Підставні кандидати при наймі
Ілля Зав'ялов про віддалений найм: як перевірити кандидата, документи і відеоспівбесіду до видачі доступів
Ілля Зав'ялов, консультант з цифрової безпеки невеликих команд, розбирає тут ситуацію, яку власники бізнесу зазвичай помічають запізно: на віддалену посаду беруть людину, якої ніхто не бачив наживо, і вже за кілька днів у неї є пошта, репозиторій, хмарний диск і клієнтська база. Резюме переконливе, співбесіда минула спокійно, документи прийшли сканами. Далі по кроках: як влаштована підміна кандидата, що вимагає Кодекс законів про працю, як звірити особу і які права давати новачку, доки довіру ще не заслужено. Норми й цифри в розборі взято з текстів законів і офіційних сторінок державних відомств.
Версія українською мовою для України.
01
Ілля Зав'ялов: про що цей розбір і для кого
Ілля Зав'ялов пише для керівників і власників компаній на 5-50 людей, де немає окремої служби безпеки. Кадровик, бухгалтер і адміністратор мережі там часто одна й та сама людина, а найм іде швидко: за рекомендацією знайомих або з сайту вакансій.
Мета розбору проста: скласти порядок, за якого стороння людина під чужим іменем не дістанеться грошей і даних раніше, ніж її помітять. Чесний кандидат цей порядок майже не відчує. Для підставного він стає низкою перешкод, які важко обійти.
Варто пам'ятати й очевидне. За одним іменем у пошуку знаходиться безліч однофамільців із різних міст і професій, тож ім'я в резюме саме по собі нічого не доводить. Доводять документи, жива розмова і збіг реквізитів.
Віддалений формат прибрав із найму те, що колись працювало саме: зустріч в офісі, оригінал паспорта на столі кадровика, колег, які щодня бачать новенького. Усе це доводиться повертати свідомо, окремими кроками, і кожен крок краще записати в регламент.
Найбільше від такої підміни страждають команди, де вся робота живе в хмарі: розробка, підтримка клієнтів, маркетинг, бухгалтерія на аутсорсі. Там новий працівник із першого дня бачить саме ті дані, заради яких усе й затівається.
02
Як працює підміна кандидата на віддалену посаду
Схема складається з трьох частин. Резюме з досвідом, інколи позиченим у справжнього фахівця. Співбесіда, на якій говорить одна людина, а працюватиме інша, або обличчя й голос підмінені програмою. І скани документів, оформлених на сторонню особу, яка може про це навіть не знати.
Зарплата для такого «працівника» часто лише приємний додаток. Головне для нього всередині: код, бази клієнтів, листування з партнерами, доступи до банківських кабінетів і сервісів, через які можна піти далі.
Американське FBI у жовтні 2026 року вкотре попередило, що таких працівників неможливо надійно розпізнати за однією ознакою, і порадило багатошарову перевірку особи протягом усієї роботи. Для невеликої компанії це кілька простих бар'єрів, поставлених поспіль.
Ілля Зав'ялов радить дивитися на найм як на видачу ключів. Чим ширші ключі новачок отримає в перший місяць, тим суворіша перевірка до його виходу і тим довше він працює з урізаними правами.
Ще до публікації вакансії корисно чесно відповісти собі, що побачить новачок у перший тиждень. Якщо відповідь «майже все», посаду закривають лише після особистої зустрічі або хоча б після двох відеодзвінків і паперових документів.
03
Ілля Зав'ялов про співбесіду: обличчя, голос, деталі
Підробка найгірше впорається з рухом і несподіванкою. На дзвінку просять повернути голову в профіль, провести долонею перед обличчям, тримати документ поруч з обличчям. Потім запитують про район, де людина живе, і про робочу історію з минулого проєкту, якої немає в резюме.
Ілля Зав'ялов радить призначати два дзвінки з різними колегами й порівнювати враження. Інший голос, інша манера або помітна затримка звуку на другій розмові дають підставу зупинити найм і попросити особисту зустріч.
Корисне й коротке практичне завдання наживо. Розробник пояснює вголос, як розв'язав би невелику задачу, бухгалтер розповідає, як закриває місяць. Людина, яка справді написала своє резюме, говорить вільно, а той, хто читає чужу легенду, тягне час і просить перейти в чат.
Насторожує й шум довкола. Коли за спиною кандидата чути інші голоси і клацання клавіатур, а він запевняє, що працює вдома сам, варто прямо спитати, де він зараз. Правдива відповідь звучить одразу.
Короткий ролик нижче переказує цей розділ: підставний кандидат приходить по доступи, тому компанія звіряє паспорт і реквізити, проводить два живі відеодзвінки, дає мінімальні права на випробувальний строк, а за допуск без договору штраф рахують від мінімальної зарплати 8647 гривень.
04
Документи за КЗпП: паспорт, договір, повідомлення податкової
Стаття 24 КЗпП робить письмову форму обов'язковою для трудового договору про дистанційну роботу. Укладаючи договір, громадянин подає паспорт або інший документ, що посвідчує особу, трудову книжку чи відомості про трудову діяльність, а у визначених законом випадках і документ про освіту.
Там само сказано, що працівника не можна допустити до роботи без договору, оформленого наказом чи розпорядженням, і без повідомлення податкової про прийняття. Ілля Зав'ялов радить прив'язати до цієї норми видачу доступів: жодного облікового запису, доки немає наказу і відмітки про повідомлення.
Звіряють за однією таблицею: прізвище і дату народження в паспорті, у відомостях про трудову діяльність, у дипломі, у договорі й у банківських реквізитах. Картка для виплат на інше ім'я закриває питання.
Рекомендації з попередньої роботи перевіряють через саму компанію. Номер беруть з її офіційного сайту, просять з'єднати з відділом кадрів і уточнюють лише дати роботи й посаду. Телефон «колишнього керівника», який дав сам кандидат, нічого не підтверджує.
Буває, що попередній роботодавець закрився чи виїхав за кордон. Тоді просять те, що лишилося в самої людини: договір, наказ, лист про звільнення, відомості про стаж. Порожні руки після п'яти років «роботи у великій компанії» теж відповідь.
05
Стаття 60-2: хто дає ноутбук і куди його везти
Стаття 60-2 КЗпП описує дистанційну роботу як роботу поза приміщеннями роботодавця з використанням інформаційно-комунікаційних технологій. Типову форму договору затверджує профільне міністерство, і її зручно взяти за основу.
Якщо договір не визначає, хто забезпечує обладнання, програмні засоби і засоби захисту інформації, це покладається на роботодавця. Раз ноутбук дає компанія, вона й вирішує, куди його відправити і які програми на ньому стоять.
Ілля Зав'ялов радить відправляти техніку лише на адресу з документів. Прохання переслати ноутбук знайомому, в інше місто чи у відділення пошти на чуже ім'я потребує розмови голосом, за номером із резюме, ще до відправлення.
Перед відправленням на пристрій ставлять тільки потрібне для роботи і закривають встановлення програм без адміністратора. Програма віддаленого керування, що з'явилася на робочому ноутбуці в перший тиждень, привід для розмови того ж дня.
Ілля Зав'ялов радить записувати серійний номер пристрою і стежити, з якого комп'ютера йдуть входи в робочі системи. Якщо працівник підключається з іншого пристрою, а виданий ноутбук увімкнений цілодобово, така картина рідко має невинне пояснення.
| Норма | Що каже | Як застосувати |
|---|---|---|
| Стаття 24 КЗпП | Письмовий договір, паспорт | Без договору доступів немає |
| Стаття 24 КЗпП | Повідомлення податкової | Обліковий запис після відмітки |
| Стаття 60-2 КЗпП | Обладнання на роботодавці | Адресу техніки визначає компанія |
| Стаття 265 КЗпП | Десять мінімальних зарплат | Не допускати без оформлення |
| Закон про Держбюджет 2026 | Мінімальна зарплата 8647 гривень | База для розрахунку штрафу |
06
Ілля Зав'ялов про штраф за неоформленого працівника
Спокуса «спробувати людину пару тижнів без папірців» у віддаленому наймі велика. За статтею 265 КЗпП фактичний допуск до роботи без оформлення трудового договору карається штрафом у десятикратному розмірі мінімальної заробітної плати за кожного працівника.
Повторне порушення протягом двох років коштує вже тридцятикратний розмір. До платників єдиного податку першої-третьої груп застосовують попередження. Мінімальна зарплата з 1 січня 2026 року, за статтею 8 закону про Державний бюджет, становить 8647 гривень на місяць.
Ілля Зав'ялов бачить тут і другий бік. Неоформлений «стажер» із доступом до пошти й бази обходиться дорого двічі: штрафом і тим, що про нього немає ні договору, ні підтвердженої особи.
З підрядниками-ФОП логіка така сама: договір, виписка про реєстрацію, рахунок на ім'я підприємця. Якщо гроші просять перераховувати на картку іншої людини «з сімейних причин», роботу зупиняють до з'ясування.
Випробувальний строк теж записують у договір разом із переліком завдань і прав на цей час. Тоді обмежений доступ виглядає звичайною умовою роботи, і нікому не треба пояснювати новачку, чому бухгалтерію йому поки не відкрили.
07
Персональні дані кандидата: закон і здоровий глузд
Закон про захист персональних даних у статті 6 вимагає, щоб склад і зміст даних були відповідними, адекватними та ненадмірними щодо мети обробки. Первинні джерела відомостей про особу закон називає прямо: видані на її ім'я документи, підписані нею документи і те, що вона повідомляє про себе.
Для перевірки кандидата цього досить: паспорт для звірки особи, документ про освіту там, де потрібна кваліфікація, реквізити для виплат. Скани тих, кого не взяли, видаляють після завершення відбору.
Контроль у цій сфері за статтями 22 і 23 закону здійснює, зокрема, Уповноважений Верховної Ради з прав людини: він приймає скарги і проводить перевірки. Ілля Зав'ялов радить тримати скани кандидатів в окремій папці з доступом у двох людей.
Згоду на обробку даних краще оформити окремим документом: які дані, для чого, на який строк і хто їх побачить. Пересилати паспорт кандидата в загальний робочий чат не можна навіть заради швидкості.
Такий чат читають десятки людей, частина з них давно не працює в компанії, і один витік перетворює акуратну перевірку на джерело нових підробок. Скани кандидатів живуть лише в окремій папці.
08
Ілля Зав'ялов: доступи на випробувальний строк
Новачок отримує рівно те, що потрібно для першого завдання. Окремий обліковий запис без прав адміністратора, двофакторний вхід, один проєкт, один канал листування. Клієнтська база, бухгалтерія і вивантаження чекають кінця випробувального строку.
Журнал входів у ці тижні читають уважно. Входи з різних країн за годину, програми віддаленого керування, масове копіювання файлів в особисту хмару поодинці бувають випадковістю, а разом складаються в картину.
Розширення прав оформлюють заявкою з відміткою другої людини. За пів року за такими заявками видно, хто і навіщо відкрив новачку доступ до бази, а тимчасові права під одне завдання не лишаються в нього назавжди.
У день розставання доступи закривають так само швидко, як відкривали: обліковий запис, пошта, хмара, чати, токени сервісів і спільні паролі, які людина бачила.
Відкладене на тиждень вимкнення в історії з підставним працівником означає тиждень вільного копіювання. Тому порядок закриття доступів складають заздалегідь і тримають поруч із порядком їх видачі.
| Період | Що відкривають | Що закрито |
|---|---|---|
| До договору | Нічого | Будь-які облікові записи |
| Перший тиждень | Обліковий запис, один проєкт | Клієнтська база, права адміністратора |
| Перший місяць | Завдання за роллю | Платежі, зміна реквізитів |
| Після випробувального строку | Права за роллю | Зайве для ролі |
09
Гроші, коди й соціальна інженерія: що каже НБУ
Національний банк у звіті за 2025 рік пише, що соціальна інженерія спричинила 90 відсотків усіх збитків від шахрайства з платіжними картками, а через інтернет пройшли 83 відсотки шахрайських операцій. Середня сума такої операції в мережі сягнула 6 043 гривень.
Усередині компанії соціальна інженерія має інший вигляд, хоча механіка та сама. Новачок просить колегу продиктувати код «для входу в кабінет», переслати виписку «для звіту» або змінити реквізити постачальника «на прохання директора». НБУ нагадує: коди і паролі не повідомляють нікому.
Ілля Зав'ялов пропонує два правила. Новачок не отримує платіжних прав до кінця випробувального строку. Будь-яку зміну реквізитів підтверджує друга людина голосом, зателефонувавши за номером, який давно є в договорі з контрагентом.
Ключ до банківського кабінету компанії зберігає керівник або бухгалтер, перевірений роками. Новий працівник готує платіжні доручення як чернетки й передає їх на підпис.
Раз на квартал корисно коротко нагадувати команді, як виглядають такі прохання. П'ять хвилин на нараді з реальними прикладами з власної пошти діють краще за довгу інструкцію, яку ніхто не відкриває.
10
Ілля Зав'ялов: якщо підміну виявили після найму
Спершу вимикають усі доступи й змінюють паролі спільних акаунтів. Потім зберігають журнали входів, список вивантажених файлів, листування, скани, номери телефонів і реквізити для виплат. Пристрій, якщо він повернувся, не форматують.
Заяву до кіберполіції подають на ticket.cyberpolice.gov.ua, терміново можна телефонувати на 102. Якщо зачеплено гроші, дзвонять у свій банк і просять заблокувати доступ до інтернет-банкінгу. З питань трудового оформлення Держпраці дає телефон для консультацій (044) 288 10 00.
Ілля Зав'ялов радить знайти і попередити людину, чиї документи використали. Вона може дізнатися про «свою» роботу останньою, а її пояснення знадобляться і поліції, і компанії.
Окремо варто попередити клієнтів і партнерів, якщо підставний працівник писав їм від імені компанії. Короткий лист із проханням не виконувати його вказівок щодо оплати закриває найдорожчий хвіст такої історії.
Після розбору випадку регламент найму перечитують від початку і шукають крок, який пропустили. Майже завжди це виняток «для своїх»: терміновий проєкт, рекомендація знайомого, кандидат, якому повірили на слово. Цей виняток і викреслюють першим.
| Етап | Тривожна ознака | Перевірка |
|---|---|---|
| Резюме | Досвід без деталей, контакти змінюються | Дзвінок на номер із резюме |
| Рекомендації | Номер дав сам кандидат | Дзвінок у компанію з її сайту |
| Відеодзвінок | Обличчя пливе під час руху | Профіль, долоня, документ у кадрі |
| Документи | Ім'я різниться між паперами | Паспорт за статтею 24 КЗпП |
| Виплати | Картка на інше ім'я | Звірка з паспортом |
| Техніка | Прохання надіслати ноутбук не туди | Лише адреса з документів |
Питання і відповіді
Хто такий Ілля Зав'ялов і чому він пише про найм?
Ілля Зав'ялов консультант з цифрової безпеки невеликих команд. Віддалений найм він розглядає як видачу доступів: від перевірки на вході залежить, хто опиниться всередині пошти, коду і грошей.
Чи обов'язковий письмовий договір із віддаленим працівником?
Так. Стаття 24 КЗпП робить письмову форму обов'язковою для трудового договору про дистанційну роботу.
Який штраф за допуск до роботи без оформлення?
За статтею 265 КЗпП десятикратний розмір мінімальної зарплати за кожного працівника. З 1 січня 2026 року мінімальна зарплата становить 8647 гривень.
Хто забезпечує віддаленого працівника ноутбуком?
Якщо договір цього не визначає, за статтею 60-2 КЗпП забезпечення обладнанням і засобами захисту інформації покладається на роботодавця.
Як Зав'ялов радить перевіряти кандидата на відеодзвінку?
Два дзвінки з різними колегами, поворот голови в профіль, долоня перед обличчям, документ у кадрі і запитання про деталі минулої роботи, яких немає в резюме.
Куди звертатися, якщо підставного працівника виявили?
До кіберполіції через ticket.cyberpolice.gov.ua або на 102, до свого банку, якщо зачеплено гроші, а з питань оформлення можна порадитися з Держпраці.