Alerta: vaga falsa de estágio em nome da Global Data. Veja como identificar um contato oficial.

(11) 2626-4039 WhatsApp
Segurança e Backup

Golpe da vaga falsa: usaram o nome da Global Data no Indeed. O que fazer quando acontece com a sua empresa

Por Global Data Solutions

Golpe da vaga falsa: usaram o nome da Global Data no Indeed. O que fazer quando acontece com a sua empresa

Resumo: Em setembro de 2026 uma candidata avisou a Global Data de uma vaga falsa de estágio publicada no Indeed com nossa razão social, que cobrava uma "certificação" reembolsável. O golpe da vaga falsa tem quatro variantes em 2026: cobrança adiantada, golpe das tarefas, roubo de senha de e-mail e malware em teste técnico. As duas últimas viram problema de TI da empresa: MFA, e-mail corporativo fora de plataformas de emprego e nenhum código de recrutador em máquina de produção são as defesas que aplicamos.

Em 10 de setembro de 2026, uma mensagem chegou ao e-mail comercial da Global Data. Assunto: “Anuncio Fake”. Uma candidata a estágio em TI contava que havia se inscrito em uma vaga publicada no Indeed em nome da GLOBAL DATA SOLUCOES EM INFORMATICA LTDA, nossa razão social, com o nome de uma pessoa real da empresa como recrutador. Recebeu, pela própria plataforma, o pedido para reenviar o currículo a um endereço @outlook.com. Uma semana depois, o mesmo endereço avisou que ela tinha sido aprovada e que, para seguir no processo, precisava pagar uma “certificação”, com a promessa de reembolso após a conclusão.

Ela desconfiou, consultou o CNPJ informado no anúncio (uma empresa baixada) e comparou com o nosso (ativo). O Indeed já tinha sinalizado a conta e a desativado. Como não havia um e-mail de RH no nosso site, escreveu para o comercial. Nenhum sistema nosso foi invadido. Nenhuma senha vazou. E mesmo assim o nome da empresa e o de uma pessoa real foram usados como isca durante pelo menos uma semana.

Esse é o golpe da vaga falsa como ele chega hoje na mesa de quem administra uma PME: pela porta lateral, com dados públicos, e sem que a empresa perceba até um candidato avisar. A Febraban emitiu alerta formal sobre o golpe do falso emprego em 12 de maio de 2026. Em 8 de setembro, a Polícia Civil do DF cumpriu mandado contra um esquema em Brazlândia que cobrava para “efetivar a contratação” em vagas inexistentes; 30 vítimas, currículos e documentos pessoais apreendidos no local.

O que o nosso caso mostra é a versão mais comum no Brasil: o objetivo é dinheiro direto do candidato. O que a apuração mostra é que existe uma segunda família de golpes, com o mesmo disfarce de recrutador, cujo alvo é a senha e o computador de quem já trabalha em uma empresa. Do candidato, querem o Pix. Do seu funcionário, querem o acesso.

O que é o golpe da vaga falsa

Golpe da vaga falsa é a fraude em que criminosos se passam por recrutadores ou por empresas reais para atrair pessoas com uma oferta de emprego inexistente e, ao longo de um “processo seletivo” simulado, extrair dinheiro, documentos, senhas ou instalar programas maliciosos no dispositivo da vítima. Os canais mais usados no Brasil são plataformas de vagas (Indeed, LinkedIn, Gupy), WhatsApp, e-mail e Telegram.

Existem quatro variantes circulando em 2026, e elas atingem a empresa de formas diferentes.

As quatro variantes em circulação

1. Cobrança adiantada. A versão que nos atingiu. Taxa de inscrição, curso preparatório, “certificação” obrigatória, exame médico, uniforme, caução do notebook, quase sempre com promessa de reembolso depois. O Indeed lista as “fraudes com taxas” entre as seis categorias oficiais de fraude na plataforma: pagar para se candidatar, para participar da entrevista ou para “treinamento e integração”. Relatos no Reclame Aqui descrevem o mesmo roteiro desde 2022, com o golpista indicando uma “certificadora” parceira que emite o documento no mesmo dia mediante pagamento. O alerta da Febraban traz o mesmo padrão, somado a pedidos de documentos, dados bancários e assinatura digital durante a seleção. Nas palavras de Raphael Mielle, diretor de Serviços e Segurança da entidade: “Ao receber uma proposta de emprego por canais digitais, o primeiro passo deve ser a confirmação da procedência.”

2. Golpe das tarefas. A vítima recebe mensagem de uma suposta agência de marketing e passa a “trabalhar” curtindo vídeos, avaliando aplicativos ou seguindo perfis. Recebe pequenas comissões reais no início. Depois, para “desbloquear” ganhos maiores, precisa depositar dinheiro próprio. A Federal Trade Commission dos EUA registrou salto de cerca de 5 mil denúncias desse formato em 2023 para cerca de 20 mil só no primeiro semestre de 2024, com perdas totais em golpes de emprego acima de US$ 220 milhões no período. O Better Business Bureau reporta que as denúncias de golpe de emprego dobraram em 2025 e que a perda mediana no formato de tarefas chegou a US$ 2.300. No Brasil, o roteiro é idêntico: comissões pequenas para criar confiança e depois o pedido de “investimento”.

3. Roubo de senha de e-mail. É a variante que mais interessa a quem gerencia TI. A ESET identificou uma campanha que usa vagas falsas em nome de L’Oréal, Coca-Cola, Meta, Red Bull e Ogilvy. O candidato recebe e-mail do “RH”, preenche um formulário de candidatura com nome, telefone e histórico profissional e, na etapa seguinte, a página pede a senha do e-mail “para confirmar a inscrição”. Segundo Thales Santos, da ESET Brasil, o truque é que o e-mail da vítima já aparece preenchido na tela, e isso faz o pedido parecer legítimo. Com a senha do e-mail, o criminoso redefine senhas de banco, redes sociais e de qualquer serviço que use aquele endereço para recuperação de conta. Se o e-mail informado for o corporativo, o problema passou a ser da empresa.

4. Malware disfarçado de teste técnico. A Microsoft documentou em março de 2026 a campanha “Contagious Interview”, ativa desde 2022 e voltada a desenvolvedores. O falso recrutador, geralmente de uma “empresa de cripto” ou “startup de IA”, conduz entrevista convincente e envia um repositório no GitHub, GitLab ou Bitbucket como teste de código. Ao clonar e executar o pacote, ou simplesmente ao aceitar o pedido do VS Code para “confiar no repositório”, a máquina roda uma tarefa de configuração que instala um backdoor. O malware mais comum, o OtterCookie, coleta tokens de API, credenciais de nuvem, chaves de assinatura, carteiras de criptomoedas e cofres de gerenciadores de senha, com keylogger e captura de tela. Um desenvolvedor que faz o teste no notebook da empresa entrega, junto, o acesso ao repositório, ao pipeline de CI/CD e às credenciais de produção.

Por que ficou mais difícil reconhecer

Três coisas. A primeira é o volume de perfis falsos em plataformas profissionais: o LinkedIn informou ter removido 80,6 milhões de contas falsas apenas entre julho e dezembro de 2024. A segunda é a qualidade: foto gerada por IA, histórico coerente, conexões em comum, mensagens sem erro de português e, como no nosso caso, um nome real da empresa e a razão social exata da empresa. Luis Gonzaga de Paulo, coordenador dos cursos de Segurança da Informação da Uninter, aponta o uso de ferramentas de OSINT e raspagem de dados públicos para personalizar a abordagem. Um cartão CNPJ, o quadro societário e um perfil no LinkedIn são tudo o que o golpista precisa.

A terceira é a inversão do jogo. O Gartner projeta que, até 2028, um em cada quatro perfis de candidatos no mundo será falso, criado com apoio de IA. A empresa que contrata remoto passa a ser alvo também: quem entra pela porta da seleção com identidade falsa entra com acesso a sistemas e dados.

O que muda para a empresa

Uma PME raramente pensa em golpe de vaga falsa como problema de TI. Ela pensa como problema do candidato. Na nossa operação, ele aparece de três jeitos.

Seu nome vira isca. Basta a razão social, um nome real e um domínio parecido. No LinkedIn, qualquer conta consegue publicar uma vaga vinculada à página de uma empresa real sem autorização dela; a empresa não apaga o anúncio, só denuncia. No Indeed, o golpista cria uma conta de empregador com o nome da empresa e, mesmo depois que a moderação desativa a conta, as mensagens já enviadas continuam nas caixas de entrada dos candidatos. O candidato lesado liga na recepção, escreve para o e-mail que encontrar no site, publica no Reclame Aqui. A empresa não tem responsabilidade legal direta, mas tem um problema de reputação e uma obrigação prática: avisar rápido e de forma visível.

Seu funcionário vira porta de entrada. Todo mundo recebe abordagem de recrutador, inclusive quem não está procurando. A variante da ESET rouba senha de e-mail; a da Microsoft rouba as credenciais que estão na máquina. Se o colaborador usa o e-mail corporativo no LinkedIn, reaproveita a senha do trabalho em outros serviços ou faz “teste de código” no equipamento da empresa, a barreira entre a vida profissional dele e a sua infraestrutura deixou de existir. É o mesmo raciocínio que aplicamos ao phishing comum: o elo é a pessoa, e a defesa é técnica.

Sua seleção vira vetor. A empresa que contrata remoto sem verificar identidade, aceita entrevista sem câmera e concede acessos no primeiro dia sem revisão está exposta ao candidato falso. Não é paranoia de grande corporação; a exigência de entrevista em vídeo consta tanto na recomendação da Febraban quanto na do BBB.

O que fizemos quando aconteceu com a gente

O caso de setembro virou procedimento. Nossas vagas oficiais são publicadas apenas na Pandapé (InfoJobs), que sindica para o Indeed e outros agregadores; qualquer anúncio que peça contato fora desse fluxo, ou por e-mail gratuito, não é nosso. A partir do aviso da candidata, publicamos a página de canais oficiais, com os meios legítimos de contato e recrutamento e um histórico de alertas datados, e um aviso temporário no topo do site. A página de trabalhe conosco passou a indicar onde as vagas reais ficam.

O que recomendamos a qualquer empresa que descubra uma vaga falsa em seu nome:

  1. Responder ao candidato no mesmo dia, confirmando que a vaga não existe, agradecendo o aviso e orientando a não pagar nada e, se houve prejuízo, a acionar o banco (o Pix tem o Mecanismo Especial de Devolução) e registrar boletim de ocorrência.
  2. Denunciar na plataforma pelo canal oficial de denúncia de vaga e de empregador (Indeed, LinkedIn, Gupy), anexando os prints. Quando a plataforma já desativou a conta, a denúncia serve para registrar o vínculo com a empresa real.
  3. Publicar um aviso fixo na página de carreiras e nos perfis oficiais: os canais legítimos de recrutamento, o domínio de e-mail usado pelo RH, a regra de que a empresa nunca cobra taxa, curso ou certificação, e um endereço para o candidato confirmar vagas.
  4. Reivindicar e monitorar as páginas da empresa nas plataformas de vagas. Página reivindicada recebe notificação de vagas vinculadas; página sem dono não.
  5. Orientar recepção e time comercial sobre o que responder quando um candidato ligar ou escrever. No nosso caso, o comercial era o único e-mail visível no site, e foi por ele que os candidatos que viram o anúncio falso tentaram confirmar a vaga. O endereço certo para assuntos de vaga é o rh@globaldata.com.br, e deixá-lo visível encurta o caminho de quem quer checar se uma oferta é real.
  6. Checar o CNPJ citado no anúncio. Golpistas usam CNPJs baixados de empresas com nome parecido. Se o número não é o seu, isso entra na denúncia à plataforma.

O que fazemos com os clientes que atendemos

As medidas abaixo são as que aplicamos no ambiente dos clientes sob gestão, contra as variantes 3 e 4. Nenhuma depende de produto novo; dependem de configuração e de rotina.

  • MFA em todas as contas de e-mail e de identidade, sem exceção para diretoria. É o controle que anula a variante 3: a senha roubada, sozinha, não abre nada. A Microsoft e a ESET colocam a autenticação multifator no topo das recomendações.
  • Política de e-mail corporativo fora de plataformas de emprego. Perfil do LinkedIn com e-mail pessoal. Currículo enviado a terceiros com e-mail pessoal. Parece detalhe; é o que mantém o phishing de “confirmação de inscrição” longe do seu domínio.
  • Nenhum código de terceiro roda na máquina de produção. Teste técnico de recrutador, quando o desenvolvedor quiser fazer, acontece em máquina virtual descartável ou em ambiente isolado, nunca no notebook com acesso a repositório e credenciais de nuvem. A Microsoft recomenda revisar qualquer repositório recebido antes de executar scripts e restringir runtimes de desenvolvimento onde for possível.
  • Credenciais de curta duração e revisão de acessos. Token de nuvem gravado em arquivo .env que vale por meses é exatamente o que o OtterCookie procura. Tokens temporários e revisão periódica de quem tem acesso a quê reduzem o estrago quando algo passa.
  • Monitoramento de login anômalo. Acesso ao e-mail de um país diferente, em horário fora do padrão, seguido de criação de regra de encaminhamento: esse é o rastro típico de conta comprometida, e é o tipo de alerta que a nossa equipe de monitoramento trata como incidente, não como curiosidade.
  • Verificação de identidade na contratação remota. Entrevista com câmera aberta, checagem de documento em etapa síncrona e concessão de acessos escalonada nas primeiras semanas.

Checklist para candidatos (e para repassar ao seu time)

Esta lista pode ser copiada para o canal interno da empresa ou para a página de carreiras.

  • Nenhuma empresa séria cobra taxa, curso, certificação, exame ou equipamento para contratar, com ou sem promessa de reembolso. Pedido de pagamento encerra a conversa.
  • Confirme a vaga no site oficial ou no perfil verificado da empresa antes de enviar qualquer documento. Se a vaga não está lá, não existe.
  • Recrutador de empresa real escreve de e-mail com domínio da empresa, não de Gmail, Outlook ou Yahoo. Pedido para “continuar a conversa” em um e-mail gratuito, fora da plataforma, é o primeiro sinal.
  • Confira o CNPJ do anúncio na Receita Federal. CNPJ baixado ou diferente do da empresa que aparece no site oficial é golpe.
  • Nenhum formulário de candidatura precisa da senha do seu e-mail. Nunca.
  • Salário muito acima do mercado para exigência mínima é o principal sinal de fraude apontado pela Febraban.
  • Pressão para responder “hoje” e insistência em migrar a conversa para WhatsApp ou Telegram são táticas, não urgência real.
  • Recuse entrevista sem vídeo. Quem se recusa a aparecer na câmera costuma ter motivo.
  • Teste técnico que exige baixar e executar um pacote: rode em máquina isolada ou não rode.
  • Avise a empresa cujo nome foi usado. Foi assim que ficamos sabendo do nosso caso.
  • Se já caiu: troque a senha do e-mail e de todos os serviços ligados a ele, ative MFA, acione o banco, registre boletim de ocorrência e denuncie o perfil na plataforma.

Onde isso entra na gestão de TI da sua empresa

O golpe da vaga falsa não vai parar de existir, e a empresa não controla quem publica anúncio em nome dela. O que ela controla é a velocidade da resposta quando o nome é usado e quanto dano uma pessoa enganada consegue causar no ambiente dela: se a senha roubada abre o e-mail ou esbarra no MFA, se o script do “teste” roda na máquina de produção ou em uma VM descartável, se o login estranho de madrugada gera alerta ou passa em branco.

A Global Data assume essa camada para PMEs que não têm equipe de segurança própria: configuração de MFA e de políticas de identidade, monitoramento de acessos e de endpoints, resposta quando o alerta dispara e revisão periódica de quem acessa o quê. Conheça nosso serviço de gestão de TI e segurança para PMEs ou fale com a nossa equipe para uma avaliação do seu ambiente.

Leitura relacionada: Simulação de phishing: por que treinamento sem teste não muda comportamento.

Perguntas frequentes

O golpe da vaga falsa é crime? Posso responsabilizar a empresa cujo nome foi usado? É crime de estelionato. A empresa cujo nome foi usado sem o seu conhecimento é vítima também, não responsável; a orientação é registrar boletim de ocorrência e denunciar o anúncio na plataforma onde ele apareceu.

Como saber se um recrutador do LinkedIn ou do Indeed é falso? Verifique se o perfil tem selo de verificação, se está vinculado à página oficial da empresa, se tem histórico e conexões coerentes e se o contato de e-mail usa o domínio corporativo. Confirme a vaga na página de carreiras da empresa e o CNPJ do anúncio na Receita Federal antes de enviar documentos.

Minha empresa precisa fazer algo se descobrir vagas falsas em seu nome? Não há obrigação legal direta, mas vale responder ao candidato, publicar um aviso nos canais oficiais com os meios legítimos de recrutamento, registrar boletim de ocorrência, denunciar os perfis e anúncios às plataformas e orientar a recepção sobre como responder a candidatos que ligarem.

Um funcionário que caiu no golpe coloca a empresa em risco? Sim, se usou o e-mail corporativo, reutilizou a senha do trabalho ou executou arquivo do golpista em equipamento da empresa. Nesse caso a conta deve ser tratada como comprometida: troca de senha, revogação de sessões, verificação de regras de encaminhamento e revisão de acessos.

A empresa cobra “certificação” com reembolso depois. Isso pode ser legítimo? Não. Nenhum processo seletivo legítimo condiciona a contratação a pagamento do candidato, e a promessa de reembolso é parte do roteiro. O Indeed classifica esse pedido como “fraude com taxa”.

O que é o golpe das tarefas? É a variante em que a vítima “trabalha” curtindo vídeos ou avaliando apps, recebe pequenas comissões iniciais e depois é induzida a depositar dinheiro próprio para liberar ganhos maiores, que nunca chegam.

Fontes citadas no texto

Serviço relacionado: conheça o serviço de backup em nuvem para empresas da Global Data.

Quer ajuda especializada com a TI da sua empresa?

Fale com um especialista

Posts relacionados

Simulação de phishing: por que treinamento sem teste não muda comportamento

MFA obrigatório no Microsoft 365: como ativar sem travar a operação

Senha no post-it: gerenciador de senhas corporativo vale a pena?
Fale com a gente no WhatsApp