Ghost job to ogłoszenie bez realnej rekrutacji: firma zbiera CV „na zapas” albo zapomniała zdjąć ofertę. Groźniejszy jest fałszywy rekruter, który przysyła zadanie rekrutacyjne z ukrytym malware. Zanim zaaplikujesz, sprawdź firmę i datę oferty, a cudzy kod uruchamiaj tylko w maszynie wirtualnej, nigdy na komputerze z portfelem krypto i hasłami.
Wysyłasz kolejne CV, dopracowujesz list motywacyjny, a w odpowiedzi cisza. Czasem to wina Twojej aplikacji. Czasem ogłoszenie od początku nie miało prowadzić do zatrudnienia. To tak zwane ghost jobs, po polsku często „wydmuszki”. Bywa też gorzej: za „ofertą” stoi oszust, który chce Ci zainfekować komputer. Ten artykuł opisuje oba przypadki.
Czym są ghost jobs i fałszywe oferty w IT?
To dwa różne zjawiska, które łatwo pomylić:
| Ghost job | Oferta-oszustwo | |
|---|---|---|
| Kto publikuje | prawdziwa firma | oszust, często podszywający się pod firmę lub rekrutera |
| Cel | pula kandydatów, widoczność, brak decyzji | wyłudzenie danych lub pieniędzy, kradzież kluczy i haseł |
| Czym grozi | strata czasu i frustracja | strata danych, pieniędzy lub kryptowalut |
| Jak sprawdzić | data, powtarzanie oferty, odpowiedź firmy | domena, kanał kontaktu, zadanie do uruchomienia, prośba o dane lub opłaty |
Pierwsze to problem organizacyjny po stronie firmy. Drugie to przestępstwo. Oba kosztują Cię czas, ale tylko drugie może kosztować pieniądze.
Dlaczego firmy publikują oferty, na które nikogo nie zatrudnią?
Powody bywają zwyczajne, a nie złośliwe:
- Pula na przyszłość. Firma zbiera CV, żeby mieć z kim rozmawiać, gdy projekt ruszy.
- Widoczność na portalu. Aktywne oferty pomagają wyglądać na rosnącą firmę.
- Zamrożony budżet. Rekrutacja zaczęła się, potem decyzję wstrzymano, a ogłoszenie zostało.
- Stanowisko już obsadzone. Ktoś dostał pracę przez polecenie, ale nikt nie zdjął ogłoszenia.
- Test rynku. Firma sprawdza, ilu kandydatów i na jakich stawkach się zgłosi.
Dla Ciebie wynik jest ten sam: czas włożony w aplikację nie ma szansy się zwrócić.
Po czym poznać ogłoszenie-wydmuszkę?
Żaden pojedynczy sygnał niczego nie przesądza. Dopiero kilka naraz powinno Cię zatrzymać.
| Sygnał | Dlaczego niepokoi | Jak sprawdzić |
|---|---|---|
| Ogłoszenie wisi tygodniami bez zmian | realna rekrutacja zwykle kończy się szybciej | data publikacji, wcześniejsze wersje na portalu |
| Ta sama oferta wraca co miesiąc | firma stale „szuka”, ale nikogo nie zatrudnia | wyszukaj firmę i stanowisko w historii ogłoszeń |
| Ogólny opis bez zespołu i technologii | nikt konkretny nie czeka na tę osobę | czy wiadomo, w jakim projekcie i stosie się pracuje |
| Brak widełek, trybu pracy lub lokalizacji | wskazuje na brak realnego planu | porównaj z innymi ogłoszeniami tej firmy |
| Zupełna cisza po aplikacji | brak jakiegokolwiek potwierdzenia | czy dostałeś automatyczne potwierdzenie i czy ktoś odpisał po 2–3 tygodniach |
| Rekruter przysyła zadanie jako repozytorium do uruchomienia jeszcze przed rozmową | to typowy schemat ataku, nie ghost job | zobacz następną sekcję |
Czy zadanie rekrutacyjne może być zainfekowane?
Tak, i dotyczy to właśnie programistów. Znana kampania „Contagious Interview” działa tak: ktoś podaje się za rekrutera, pisze przez LinkedIn, Telegram lub Discord i po krótkiej rozmowie przysyła zadanie rekrutacyjne w repozytorium. Prosi o jego pobranie i uruchomienie. W projekcie siedzi złośliwy kod, ukryty w zależnościach (npm, PyPI) albo w ustawieniach edytora. Po uruchomieniu malware próbuje wykraść hasła, dane z przeglądarki i klucze do portfeli kryptowalutowych.
Cel to najczęściej osoby z branży krypto i blockchain, ale ten sam schemat spotyka się też przy ofertach dla innych programistów.
Jak się zabezpieczyć:
- Traktuj każde zadanie, które musisz uruchomić na własnym komputerze, jak potencjalnie niebezpieczne, zwłaszcza od nowego rekrutera spoza oficjalnego kanału firmy.
- Uruchamiaj cudzy kod w maszynie wirtualnej albo kontenerze, a nie na komputerze z portfelem i hasłami.
- Przed
npm installprzejrzyjpackage.jsoni skryptypostinstall. W VS Code nie ufaj folderowi (Restricted Mode), dopóki go nie sprawdzisz. - Nigdy nie podłączaj portfela krypto podczas rekrutacji i nie podawaj seed phrase.
- Sprawdź rekrutera: profil, domenę firmy i czy ogłoszenie jest na oficjalnej stronie kariery.
- Podejrzewasz infekcję? Odłącz komputer od sieci, zmień hasła z innego urządzenia i przenieś środki z portfeli na nowe adresy.
Jak sprawdzić, czy firma naprawdę rekrutuje?
Zanim poświęcisz godzinę na dopasowanie CV, wykonaj kilka szybkich kroków:
- Sprawdź stronę kariery firmy. Czy to samo stanowisko jest tam i czy jest aktualne?
- Zajrzyj na LinkedIn i zobacz, czy zespół, o którym mowa w ogłoszeniu, istnieje i czy firma w ostatnich miesiącach kogoś zatrudniła.
- Napisz krótką, konkretną wiadomość do rekrutera z pytaniem, na jakim etapie jest rekrutacja i kiedy planowany jest start.
- Poszukaj opinii kandydatów o procesie rekrutacji tej firmy.
Jeśli rekruter odpowiada rzeczowo i podaje terminy, to dobry znak. Jeśli nie odpowiada w ogóle, traktuj ofertę jako mało prawdopodobną.
Co zrobić, gdy wysłałeś CV i nikt nie odpowiada?
Brak odpowiedzi nie zawsze oznacza ghost job: rekruterzy dostają setki zgłoszeń, a procesy się wydłużają. Rozsądny plan wygląda tak:
- Po 7–10 dniach wyślij jedno uprzejme przypomnienie.
- Po około trzech tygodniach uznaj aplikację za zamkniętą i nie czekaj na nią.
- Nie zatrzymuj poszukiwań. Wysyłaj kolejne aplikacje równolegle.
- Prowadź prostą listę aplikacji. Po kilku tygodniach zobaczysz, które firmy i portale marnują Twój czas. Możesz skopiować tę tabelę:
| Firma | Link do oferty | Data publikacji | Data wysyłki | Odpowiedź (tak/nie) | Po 21 dniach (zamknięta) |
|---|---|---|---|---|---|
Jak junior ma nie tracić czasu na wydmuszki?
Juniorzy najbardziej tracą na ghost jobs, bo każda odrzucona aplikacja potrafi obniżyć motywację. Trzy rzeczy pomagają:
- Przygotuj bazowe CV i portfolio raz, a przy każdej ofercie zmieniaj tylko kilka akapitów. Dzięki temu aplikacja na ofertę-wydmuszkę kosztuje 15 minut, nie dwie godziny. Jak je zbudować, opisuje CV junior developera: co powinno zawierać.
- Nie opieraj się na samych portalach. Polecenia i kontakty często prowadzą do prawdziwych rekrutacji. Ten temat rozwijamy w artykule Gdzie szukać pracy w IT.
- Zadbaj o to, co od Ciebie zależy. Gdy ofert jest mało, a konkurencja duża, liczy się to, czy ktoś widzi Twoje projekty i kod. Więcej o przeszkodach w znalezieniu pierwszej pracy znajdziesz w Dlaczego nie możesz znaleźć pracy w IT.
O drugiej stronie rekrutacji, czyli o tym, jak działają rekruterzy i skąd biorą się oferty, opowiada odcinek podcastu:
