En resumen: si buscas trabajo, sobre todo en tecnología, esta guía te sirve para distinguir a un reclutador real de uno que quiere tu dinero, tus datos o el control de tu ordenador. Las tres trampas que describen los avisos oficiales son la prueba técnica que te obliga a ejecutar código desconocido, la petición de pagos o compras para «formalizar» el puesto y la recogida de documentación personal antes de cualquier contrato. La regla corta: ninguna empresa legítima te cobra por contratarte, y ninguna necesita que ejecutes su código en tu ordenador personal para valorarte.
¿Cómo funciona la trampa de la «prueba técnica»?
Funciona convirtiendo una práctica habitual de la selección de personal, el ejercicio de programación, en la vía para instalar malware. El candidato descarga un proyecto, lo ejecuta para resolver la tarea y, al hacerlo, ejecuta también el código malicioso escondido en él.
El caso mejor documentado es el del FBI, que en un aviso público de septiembre de 2024 describió campañas de actores vinculados a Corea del Norte contra empleados de empresas de criptomonedas y finanzas descentralizadas. Según el aviso, estudian antes a sus víctimas en redes profesionales y de empleo, se hacen pasar por reclutadores o por empresas tecnológicas con webs de apariencia profesional y alargan las conversaciones para ganarse la confianza antes de entregar el malware.
Entre las señales que enumera el FBI hay varias que cualquier desarrollador reconocerá:
- Peticiones de hacer una prueba previa a la contratación o un ejercicio de depuración que obliga a ejecutar paquetes de Node.js o PyPI, scripts o repositorios de GitHub desconocidos.
- Insistencia en usar un programa propio para algo tan simple como una videollamada, o en ejecutar un script para «desbloquear» la llamada supuestamente bloqueada por tu ubicación.
- Ofertas inesperadas de empresas conocidas con sueldos poco realistas y sin negociar.
- Prisa por sacar la conversación a otra aplicación de mensajería.
Mi lectura es que el método no necesita el sector cripto para funcionar: cualquiera con acceso a algo valioso desde su ordenador es un objetivo razonable.
El FBI recomienda no hacer esas pruebas en equipos de la empresa y, si una prueba exige ejecutar código, hacerlo en una máquina virtual en un dispositivo no conectado a la red de la empresa o en un equipo que proporcione quien evalúa. Para un particular, la traducción práctica es no ejecutar jamás el proyecto de un desconocido en el ordenador donde tienes tu banca, tus contraseñas y tus documentos.
Las otras dos trampas: pagar para trabajar y entregar tus datos
La segunda trampa es la del dinero. LinkedIn lo resume en su página de ayuda sobre estafas: las empresas legítimas no deben pedir transferencias, cheques, tarjetas regalo ni envíos de fondos como condición del proceso. También avisa de una variante menos obvia, la empresa que te pide comprar tu propio equipo (ordenador, iPad o móvil) y enviarlo a su departamento de informática.
La FTC estadounidense lo dice todavía más claro en su guía sobre estafas de empleo: un empleador honrado nunca te pedirá que pagues para conseguir un trabajo.
La tercera trampa son tus datos, y en España tiene un caso real documentado. INCIBE relata el de una usuaria que respondió a una oferta de traductora en un portal de empleo: la «contrataron» sin entrevista, le pidieron una foto del DNI, que abriera una cuenta en un banco móvil y otra en una plataforma de criptomonedas, y después que recibiera pagos y los reenviara a terceros. INCIBE le explicó que ese esquema podía estar sirviendo para blanqueo de capitales.
Ese desenlace es el que más me preocupa de estas ofertas: el candidato no solo pierde, también puede acabar prestando su nombre y su cuenta a un delito. Es el mismo mecanismo de fondo que analizamos en la estafa de las tareas por WhatsApp para «dar likes», con otro disfraz.
Cómo comprobar si una oferta de trabajo es real
Antes de dar un solo dato o ejecutar un solo archivo, haz estas comprobaciones. Salen de los avisos de LinkedIn, el FBI y la FTC:
- Mira el dominio del correo. LinkedIn señala como alerta los mensajes desde direcciones genéricas de Gmail o Yahoo en lugar del dominio de la empresa.
- Revisa el perfil del reclutador. Desconfía de perfiles incompletos, con pocos contactos o sin relación con empleados de la empresa que dicen representar. LinkedIn permite verificaciones de identidad y de lugar de trabajo, incluida una de reclutador verificado, y sus insignias pueden aparecer también en anuncios de empleo y páginas de empresa. Que no haya insignia no prueba nada; que la haya ayuda.
- Verifica por otro canal. El FBI aconseja confirmar la identidad del contacto por una plataforma distinta, por ejemplo con una videollamada en directo por otra aplicación. Mejor aún: busca tú el teléfono o el correo de la empresa en su web oficial y pregunta si esa vacante existe.
- Busca el nombre con la palabra «estafa». La FTC recomienda buscar la empresa o la persona junto a términos como estafa, opiniones o quejas.
- Cuéntaselo a alguien. La FTC lo sugiere porque hablarlo te da tiempo para pensar.
Y dos líneas rojas que no admiten matices: no pagues nada y no envíes el DNI, datos bancarios ni fotos de documentos antes de una contratación formal, que es exactamente lo que LinkedIn identifica como señal de fraude. Si el mensaje trae un enlace para «responder más preguntas», aplica lo que explicamos sobre las señales que delatan un phishing.
¿Qué hago si ya he ejecutado la prueba o he enviado mis datos?
Si ejecutaste el código, desconecta el ordenador de internet de inmediato. El FBI recomienda además dejarlo encendido para no perder rastros del malware que puedan servir a una investigación, y guardar capturas de las conversaciones, nombres de usuario y cuentas del supuesto reclutador. Después, desde otro dispositivo limpio, cambia las contraseñas importantes, empezando por el correo y el banco.
Si enviaste documentación, las recomendaciones de INCIBE en el caso de la traductora son una buena lista: cortar todo contacto, denunciar el anuncio en la plataforma donde lo encontraste, cerrar las cuentas que abriste para el supuesto trabajo, buscar periódicamente tu nombre en internet y consultar la CIRBE del Banco de España por si alguien pide préstamos a tu nombre; tienes el procedimiento en nuestra guía para comprobar si han pedido un préstamo a tu nombre en la CIRBE. Reúne anuncio, mensajes, correos y números de contacto y presenta denuncia ante la Policía Nacional o la Guardia Civil.
En LinkedIn, la ayuda oficial explica cómo denunciar la conversación o el perfil falso. Y el 017 de INCIBE atiende gratis de 8:00 a 23:00 todos los días.
La responsabilidad, creo, no puede recaer solo en el candidato. Las plataformas de empleo saben que su producto es exactamente lo que necesita un estafador: gente dispuesta a confiar en un desconocido porque espera una oportunidad. Las insignias de verificación van en la buena dirección, pero mientras sean opcionales, la mejor defensa sigue siendo una sospecha muy simple: si para conseguir el trabajo tienes que pagar, entregar tus documentos o ejecutar algo en tu ordenador, el trabajo no existe.