sau pentru a te înrola involuntar în scheme de spălare de bani prin transferuri pe care nu le-ai făcut tu.
Spre deosebire de banii dintr-un cont, care pot fi blocați și uneori recuperați, identitatea ta odată compromisă necesită ani și costuri considerabile pentru a fi reconstruită.
Cum funcționează, mecanic, atacul
Toate aceste scenarii se construiesc pe un singur principiu: atacatorul nu fură nimic. Tu îi dai voluntar tot ce are nevoie.
Pretextarea: povestea care explică de ce solicitarea e legitimă. Un recrutor are motive valide să îți ceară date bancare. HR-ul are motive valide pentru copia buletinului. Atacatorul nu inventează situații suspecte; le clonează pe cele reale.
Reciprocitatea: îți oferă ceva valoros (oportunitate, salariu peste piață, condiții flexibile), iar creierul tău răspunde cu obligație. Vrei să demonstrezi că ești candidatul potrivit, vrei să răspunzi profesionist, vrei să nu pierzi oportunitatea.
Urgența calibrată: nu suficient de agresivă încât să declanșeze alarme, dar suficient de prezentă încât să elimine timpul de verificare. „Pozițiile se ocupă rapid.” „Echipa așteaptă să demareze.” „Avem nevoie de documente până vineri.”
Aceleași trei tehnici operează la scară corporativă, în atacurile de tip BEC, Business Email Compromise. Materialele de specialitate folosite în programele universitare documentează cazuri concrete: un singur email de phishing ajuns într-o companie contractantă guvernamentală a generat pierderi operaționale și financiare de peste un milion de dolari. Diferența între un atac asupra unei multinaționale și unul asupra unui candidat individual e doar de scară. Mecanismul psihologic e identic.
Ce poți face concret și ce puțini știu
Primul lucru: alerta de credit la Biroul de Credit.
Biroul de Credit din România oferă, la cererea persoanei fizice, posibilitatea de a fi notificată ori de câte ori cineva interoghează istoricul tău de credit pentru o aplicație nouă. Procedura există de ani de zile, e disponibilă oricărui cetățean, și e una dintre cele mai puțin folosite măsuri de protecție din România.
Mecanismul e simplu: orice instituție financiară, bancă, IFN, companie de leasing, verifică obligatoriu Biroul de Credit înainte să aprobe un credit. Dacă ai notificarea activată, primești un mesaj în momentul interogării. Dacă tu nu ai aplicat la niciun credit, înseamnă că altcineva a făcut-o pe numele tău. Ai timp să blochezi procesul înainte ca banii să fie eliberați.
Activarea durează aproximativ 15 minute prin platforma online a Biroului de Credit sau prin solicitare directă la una dintre băncile partenere. Costul e zero. Protecția pe care o oferi e disproporționat de mare comparativ cu efortul.
Al doilea lucru: verifică adresa de email a recrutorului. Atent, nu rapid.
Recrutorii din companiile reale folosesc întotdeauna emailuri pe domeniul oficial al companiei: nume.prenume@companie.ro. Nu folosesc Gmail, Yahoo, Outlook sau alte adrese personale pentru oferte profesionale. Acest principiu e standard în orice politică serioasă de securitate corporativă și e primul filtru care elimină majoritatea tentativelor de fraudă.
Problema e că atacatorii știu acest principiu și îl ocolesc prin trei tehnici subtile, care funcționează tocmai pentru că ochiul nu le observă în treacăt.
Prima tehnică: substituții de litere aproape identice. Un email care vine de la „nume@compamie.ro” în loc de „nume@companie.ro„, un singur caracter diferit, schimbat dintr-un n într-un m. Sau „microsft.com” în loc de „microsoft.com”. Sau „l” cu „I” majuscul, care arată identic în multe fonturi: gooIe.com versus google.com.
A doua tehnică: adăugarea unui sub-domeniu credibil. Un email de la „hr@companie-careers.com” sau „recruiting@companie-jobs.eu„, când compania reală operează doar pe „companie.ro”. Sufixele „careers”, „jobs”, „recruitment”, „hr” lipite de numele companiei prin cratimă creează iluzia unui departament oficial, care de fapt aparține unui domeniu cumpărat de atacator pentru câțiva euro.
A treia tehnică: folosirea numelui afișat fără verificarea adresei reale. Mailurile pot fi configurate să afișeze „Maria Popescu – HR Companie SRL” ca expeditor, dar adresa reală din spate să fie „mariapopescu1987@gmail.com„. Pe telefon, unde adresele complete nu sunt vizibile, această tehnică e aproape invizibilă.
Verificarea reală durează 30 de secunde: pe desktop, dă click pe numele expeditorului și verifică adresa exactă, caracter cu caracter. Pe telefon, deschide opțiunea „afișează detalii expeditor”. Compară domeniul cu cel al companiei reale, pe care îl găsești pe site-ul oficial, nu în emailul primit. Dacă nu se potrivește perfect, orice singură literă în plus, în minus sau diferită, nu e firma. Punct.
În cazul în care suspectezi că ai fost vizat sau ai furnizat deja date, raportarea se face la Directoratul Național de Securitate Cibernetică.
Ce se schimbă la nivel european
Uniunea Europeană a adoptat în 2024 Regulamentul AI Act, care impune obligații de transparență pentru conținutul generat artificial, inclusiv profiluri, mesaje și interviuri video în care apar persoane sintetizate. Implementarea completă durează însă până în 2027.
În paralel, Regulamentul GDPR oferă deja, din 2018, instrumente legale clare pentru protejarea datelor personale: dreptul de a ști cine îți deține datele, dreptul la ștergere, obligația companiilor de a notifica breșele de securitate în 72 de ore. Drepturi pe care puțini cetățeni le folosesc, deși sunt disponibile gratuit prin Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.
Reglementările există. Aplicarea lor depinde, în mare măsură, de fiecare cetățean care își cunoaște drepturile.
Educația financiară înseamnă să înțelegi că și datele tale personale, CNP, copia buletinului, adresa, datele bancare, sunt un activ financiar. Au valoare. Pot fi folosite pentru a obține credit pe numele tău, pentru a deschide conturi în care alții vor face transferuri suspecte, pentru a-ți compromite identitatea pe ani de zile. Spre deosebire de banii dintr-un cont, care pot fi blocați și eventual recuperați, identitatea ta financiară odată compromisă necesită ani și costuri considerabile pentru a fi reconstruită.
Într-o piață a muncii în care presiunea de a găsi rapid un loc de muncă crește, iar candidații sunt mai vulnerabili emoțional ca niciodată, capacitatea de a verifica înainte de a furniza date a devenit o competență financiară esențială. Nu mai e suficient să cauți oferte bune. E nevoie să verifici cine ți le oferă.
Întrebarea nu e dacă datele tale circulă deja undeva pe internet.
Întrebarea e dacă vei afla la timp.
