AW-02 · Poradnik stanowiskowy · Twoja jednostkaOpracowanie: BEZPIECZNE DANE sp. z o.o.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ok. 35 min
Zagrożenia cyfrowe w mojej pracy
Oszust nie musi włamywać się do systemu. Wystarczy, że otworzysz „CV” albo wykonasz „pilne polecenie dyrektora”. Przez kadry przechodzą wypłaty i dane z akt, więc atakujący zaczynają tutaj.
2.1Kto i po co atakuje kadry
Atakujący chcą pieniędzy, danych albo dostępu do systemu. Kadry i płace są dla nich atrakcyjne: przez twoje ręce przechodzą wypłaty, numery kont i dane z akt. Oszust nie musi włamywać się do systemu. Wystarczy, że namówi ciebie.
Rysunek 4 pokazuje, jak zwykle przebiega atak. Zawsze ma pięć kroków, a ty stoisz w czwartym. To tu możesz go przerwać.
Rysunek 4. Pięć kroków ataku. Czwarty krok to twoja decyzja.
Zapamiętaj
Oszust szuka pośpiechu, strachu i autorytetu. Gdy czujesz presję, zatrzymaj się. Pilność nie jest argumentem.
2.2Fałszywe wiadomości e-mail i CV od „kandydata”
Co to znaczy. Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane albo pieniądze. W kadrach najczęściej udaje urząd skarbowy, ZUS, bank, przełożonego albo kandydata do pracy. Kadry z natury otwierają pliki od obcych ludzi: CV przychodzą z całego świata. Dlatego oszuści wybierają właśnie ten kanał. Rysunek 5 pokazuje e-mail „z urzędu”. Znajdź siedem sygnałów.
Rysunek 5. Fałszywy e-mail „z urzędu skarbowego”. Numery odpowiadają sygnałom z listy.
1
Dziwny adres nadawcyDomena jest obca. Prawdziwy urząd pisze z własnej.
2
Pośpiech w temacie„PILNE” i krótki termin mają wyłączyć ostrożność.
3
Ogólne powitanie„Szanowni Państwo” zamiast nazwy jednostki i numeru sprawy.
4
Hasło do pliku w treściTak omija się ochronę poczty.
5
Przycisk do logowaniaProwadzi do obcej strony, która zbiera hasła.
6
Plik ZIPArchiwum z hasłem ukrywa szkodliwy program przed ochroną poczty.
7
Groźba i podpis bez osobyBrak imienia, telefonu i numeru sprawy. Nie ma kogo sprawdzić.
Drugi częsty wariant to CV z makrem. Plik z końcówką „.docm” albo „.xlsm” prosi o „włączenie edycji” lub „włączenie zawartości”. Makro to mały program ukryty w dokumencie. Po włączeniu uruchamia się bez twojej wiedzy. Zwykłe CV nie wymaga żadnego włączania.
Jak to zrobić
Kanał
Co robisz
Na co uważasz
E-mail z CV od nieznanej osoby
1. Patrzysz na rozszerzenie pliku. „.docm”, „.xlsm”, „.zip” i „.exe” budzą podejrzenie. 2. Nie klikasz „Włącz edycję” ani „Włącz zawartość”. 3. Prosisz kandydata, by przesłał CV kanałem wskazanym w ogłoszeniu o naborze. 4. Wiadomość zostawiasz i zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Nie przesyłasz podejrzanego pliku koledze do sprawdzenia.
E-mail „z urzędu”, „z ZUS” lub „z banku”
1. Patrzysz na cały adres nadawcy, nie tylko na nazwę. 2. Nie otwierasz załącznika i nie klikasz linku. 3. Dzwonisz do instytucji na numer, który znasz z wcześniejszych pism. 4. Wiadomość zostawiasz i zgłaszasz.
Portal instytucji wpisujesz ręcznie w przeglądarce, nie z linku.
Telefon po takim e-mailu
1. Mówisz: „Sprawdzę to i oddzwonię”. 2. Dzwonisz na numer, który znasz.
Nie oddzwaniasz na numer podany przez rozmówcę.
Robię
patrzysz na adres nadawcy w całości
sprawdzasz rozszerzenie pliku przed otwarciem
zostawiasz wiadomość jako dowód i zgłaszasz
Nie robię
nie klikasz „Włącz edycję” ani „Włącz zawartość”
nie otwierasz plików ZIP z hasłem w treści
nie odpisujesz oszustowi
Dlaczego: odpowiedź potwierdza oszustowi, że adres działa. Włączone makro uruchamia szkodliwy program na komputerze, który ma dostęp do systemu płac.
2.3Podszycie pod pracownika, przełożonego i dostawcę: drugi kanał
Co to znaczy. Drugi kanał to sprawdzenie prośby innym sposobem, niż przyszła. Jeśli prośba przyszła e-mailem, sprawdzasz ją telefonem na numer, który już znasz. Rysunek 6 pokazuje zasadę. W kadrach oszuści podszywają się najczęściej pod pracownika (zmiana konta do wypłaty), pod dyrektora (pilna zaliczka) i pod dostawcę systemu.
Rysunek 6. Drugi kanał: prośba, stop, sprawdzenie innym sposobem, decyzja.
Jak to zrobić
Kanał
Co robisz
Na co uważasz
E-mail „od pracownika” o zmianie konta lub „od dyrektora” o zaliczce
1. Nie odpisujesz w tym samym e-mailu. 2. Dzwonisz do osoby na numer z akt lub ze znanej listy. 3. Pytasz: „Czy to ty prosiłeś o zmianę konta?”. 4. Dopiero po potwierdzeniu działasz, a wiadomość zostawiasz.
Numer w stopce e-maila może należeć do oszusta.
Telefon „pracownika”, który zna swój PESEL
1. Mówisz: „Zmianę konta przyjmuję osobiście lub przez system kadrowy”. 2. Oddzwaniasz na numer z akt.
PESEL nie jest dowodem tożsamości, bo wyciekł z wielu baz.
Podrobiony głos: „dyrektor” prosi o pilny przelew
1. Kończysz rozmowę słowami: „Oddzwonię za minutę”. 2. Dzwonisz do dyrektora na numer, który znasz. 3. Bez wniosku i akceptacji nic nie wypłacasz.
Głos można dziś podrobić programem, więc „brzmi jak on” niczego nie dowodzi.
Osoba trzecia: „serwisant systemu kadrowego” w drzwiach
1. Prosisz o dokument tożsamości i zlecenie. 2. Informujesz przełożonego lub pomoc IT: informatyk lub pomoc techniczna jednostki. 3. Nie zostawiasz serwisanta samego przy aktach.
Strój i pewność siebie niczego nie dowodzą.
Przykład: gotowe zdanie
„Zgadzam się, ale najpierw zadzwonię do pana na numer z akt. Oddzwonię za minutę.”
Gdy masz wątpliwość
Dzwonisz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Pytanie „czy to naprawdę ty?” zadajesz drugim kanałem, nie w tej samej wiadomości.
Zasada
Prośbę o pieniądze, dane lub zmianę konta sprawdzasz drugim kanałem. Dlaczego: odpowiedź w tym samym kanale niczego nie potwierdza, bo odpowie ten, kto kontroluje wiadomość.
2.4Telefon i SMS
Oszust dzwoni albo pisze SMS. Udaje bank, urząd, kuriera albo komornika. Zawsze spieszy się i prosi o dane, kod albo opłatę. Rysunek 7 pokazuje SMS „z banku”. Znajdź sześć sygnałów.
Nazwa nadawcyPodobna do znanego banku, ale nie ta sama.
2
Strach o wypłatyWstrzymanie wypłat wynagrodzeń ma wywołać panikę.
3
Prośba o potwierdzenie danych kontaBank nie prosi o dane przez SMS.
4
Krótki terminPośpiech ma wyłączyć ostrożność.
5
LinkProwadzi do fałszywej strony banku.
6
Polecenie „odpowiedz TAK”Odpowiedź potwierdza, że numer jest aktywny.
Jak to zrobić
Kanał
Co robisz
Na co uważasz
SMS
1. Nie klikasz linku i nie odpisujesz. 2. Sprawdzasz sprawę w banku telefonem na numer z umowy: numer banku z umowy. 3. SMS zostawiasz i zgłaszasz.
Odpowiedź STOP też potwierdza, że numer działa.
Telefon „z banku”, „z ZUS” lub „z urzędu”
1. Mówisz: „Oddzwonię na numer, który znam”. 2. Kończysz rozmowę. Nie podajesz kodów, haseł ani danych pracowników. 3. Zgłaszasz próbę.
Prawdziwy bank nie prosi o kody przez telefon.
Kod logowania, którego nie zamawiałeś
1. Nikomu go nie podajesz, także przy telefonie „z pomocy technicznej”. 2. Zgłaszasz, że ktoś próbuje wejść na twoje konto. 3. Hasło zmieniasz po poleceniu pomocy IT.
Kod z SMS-a to drugi zamek, a oszust prosi o klucz do niego.
2.5Hasła, systemy kadrowo-płacowe i logowanie dwuetapowe
Hasło jest tylko twoje. Nie podajesz go nikomu, także informatykowi, kierownikowi i „serwisowi”. Administrator ma własne uprawnienia i twojego hasła nie potrzebuje. Logowanie dwuetapowe to drugi zamek: kod z SMS-a albo z aplikacji. Włączasz je wszędzie, gdzie jest dostępne.
W kadrach jest jeszcze jedno ryzyko: konta wspólne, na przykład jedno konto „kadry” do systemu płac, z którego korzysta kilka osób. Wtedy nie wiadomo, kto wypłacił pieniądze ani kto czytał akta. Każda osoba ma własne konto.
Jak to zrobić
Kanał
Co robisz
Na co uważasz
Telefon „informatyka” lub „serwisu systemu płac”
1. Mówisz: „Nie podaję hasła nikomu”. 2. Prosisz, by zgłosił się do pomocy informatycznej: informatyk lub pomoc techniczna jednostki. 3. Zgłaszasz próbę.
Dobry informatyk hasła nie potrzebuje.
Konto wspólne w systemie płac
1. Zgłaszasz przełożonemu, że każda osoba powinna mieć własne konto. 2. Do czasu zmiany zapisujesz, kto kiedy korzystał.
Nie dzielisz się hasłem z kolegą „na wszelki wypadek”.
Nowe hasło
1. Wybierasz długie hasło z kilku niepowiązanych słów. 2. Nie używasz tego samego hasła w pracy i w domu. 3. Hasło trzymasz w menedżerze haseł jednostki, nie na kartce. 4. Włączasz logowanie dwuetapowe.
Hasło „Kwiecień2026!” jest łatwe do odgadnięcia.
Robię
włączasz logowanie dwuetapowe
masz własne konto w systemie płac
zmieniasz hasło, gdy podejrzewasz wyciek
Nie robię
nie podajesz hasła nikomu, także informatykowi
nie zapisujesz hasła na kartce przy monitorze
nie używasz tego samego hasła w pracy i w domu
Dlaczego: kto zna hasło, działa w systemie jako ty: wypłaca pieniądze, zmienia konta i czyta akta. Odpowiedzialność spada na właściciela konta.
2.6Załączniki, pendrive i kody QR
Szkodliwy program uruchamia się w chwili kliknięcia albo wpięcia nośnika. Kod QR to obrazek, który kryje adres strony. Nie widać, dokąd prowadzi. Naklejka z kodem QR na papierowym piśmie jest zawsze podejrzana. W kadrach spotkasz też pendrive od kandydata z „portfolio”.
Jak to zrobić
Kanał
Co robisz
Na co uważasz
Pendrive od kandydata lub pracownika
1. Nie wkładasz go do komputera, także starego. 2. Prosisz o przesłanie dokumentów kanałem naboru albo o wydruk. 3. Jeśli nośnik dołączono do pisma, zostawiasz go razem z pismem i zgłaszasz.
Nie sprawdzasz nośnika „na odłączonym komputerze”.
Kod QR w piśmie, ulotce lub e-mailu
1. Nie skanujesz kodu, także służbowym telefonem. 2. Pismo z kodem oddajesz przełożonemu. 3. Nie zdzierasz naklejki.
Naklejka jest dowodem.
Załącznik od nieznanej osoby
1. Nie otwierasz załącznika. 2. Sprawdzasz nadawcę drugim kanałem.
Pliki ZIP z hasłem w treści to częsty sposób ataku.
Zasada
Obcego nośnika nie wkładasz do komputera, a kodu QR z pisma nie skanujesz. Dlaczego: nośnik i kod są dowodem i mogą zawierać szkodliwy program. Dowód zostawiasz i zgłaszasz.
2.7Czat AI, komunikatory i chmura
Czat AI to program, który pisze teksty na polecenie. Wklejony tekst trafia do zewnętrznej firmy. Prywatny komunikator i prywatna chmura też są poza kontrolą jednostki. W kadrach dotyczy to opinii o kandydatach, ocen pracowników, zwolnień i list płac.
Sytuacja
Wolno?
Co robisz
Opinia o kandydacie z imieniem i nazwiskiem w publicznym czacie AI
Nie
Opinię piszesz sam albo używasz narzędzia zatwierdzonego przez jednostkę.
Zdjęcie zwolnienia lekarskiego przesłane na prywatny komunikator
Nie
Pracownik przesyła je kanałem służbowym.
Lista płac w prywatnej chmurze
Nie
Zapisujesz na dysku jednostki.
Szablon ogłoszenia o naborze bez danych w czacie AI zatwierdzonym przez jednostkę
Tak, bez danych
Wklejasz tylko tekst bez danych osób.
Tabela 4. Czat AI, komunikatory i chmura: co wolno, a czego nie.
Zasada
Dane pracowników nie opuszczają jednostki poza zatwierdzonym kanałem. Dlaczego: tekst wklejony do zewnętrznej usługi zostaje u niej. Usunięcie nazwiska nie wystarczy, bo opis stanowiska i życiorysu też wskazuje człowieka.
2.8Wysyłka: zły adresat i ukryte dane w plikach
Dane wychodzą także przez zwykły e-mail. Dwa błędy zdarzają się najczęściej: wysyłka listy płac do niewłaściwego adresata i ukryte dane w pliku. Poczta podpowiada adres po kilku literach, więc łatwo wybrać niewłaściwą osobę z podobnym nazwiskiem. Plik arkusza ma też ukryte kolumny i karty, które odbiorca może odsłonić jednym kliknięciem.
Jak to zrobić
Kanał
Co robisz
Na co uważasz
Lista płac lub wykaz do księgowości
1. Wpisujesz adres odbiorcy i czytasz go w całości. 2. Usuwasz z arkusza ukryte kolumny i karty. Wysyłasz tylko potrzebne kolumny. 3. Zabezpieczasz plik hasłem. 4. Hasło przekazujesz drugim kanałem: telefonem lub SMS-em.
Hasło w tym samym e-mailu niczego nie chroni.
Zestawienie dla kierownika komórki
1. Dajesz tylko dane jego zespołu. 2. Nie dołączasz rozpoznań ani kwot, jeśli nie są mu potrzebne.
Kierownik nie musi znać wynagrodzeń spoza swojego zespołu.
Wiadomość do wielu osób naraz
1. Wpisujesz adresy w polu UDW. 2. Sprawdzasz listę przed wysłaniem.
Widoczne adresy ujawniają, kto jest pracownikiem jednostki.
Gdy masz wątpliwość
Wysłano dane do niewłaściwej osoby? Zgłoś od razu pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Wiadomości nie usuwasz, bo jest dowodem.
Robię
czytasz adres odbiorcy w całości
wysyłasz tylko potrzebne kolumny
hasło do paczki przekazujesz drugim kanałem
Nie robię
nie ufasz podpowiedzi poczty
nie wysyłasz arkuszy z ukrytymi kartami
nie piszesz hasła w tym samym e-mailu
Dlaczego: plik ma tyle warstw, ile ma historia zmian i ukryte karty. Każdy odbiorca może otworzyć wszystkie.
2.9Praca poza biurem
Czasem kończysz listę płac w pociągu, w domu albo na wyjeździe. Laptop w drodze ma ekran widoczny dla sąsiada, a publiczna sieć Wi-Fi bywa podsłuchiwana. Zasada jest prosta: dane o płacach i zdrowiu przetwarzasz tam, gdzie nikt obcy nie widzi ekranu, i na sprzęcie wskazanym przez jednostkę.
Jak to zrobić
Kanał
Co robisz
Na co uważasz
Pociąg, kawiarnia, poczekalnia
1. Nie otwierasz list płac ani akt. 2. Wykonujesz tylko zadania, które nie pokazują danych osób.
Sąsiad widzi ekran i słyszy rozmowę.
Praca zdalna z domu
1. Pracujesz na sprzęcie służbowym i przez bezpieczne połączenie jednostki. 2. Blokujesz ekran, gdy ktoś wchodzi do pokoju. 3. Wydruków nie zostawiasz w domu.
Domownik jest osobą trzecią.
Laptop służbowy w podróży
1. Nie zostawiasz go w samochodzie ani w bagażu bez nadzoru. 2. W razie utraty zgłaszasz od razu pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Dysk szyfrowany pomaga, ale nie zastępuje szybkiego zgłoszenia.
Moje notatki z tematu · moduł 2
Którą sztuczkę mogę spotkać najczęściej na moim stanowisku?
Komu opowiem o zasadzie drugiego kanału?
Krok 2 · Zrozum
Jak rozpoznajesz zagrożenia w swojej pracy
Poradnik pokazuje sygnały oszustwa. Tutaj zobaczysz, jak reagować krok po kroku i dlaczego. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.
AKto i po co atakuje kadry
Atakujący chcą trzech rzeczy: pieniędzy, danych i dostępu do systemu. W kadrach przechodzą wypłaty, numery kont i dane z akt, więc oszuści piszą właśnie do ciebie. Większość ataków zaczyna się od wiadomości albo telefonu i ma pięć kroków: zbieranie informacji, kontakt, presja, twoja decyzja i skutek.
Krok ataku
Co się dzieje
Gdzie możesz przerwać
Zbieranie
oszust czyta stronę jednostki i ogłoszenia o naborze
Nie publikujesz niepotrzebnych danych
Kontakt
e-mail z CV, telefon, SMS, pismo
Rozpoznajesz sygnały
Presja
„pilne”, „tajne”, groźba kary
Zwalniasz i sprawdzasz
Twoja decyzja
klikasz, podajesz, wysyłasz, zmieniasz konto
Tu przerywasz atak
Skutek
szkoda albo zatrzymanie ataku
Zgłaszasz od razu
Zapamiętaj
Oszust szuka pośpiechu, strachu i autorytetu. Gdy czujesz presję, zatrzymaj się. Pilność nie jest argumentem.
BFałszywy e-mail i CV z makrem
Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane albo pieniądze. W kadrach udaje urząd skarbowy, ZUS, bank albo kandydata. Makro to mały program ukryty w dokumencie. Plik z końcówką „.docm” lub „.xlsm” prosi o „włączenie edycji” albo „włączenie zawartości”. Zwykłe CV tego nie wymaga.
Sygnał
Dlaczego jest groźny
Obca domena nadawcy lub adres różniący się o jedną literę
Oszust podrabia znany adres. Prawdziwa instytucja pisze z własnej domeny.
„PILNE”, krótki termin
Pośpiech ma wyłączyć ostrożność.
Ogólne powitanie
Prawdziwe pismo zna nazwę jednostki i numer sprawy.
Hasło do pliku w treści, plik ZIP
Tak omija się ochronę poczty.
Przycisk „zaloguj się”
Fałszywa strona zbiera hasła.
CV z końcówką .docm i prośbą „włącz zawartość”
Po włączeniu makro uruchamia szkodliwy program.
Jak to zrobić krok po kroku — gdy dostajesz e-mail z CV od nieznanej osoby
Przeczytaj adres w całości. Zobacz domenę po znaku @, nie tylko nazwę wyświetlaną.
Sprawdź rozszerzenie pliku. „.docm”, „.xlsm”, „.zip” i „.exe” to sygnał ostrzegawczy.
Nie klikaj „Włącz edycję” ani „Włącz zawartość”. Zwykłe CV nie wymaga żadnego włączania.
Zostaw wiadomość i zgłoś. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie przesyłaj pliku koledze.
Jak to zrobić krok po kroku — gdy dostajesz e-mail „z urzędu skarbowego” lub „z ZUS” z linkiem do logowania
Nie klikaj w link. Także w przycisk „Zaloguj się do portalu”.
Sprawdź instytucję drugim kanałem. Zadzwoń na numer ze znanych ci pism albo wpisz adres portalu ręcznie.
Zostaw wiadomość i zgłoś. Zgłoszenie ostrzeże inne komórki.
Robisz
patrzysz na adres w całości — nazwa wyświetlana bywa podrobiona
sprawdzasz instytucję telefonem na znany numer — e-mail może pisać każdy
Nie robisz
nie klikasz „Włącz zawartość” — makro uruchamia szkodliwy program
nie przesyłasz podejrzanej wiadomości koledze — rozszerzasz zagrożenie
Dlaczego
Odpowiedź potwierdza oszustowi, że adres działa. Zgłoszona wiadomość pozwala ostrzec innych i zablokować nadawcę.
CDrugi kanał i podszycie
Drugi kanał to sprawdzenie prośby innym sposobem, niż przyszła. Prośba przyszła e-mailem, więc sprawdzasz ją telefonem na numer, który już znasz. Odpowiedź w tym samym kanale niczego nie potwierdza, bo odpisze ten, kto kontroluje wiadomość. W kadrach oszuści podszywają się pod pracownika (zmiana konta), pod dyrektora (pilna zaliczka) i pod dostawcę systemu. Podrobiony głos to nagranie lub program, który brzmi jak znana osoba.
Kto prosi
O co
Jak sprawdzasz
„Pracownik” e-mailem lub telefonem
o zmianę numeru konta do wypłaty
oddzwaniasz na numer z akt, zmianę przyjmujesz osobiście lub przez system kadrowy
„Dyrektor” telefonem, głos brzmi znajomo
o pilną zaliczkę bez wniosku
kończysz rozmowę i dzwonisz do dyrektora na znany numer
„Serwisant” w drzwiach
o dostęp do pokoju z aktami
prosisz o dokument i zlecenie, informujesz pomoc IT
Jak to zrobić krok po kroku — gdy „pracownik” pisze z innego adresu i prosi o zmianę konta do wypłaty
Nie odpisuj ani nie zmieniaj wpisu. Odpowiedź w tym samym e-mailu niczego nie potwierdza.
Zadzwoń na numer z akt. Nie na numer ze stopki wiadomości.
Zapytaj wprost. „Czy prosiłeś o zmianę konta?”.
Zmianę przyjmij osobiście albo przez system kadrowy. Zgłoś wiadomość i zostaw ją jako dowód.
Jak to zrobić krok po kroku — gdy dzwoni osoba głosem dyrektora i prosi o pilny przelew
Nie wykonuj polecenia. Pilność i tajność to znaki oszustwa.
Powiedz: „Oddzwonię za minutę”. I zakończ rozmowę.
Zadzwoń do dyrektora na znany numer. Głos można podrobić, numeru z twojej listy nie.
Bez wniosku i akceptacji nic nie wypłacaj. Zgłoś próbę.
Przykład: gotowe zdanie
„Zgadzam się, ale najpierw zadzwonię do pana na numer z akt. Oddzwonię za minutę.”
Zasada
Prośbę o pieniądze, dane lub zmianę konta sprawdzasz drugim kanałem. Dlaczego: zakaz rozmowy i pośpiech to dwa najczęstsze znaki oszustwa „na dyrektora”.
Gdy masz wątpliwość
Pytasz przełożonego albo dzwonisz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Pytanie nigdy nie jest błędem.
DTelefon i SMS
Oszust dzwoni albo wysyła SMS. Udaje bank, urząd, kuriera albo pomoc techniczną. Zawsze spieszy się i prosi o dane, kod albo opłatę. Prawdziwy bank nie prosi o dane konta ani o kody przez telefon i SMS.
Rozmówca mówi
Co robisz
SMS „Bank Przykładowy: wypłata wynagrodzeń wstrzymana, potwierdź dane konta: link”
Nie klikasz, nie odpisujesz. Dzwonisz do banku na numer z umowy: numer banku z umowy.
„Podaj kod, który właśnie przyszedł SMS-em”
Nikomu go nie podajesz. Kończysz rozmowę i zgłaszasz.
„Oddzwoń na ten numer”
Nie oddzwaniasz. Numer instytucji bierzesz ze znanego źródła.
Jak to zrobić krok po kroku — gdy przychodzi SMS „z banku” o wstrzymanej wypłacie
Nie klikaj w link. Strach o wypłaty ma wywołać panikę.
Nie odpisuj, także STOP. Odpowiedź potwierdza, że numer jest aktywny.
Sprawdź w banku drugim kanałem. Zadzwoń na numer z umowy.
Zgłoś SMS. Zostaw go jako dowód.
Jak to zrobić krok po kroku — gdy ktoś dzwoni po kod z SMS-a
Nie podawaj kodu. Nikomu, także „pomocy technicznej”.
Zakończ rozmowę. Prawdziwa pomoc techniczna nie prosi o kod.
Zgłoś, że ktoś próbuje wejść na twoje konto. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Dlaczego
Kod z SMS-a to drugi zamek do twojego konta. Oszust, który go ma, wchodzi do systemu płac jako ty.
EHasła i konta
Hasło jest tylko twoje. Nie podajesz go nikomu. Administrator ma własne uprawnienia i twojego hasła nie potrzebuje. Każda osoba ma własne konto w systemie kadrowo-płacowym, bo tylko wtedy wiadomo, kto wypłacił pieniądze lub czytał akta.
Sytuacja
Co robisz
Dlaczego
„Informatyk” prosi o hasło „na chwilę”
Nie podajesz, zgłaszasz próbę
Prawdziwy informatyk hasła nie potrzebuje.
Kilka osób loguje się na jedno konto „kadry”
Zgłaszasz potrzebę osobnych kont
Bez tego nie wiadomo, kto co zrobił.
Chcesz zapisać hasło
Używasz menedżera haseł jednostki
Kartka przy monitorze to hasło dla każdego.
Jak to zrobić krok po kroku — gdy „informatyk” dzwoni po hasło do systemu płac
Nie podawaj nic. Ani hasła, ani połowy hasła, ani kodu z SMS-a.
Powiedz zdanie. „Hasła nie podaję nikomu. Proszę zgłosić się do pomocy informatycznej”.
Zgłoś próbę. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Jak to zrobić krok po kroku — gdy ustawiasz nowe hasło
Wybierz długie hasło z kilku niepowiązanych słów. Długość chroni lepiej niż wymyślne znaki.
Nie używaj tego samego hasła w pracy i w domu. Wyciek z domowego konta otworzyłby system płac.
Włącz logowanie dwuetapowe. To drugi zamek na wypadek wycieku hasła.
Zasada
Hasła nie podajesz nikomu. Dlaczego: kto je zna, działa w systemie płac jako ty i może wypłacić pieniądze, a odpowiedzialność spada na właściciela konta.
FPendrive i kody QR
Szkodliwy program uruchamia się w chwili wpięcia nośnika albo kliknięcia. Kod QR to obrazek, który kryje adres strony. Nie widać, dokąd prowadzi. Nośnik i naklejka są dowodem, więc ich nie niszczysz.
Jak to zrobić krok po kroku — gdy kandydat przynosi pendrive z „portfolio” i prosi o skopiowanie dokumentów
Nie wkładaj go do komputera. Także starego i odłączonego od sieci.
Wskaż inny kanał. Dokumenty kandydat przesyła na adres z ogłoszenia o naborze albo przynosi w formie wydruku.
Jeśli nośnik już został u ciebie, nie używaj go. Przekaż przełożonemu i zgłoś pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Jak to zrobić krok po kroku — gdy na piśmie jest naklejony kod QR
Nie skanuj kodu. Ani służbowym, ani prywatnym telefonem.
Nie zdzieraj naklejki. Naklejka jest dowodem.
Oddaj pismo przełożonemu. Powiedz, skąd je masz i kiedy wpłynęło.
Robisz
zostawiasz nośnik i pismo razem — to dowód
oddajesz pismo przełożonemu i mówisz, skąd je masz — jednostka ostrzeże inne komórki
Nie robisz
nie wkładasz nośnika do żadnego komputera — program uruchamia się od razu
nie skanujesz kodu „dla sprawdzenia” — kod otwiera fałszywą stronę płatności
Dlaczego
Mała opłata i krótki termin mają uśpić czujność. Kod w piśmie papierowym nie jest sposobem, w jaki prawdziwe instytucje pobierają opłaty.
GCzat AI, komunikatory i chmura
Czat AI to program, który pisze teksty na polecenie. Wklejony tekst trafia do zewnętrznej firmy, na którą jednostka nie ma wpływu. To samo dotyczy prywatnych komunikatorów i prywatnej chmury. Dane pracowników nie opuszczają jednostki poza zatwierdzonym kanałem.
Chcesz zrobić
Wolno?
Zamiast tego
Wkleić opinię o kandydacie do publicznego czatu AI
Nie
Napisz sam albo użyj narzędzia zatwierdzonego przez jednostkę.
Przyjąć zdjęcie zwolnienia lekarskiego w prywatnym komunikatorze
Nie
Poproś o przesłanie kanałem służbowym.
Zapisać listę płac w prywatnej chmurze
Nie
Zapisz na dysku jednostki.
Jak to zrobić krok po kroku — gdy pracownik przysyła zdjęcie zwolnienia na twój prywatny komunikator
Nie przekazuj go dalej. Ani kierownikowi, ani w zespole.
Odpisz, że dokumenty przyjmujesz tylko kanałem służbowym. Poproś o ponowne przesłanie.
Zgłoś, że dokument trafił do prywatnego kanału. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Jak to zrobić krok po kroku — gdy chcesz skorzystać z czatu AI przy sprawach pracowniczych
Sprawdź, czy narzędzie jest zatwierdzone. Zapytaj przełożonego.
Nie wklejaj danych. Usunięcie nazwiska nie wystarczy.
Wklej tylko tekst ogólny. Bez nazwisk, opisów zdrowia i życiorysów.
Dlaczego
Wklejony tekst zostaje u zewnętrznej firmy i nie da się go odzyskać. Zdjęcie zwolnienia zostaje w telefonie, w chmurze i u operatora.
HWysyłka i ukryte dane w plikach
Dwa błędy zdarzają się najczęściej: wysyłka do niewłaściwego adresata i ukryte dane w pliku. Poczta podpowiada adres po kilku literach, więc łatwo wybrać osobę o podobnym nazwisku. Arkusz ma ukryte kolumny i karty, które odbiorca odsłoni jednym kliknięciem.
Plik
Co się ukrywa
Co robisz
Lista płac w arkuszu
ukryte kolumny z PESEL, kontami i potrąceniami
Wysyłasz tylko potrzebne kolumny, bez ukrytych kart.
Zestawienie dla kierownika
dane spoza jego zespołu
Dajesz dane jego zespołu i nic więcej.
Paczka z hasłem
hasło w tym samym e-mailu
Hasło przekazujesz drugim kanałem.
Jak to zrobić krok po kroku — gdy wysyłasz listę płac do księgowości
Przeczytaj adres odbiorcy w całości. Nie ufaj podpowiedzi poczty.
Usuń ukryte kolumny i karty. Zostaw tylko potrzebne dane.
Zabezpiecz plik hasłem. Hasło przekaż telefonem lub SMS-em.
Zapisz wysyłkę. Kiedy i do kogo wysłano.
Jak to zrobić krok po kroku — gdy wysyłasz wiadomość do wielu osób
Wpisz adresy w polu UDW. Odbiorcy nie zobaczą nawzajem swoich adresów.
Sprawdź listę przed wysłaniem. Zły adres to wyciek.
Użyj służbowej poczty. Nie prywatnej.
Gdy coś poszło nie tak
Dane poszły do niewłaściwego adresata? Zgłoś od razu pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie usuwaj wiadomości i niczego nie ukrywaj. Szybkie zgłoszenie daje czas na reakcję.
Dlaczego
Plik ma tyle warstw, ile ma ukrytych kart i kolumn, a odbiorca może otworzyć wszystkie. Hasło w tym samym e-mailu niczego nie chroni.
IPraca poza biurem
Laptop w drodze ma ekran widoczny dla sąsiada, a publiczna sieć Wi-Fi bywa podsłuchiwana. Dane o płacach i zdrowiu przetwarzasz tam, gdzie nikt obcy nie widzi ekranu, i na sprzęcie wskazanym przez jednostkę.
Miejsce
Lista płac i akta
Dlaczego
Biuro
tak
Pomieszczenie zamykane, sprzęt jednostki.
Dom, sprzęt służbowy, połączenie jednostki
tak, jeśli jednostka na to pozwala
Blokujesz ekran, gdy ktoś wchodzi.
Pociąg, kawiarnia, poczekalnia
nie
Sąsiad widzi ekran i słyszy rozmowę.
Jak to zrobić krok po kroku — gdy chcesz dokończyć listę płac w pociągu
Nie otwieraj jej. Obcy widzi ekran.
Zrób zadania bez danych osób. Na przykład szablon ogłoszenia.
Dokończ w biurze. Lista poczeka.
Dlaczego
Podróż to najczęstsze miejsce utraty laptopa i przypadkowego zerknięcia. Gdy laptop zginie, zgłaszasz od razu.
Krok 3 · Ćwicz
Sprawdź, czy już wiesz
Ćwiczenie 1. Co robisz z każdą prośbą?Przy każdej pozycji wybierz jedną odpowiedź.
„Pracownik” z innego adresu prosi o zmianę konta do wypłaty
E-mail „z urzędu skarbowego” z przyciskiem „Zaloguj się do portalu”
Telefon „informatyka” po hasło do systemu płac
Głos „dyrektora” prosi o pilną zaliczkę bez wniosku
Pismo z naklejonym kodem QR
SMS „z banku” o wstrzymanej wypłacie
Ćwiczenie 2. Dostajesz e-mail z CV. Plik ma końcówkę „.docm” i prosi o „włączenie zawartości”. Co robisz?
Włączam zawartość, żeby zobaczyć CV.
Nie włączam. Proszę kandydata o CV kanałem z ogłoszenia, a wiadomość zgłaszam.
Przesyłam plik koledze do oceny.
Ćwiczenie 3. Opis dnia kadrowej. Kliknij błędy.
E-mail „od izby” przyszedł z adresu różniącego się o jedną literę.Plik z CV otwarto i włączono makra, bo kandydat się spieszył.Informatykowi, który zadzwonił, podano hasło do systemu płac.Pendrive od kandydata zostawiono nieotwarty i oddano przełożonemu.Opinię o kandydacie wklejono do publicznego czatu AI.Podejrzany SMS zostawiono i zgłoszono.
Ćwiczenie 4. Uzupełnij zdania.
Prośbę o zmianę konta sprawdzam … kanałem. Odpowiedź w tym samym kanale niczego nie …. Listę płac wysyłam z hasłem, które przekazuję … kanałem.
Ćwiczenie 5. Dzwoni „informatyk”: „Podaj hasło do systemu płac, to na chwilę”. Napisz, co odpowiesz.
„Hasła nie podaję nikomu. Proszę zgłosić się do pomocy informatycznej.” — i zgłaszasz próbę. Administrator ma własne uprawnienia.
