Krok 2 · Zrozum
Zagrożenia cyfrowe w kancelarii: jak je rozpoznać i co robić
Ta lekcja jest największa, bo zagrożenia cyfrowe to połowa twojej pracy. Dla każdego zagrożenia dostajesz jak to zrobić krok po kroku i dlaczego. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.
ADrugi kanał: jedna zasada na wiele oszustw
Oszuści zmieniają przebranie, ale zasada ich obrony jest jedna. Prośba o pieniądze, dane, hasło albo zmianę numeru konta przychodzi zawsze tą samą drogą, którą rzekomo wysłał ją nadawca. Drugi kanał to sprawdzenie prośby innym sposobem, na przykład telefonem na numer, który już masz, a nie na numer z wiadomości.
| Kanał, którym przyszła prośba | Drugi kanał, którym ją sprawdzasz | Dlaczego nie ten sam |
|---|
| E-mail „od kierownika” | telefon na numer z książki telefonicznej jednostki | Oszust odpowie na e-mail tak samo pewnie jak prawdziwy kierownik. |
| Telefon „z banku” | rozłączasz się i dzwonisz pod numer z karty lub strony | Numer podany przez rozmówcę prowadzi do oszusta. |
| SMS „kurier” | wchodzisz na stronę kuriera wpisaną ręcznie | Link w SMS-ie prowadzi do podrobionej strony. |
Zasada
Odpowiedź w tym samym kanale niczego nie potwierdza. Dlaczego: kto kontroluje kanał, kontroluje też odpowiedź.
BFałszywy e-mail: sygnały i co z nim zrobić
Fałszywy e-mail rzadko wygląda źle. Wygląda prawie dobrze. Dlatego szukasz sygnałów: nadawca z adresem „prawie jak służbowy”, pośpiech, groźba kary, link zamiast treści, nieoczekiwany załącznik (.zip, .exe), prośba o poufność.
Jak to zrobić krok po kroku — gdy w skrzynce jest e-mail od „sądu” z linkiem i plikiem .zip
- Nie klikaj i nie otwieraj. Link i archiwum to dwa najczęstsze nośniki szkodliwego programu.
- Sprawdź drugim kanałem. Zadzwoń do sądu na numer ze strony urzędowej, którą wpiszesz ręcznie.
- Zostaw wiadomość w skrzynce i zgłoś. Ślad pomaga informatykowi: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Jak to zrobić krok po kroku — gdy chcesz odpisać „czy to prawda?”
- Nie odpisuj. Odpowiedź potwierdza oszustowi, że adres działa, i otwiera drogę do kolejnych wiadomości.
- Zgłoś wiadomość. Nie usuwaj jej, bo informatyk potrzebuje nagłówków.
Robisz
- sprawdzasz adres nadawcy znak po znaku — jedna litera różnicy to podróbka
- zgłaszasz wiadomość, zanim cokolwiek klikniesz — informatyk usunie ją innym
Nie robisz
- nie odpisujesz oszustowi — odpowiedź potwierdza, że adres działa
- nie otwierasz .zip od nieznanego nadawcy — w środku bywa szkodliwy program
Dlaczego
Jeden kliknięty plik może zablokować pracę całej jednostki, a pismo z sądu da się potwierdzić telefonem w minutę.
CTelefon i SMS
Przez telefon nie widzisz, kto mówi. Vishing to oszustwo głosowe. Smishing to oszustwo przez SMS. Oba grają na pośpiechu: „paczka wstrzymana”, „podejrzany przelew”, „zablokujemy konto”.
Jak to zrobić krok po kroku — gdy dzwoni „dział bezpieczeństwa banku” i prosi o kod z SMS-a
- Nie podawaj kodu. Prawdziwy bank nigdy nie prosi o kod, który sam wysłał.
- Rozłącz się. Nie tłumacz się i nie kłóć. Rozmowę przedłuża oszust.
- Zadzwoń do banku na numer z karty lub strony. Nie oddzwaniaj na numer z wyświetlacza, bo można go podrobić.
- Zgłoś próbę. Pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Inni pracownicy mogą dostać ten sam telefon.
Jak to zrobić krok po kroku — gdy na telefon służbowy przychodzi SMS „kurier: dopłać 1,50 zł”
- Nie klikaj linku. Strona wygląda jak kuriera, ale kradnie dane karty.
- Nie odpisuj, nie dzwoń. Odpowiedź potwierdza, że numer działa.
- Zgłoś i usuń po zgłoszeniu. Zgłoszenie ostrzeże innych.
Dlaczego
Mała kwota „dopłaty” usypia czujność, a cel jest inny: dane karty lub dostęp do telefonu.
DPodszycie pod kierownika
To najgroźniejsze oszustwo wymierzone w sekretariat. E-mail „od kierownika” lub „od wójta” prosi o pilny przelew, a na końcu dodaje: „nikomu nie mów”. Zakaz rozmowy to najmocniejszy sygnał, bo uczciwa prośba nie boi się pytania.
Jak to zrobić krok po kroku — gdy „kierownik” prosi o przelew e-mailem
- Nic nie robisz do czasu rozmowy. Pośpiech jest częścią oszustwa.
- Dzwonisz do kierownika na numer, który znasz. Nie na numer z e-maila.
- Jeśli kierownik jest nieosiągalny, dzwonisz do jego zastępcy lub księgowości. Nikt nie powinien wykonać przelewu sam.
- Zostawiasz wiadomość jako ślad i zgłaszasz. bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Oszust próbuje zwykle kilku pracowników naraz.
Gdy coś poszło nie tak
Przelew już wyszedł? Powiadom natychmiast kierownika, księgowość i bank. W pierwszych godzinach często da się go zatrzymać. Potem zgłoś pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Dlaczego
Pieniądze wysłane oszustowi rzadko wracają. Jedna rozmowa telefoniczna zajmuje minutę.
EFaktura i pismo z kodem QR
Oszuści drukują kod QR na papierze, żeby ominąć filtry pocztowe. Hasło „opłata weryfikacyjna, po 24 godzinach kara” ma wywołać strach. Drugi popularny trik to podwójne rozszerzenie pliku: faktura.pdf.exe wygląda jak PDF, a jest programem.
Jak to zrobić krok po kroku — gdy na piśmie jest naklejony kod QR z żądaniem opłaty
- Nie skanuj kodu. Kod kryje adres, którego nie widzisz.
- Pokaż pismo kierownikowi. Ocenia on, czy pismo jest prawdziwe.
- Zgłoś. bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Zachowaj kopertę i pismo.
Jak to zrobić krok po kroku — gdy dostawca przysyła fakturę w pliku z podwójnym rozszerzeniem
- Nie otwieraj. Plik .exe uruchamia program.
- Zadzwoń do dostawcy na znany numer. Poproś o nową fakturę przez zwykły kanał.
- Zgłoś. Informatyk sprawdzi, czy inni nie dostali tego samego pliku.
Dlaczego
Prawdziwy urząd nie żąda opłaty „na kod QR” po 24 godzinach, a prawdziwa faktura to plik PDF bez drugiego rozszerzenia.
FHasła i kod z SMS-a
Hasło jest osobiste. Nie ma żadnego uzasadnienia, żeby podawać je komukolwiek, także informatykowi. Informatyk nie potrzebuje twojego hasła: ma uprawnienia administratora. Logowanie dwuetapowe to drugi zamek: po haśle wpisujesz kod z SMS-a lub aplikacji, ale tylko wtedy, gdy sam zaczynasz logowanie.
Jak to zrobić krok po kroku — gdy „informatyk” dzwoni i prosi o hasło
- Nie podawaj hasła. Nawet gdy głos brzmi znajomo i pewnie.
- Powiedz: „Hasła nie podaję. Proszę o zgłoszenie przez system”. Prawdziwy informatyk nie obrazi się.
- Zgłoś próbę. informatyk lub pomoc techniczna jednostki lub bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Jak to zrobić krok po kroku — gdy dostajesz kod z SMS-a, którego nie żądałeś
- Nie wpisuj go nigdzie. Ktoś próbuje się zalogować na twoje konto.
- Nie podawaj go rozmówcy. Kod otwiera drzwi do konta.
- Zgłoś i zmień hasło po poleceniu informatyka. informatyk lub pomoc techniczna jednostki
Robisz
- wpisujesz kod tylko wtedy, gdy sam zaczynasz logowanie — kod otwiera konto
- używasz osobnego hasła do pracy — wyciek z innej strony nie otworzy służbowego konta
Nie robisz
- nie podajesz hasła nikomu — informatyk ma uprawnienia administratora
- nie zapisujesz hasła na karteczce przy monitorze — widzi ją każdy gość
Dlaczego
Kto zna twoje hasło, działa w systemie jako ty. W zapisie zdarzeń winna będzie osoba, której konto zostało użyte.
GNośniki i załączniki
Pendrive, płyta i załącznik to trzy drogi, którymi szkodliwy program wchodzi do sieci jednostki. Interesant niesie pendrive „z dokumentami do sprawy”, bo uważa, że tak będzie szybciej.
Jak to zrobić krok po kroku — gdy interesant prosi o wgranie plików z pendrive’a
- Nie wkładaj pendrive’a do komputera służbowego. Zainfekowany nośnik zadziała od razu po wpięciu.
- Wyjaśnij uprzejmie. „Proszę złożyć dokumenty na papierze lub przez ePUAP.”
- Wskaż drogę. Jeśli plik jest konieczny, kierownik decyduje, jak go bezpiecznie sprawdzić.
Jak to zrobić krok po kroku — gdy do skrzynki podawczej wpływa .zip od nieznanego nadawcy
- Nie otwieraj archiwum. Archiwum ukrywa program przed filtrem.
- Zarejestruj wpływ zgodnie z instrukcją. Wpływ pisma otwiera terminy, więc rejestr musi być prawdziwy.
- Przekaż informatykowi do sprawdzenia. informatyk lub pomoc techniczna jednostki
Dlaczego
Zainfekowany pendrive jedną chwilą zablokuje komputer, a często całą sieć.
HSkaner, czat AI, głos i praca poza biurem
Nowe narzędzia mają stare ryzyka. Skan na prywatny e-mail to wyciek, bo poczta prywatna leży poza kontrolą jednostki. Publiczny czat AI zapamiętuje to, co wkleisz, a dane trafiają do firmy zewnętrznej. Głos kierownika da się dziś podrobić.
Jak to zrobić krok po kroku — gdy chcesz dokończyć pracę w domu
- Zapytaj kierownika o zgodę. Praca w domu to osobna zasada jednostki.
- Użyj tylko urządzenia i poczty wskazanych przez jednostkę. Prywatny e-mail i prywatny komputer są poza kontrolą.
- Nie zabieraj oryginałów. Teczka w tramwaju to najprostsza droga do utraty dokumentu.
Jak to zrobić krok po kroku — gdy chcesz skrócić skargę czatem AI
- Nie wklejaj skargi do publicznego czatu. Nazwisko i adres trafiają do firmy zewnętrznej.
- Skróć tekst sam albo poproś referenta. Streszczenie to zadanie dla człowieka z upoważnieniem.
- Zapytaj kierownika o zatwierdzone narzędzie. Czat zatwierdzony przez jednostkę to osobna sytuacja.
Jak to zrobić krok po kroku — gdy dzwoni „kierownik” podobnym głosem i prosi o skany na obcy adres
- Nie wysyłaj nic. Głos da się podrobić. Prośba o obcy adres to sygnał.
- Rozłącz się i oddzwoń na znany numer. Prawdziwy kierownik potwierdzi.
- Zgłoś próbę. bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów
Dlaczego
Narzędzie jest nowe, ale pytanie stare: kto dostaje dokument i czy ma do niego prawo.
Krok 3 · Ćwicz
Sprawdź, czy już wiesz
Ćwiczenie 1. Do którego oszustwa pasuje opis?Przy każdej pozycji wybierz jedną odpowiedź.
„Dział bezpieczeństwa banku” prosi o kod z SMS-a
Faktura w pliku faktura.pdf.exe
SMS „paczka wstrzymana, dopłać 1,50 zł”
E-mail „od sądu” z linkiem do pisma
Ćwiczenie 2. E-mail „od wójta” prosi o przelew 12 000 zł dziś i dodaje: „nikomu nie mów”. Co robisz?
Odpisujesz z pytaniem, czy to na pewno wójt.
Wykonujesz przelew, bo prośba jest pilna.
Dzwonisz do wójta na znany numer i zgłaszasz wiadomość.
Ćwiczenie 3. Uzupełnij zdania.
Prośbę o pieniądze sprawdzam …. Hasła nie podaję nikomu, także …. Pendrive’a od interesanta nie wkładam do ….
Ćwiczenie 4. Zaznacz fragmenty, które zdradzają fałszywy e-mail.
Od: urzad-przykladowo@poczta-przyklad.example Szanowna Pani, Opłać dziś, inaczej naliczymy karę. Kliknij tutaj, aby otworzyć pismo. Nikomu o tym nie mów.
Ćwiczenie 5. Informatyk dzwoni i prosi o twoje hasło „na chwilę”. Napisz, co powiesz.
„Hasła nie podaję. Proszę o zgłoszenie przez system.” — informatyk ma uprawnienia administratora, więc hasło nie jest mu potrzebne.
