Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 35 min

Zagrożenia cyfrowe w mojej pracy

W finansach atak zwykle oznacza jedno: ktoś chce wyprowadzić pieniądze. Oszust nie musi się włamywać do systemu. Wystarczy, że klikniesz, podasz kod albo zatwierdzisz przelew.

2.1Kto atakuje dział finansowy i po co

Dział finansowy to najkrótsza droga do pieniędzy. Oszust nie musi się włamywać do systemu. Wystarczy, że klikniesz, podasz kod albo zatwierdzisz przelew. Atakujący mają cztery cele (tabela 4).

Cel atakującego	Jak działa	Przykład w finansach
Pieniądze	wyłudza przelew albo okup	Fałszywa faktura, „pilny przelew od skarbnika”, blokada księgowości.
Dostęp	przejmuje hasło i token	Fałszywa strona banku, kod z SMS-a podany „pracownikowi banku”.
Dane	kradnie listy płac i dłużników	Plik wklejony do publicznego czatu AI lub wysłany na prywatną pocztę.
Człowieka	szuka adresu dłużnika lub pracownika	Telefon „kancelarii” po adres osoby, która zalega z opłatą.

Tabela 4. Cztery cele ataku na dział finansowy.

Atakują wtedy, gdy pracujesz szybko: w piątek po południu, przed końcem miesiąca, w dniu wypłat i w czasie urlopów. Rysunek 3 pokazuje jedyną metodę, która działa przy każdym z tych ataków.

Rysunek 3. Drugi kanał: każdą prośbę o pieniądze, kod lub zmianę konta sprawdzasz innym kanałem niż ten, którym przyszła.

Zasada

Prośbę o pieniądze, kod lub zmianę rachunku sprawdzasz drugim kanałem: dzwonisz na numer, który znasz. Dlaczego: odpowiedź w tym samym kanale daje oszust. Tylko inny kanał pokazuje, kto naprawdę pisze.

Zapamiętaj

W finansach pośpiech jest narzędziem oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytasz.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.2Fałszywe e-maile (phishing)

Co to znaczy. Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane albo pieniądze. Jak to wygląda. Wiadomość udaje bank, urząd, kuriera albo kolegę z pracy. Pisze o fakturze, o błędzie w rachunku, o blokadzie płatności. Zobacz rysunek 4. Numery na rysunku to numery sygnałów z listy.

Rysunek 4. Przykład fałszywego e-maila (fikcyjny): pięć sygnałów widać na pierwszy rzut oka.

1
Adres nadawcy tylko podobny do prawdziwegoNazwa „Skarbnik gminy” się zgadza, ale adres po „@” jest obcy. Liczy się adres, nie nazwa.
2
Pośpiech w temacie„Pilne”, „dziś do 15:00”. Presja ma wyłączyć myślenie.
3
Prośba o milczenie„Nikomu o tym nie mów”. Prawdziwa prośba nie zakazuje rozmowy.
4
Link do „dokumentu”Przytrzymaj kursor na linku. Adres nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip lub „faktura”, na którą nie czekasz.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
E-mail na komputerze	1. Najedź kursorem na nazwę nadawcy i odczytaj pełny adres. 2. Najedź na link, nie klikaj. Odczytaj adres w rogu okna. 3. Sprawdź prośbę telefonem na numer z listy telefonów jednostki.	Nazwa wyświetlana nic nie dowodzi.
E-mail w telefonie	1. Przytrzymaj palec na nazwie nadawcy, aż pokaże się adres. 2. Nie otwieraj załączników w telefonie. 3. Przekaż wiadomość do zgłoszenia i sprawdź prośbę telefonicznie.	Na małym ekranie adres jest skrócony.
Wiadomość „od kolegi” z jednostki	1. Zadzwoń do kolegi lub zapytaj go osobiście. 2. Nie odpisuj na wiadomość z pytaniem „czy to ty”.	Konto kolegi mogło zostać przejęte.

Gdy masz wątpliwość

Podejrzaną wiadomość przekazujesz pod numer lub adres: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie usuwasz jej, bo posłuży jako ślad.

Robię

sprawdzasz pełny adres nadawcy
przy prośbie o pieniądze lub dane dzwonisz na znany numer
zgłaszasz wiadomość, nawet gdy niczego nie kliknąłeś

Nie robię

nie klikasz linków z niespodziewanych wiadomości
nie otwierasz plików .zip i „faktur”, na które nie czekasz
nie odpisujesz z pytaniem, czy to prawda

Dlaczego: jedno kliknięcie może otworzyć oszustowi pocztę z danymi całej jednostki.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.3Zmiana numeru konta kontrahenta

To najczęstsze oszustwo w finansach. Nazywa się oszustwem „na fakturę”. Jak to wygląda. Dostajesz e-mail, pismo lub telefon od znanego dostawcy. Dostawca pisze, że zmienił bank, i prosi o płatność na nowy rachunek. Czasem ktoś naprawdę włamał się do poczty dostawcy. Wtedy wiadomość przychodzi z jego prawdziwego adresu. Pieniądze trafiają do oszusta. Prawdziwy dostawca dzwoni po kilku tygodniach, że nie dostał zapłaty.

Co to znaczy „sprawdzić zmianę rachunku”. To znaczy potwierdzić ją rozmową z dostawcą na numer z umowy, a nie z wiadomości. Rysunek 5 pokazuje pięć kroków. Kroki 3 i 4 nie podlegają negocjacjom.

Rysunek 5. Zmiana numeru konta dostawcy: pięć kroków.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
E-mail lub pismo od dostawcy	1. Nie zmieniasz rachunku w systemie. 2. Znajdujesz w umowie lub w systemie numer telefonu dostawcy. 3. Dzwonisz i pytasz: „Czy zmieniliście rachunek? Jakie było ostatnie zamówienie?”. 4. Zapisujesz datę, godzinę i osobę, z którą rozmawiałeś. 5. Wniosek o zmianę przekazujesz drugiej osobie do zatwierdzenia.	Numer telefonu z wiadomości lub faktury jest numerem oszusta.
Telefon od „dostawcy”	1. Mówisz: „Oddzwonię”. Kończysz rozmowę. 2. Dzwonisz na numer z umowy. 3. Dalej jak przy e-mailu: druga osoba i wpis.	Numer na wyświetlaczu można podrobić.
Wizyta osoby z firmy dostawcy	1. Prosisz o pismo na papierze z podpisem osoby uprawnionej do reprezentacji. 2. Pismo sprawdzasz telefonem na numer z umowy. 3. Zmianę zatwierdza druga osoba.	Kartka wręczona osobiście też może być podrobiona.
Portal dostawcy lub system zamówień	1. Wchodzisz do portalu z adresu zapisanego wcześniej, nie z linku. 2. Zmianę rachunku w portalu potwierdzasz telefonem.	Przejęte konto w portalu wygląda jak zwykłe.

Przykład: gotowe zdanie

„Dzień dobry, dzwonię z jednostki. Dostałem wiadomość o zmianie rachunku. Czy to państwo ją wysłali? Proszę jeszcze o numer ostatniego zamówienia.”

Gdy masz wątpliwość

Dostawca nie odbiera lub naciska? Płatności nie wykonujesz na nowy rachunek. Informujesz przełożonego i zgłaszasz sprawę pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Opóźnienie o kilka dni kosztuje mniej niż zły przelew.

Cecha	Prawdziwa prośba	Fałszywa prośba
Czas	Daje kilka dni i nie ponagla.	„Dziś”, „natychmiast”, „inaczej wstrzymamy dostawy”.
Kanał	Zgadza się z kontaktem z umowy.	Nowy adres, nowy numer, „piszemy z innej skrzynki”.
Sprawdzenie	Dostawca chętnie czeka na telefon.	Odradza telefon albo „nie odbiera”.
Szczegóły	Podaje numer umowy i zamówienia.	Pisze ogólnie: „Państwa faktura”.
Rachunek	Rachunek firmy w tym samym kraju.	Rachunek osoby prywatnej albo w obcym kraju.

Tabela 5. Jak odróżnić prawdziwą prośbę o zmianę rachunku od fałszywej.

Wykaz podatników VAT (tzw. biała lista). To publiczny wykaz prowadzony przez Krajową Administrację Skarbową. Możesz sprawdzić w nim, czy rachunek jest przypisany do NIP dostawcy. Wykaz jest dodatkowym sprawdzeniem. Nie zastępuje telefonu na numer z umowy, bo oszust może podać rachunek, który figuruje w wykazie, albo przejąć prawdziwe konto.

Zasada

Nowy rachunek kontrahenta wpisujesz do systemu dopiero po telefonie na znany numer i po zatwierdzeniu przez drugą osobę. Dlaczego: jeden błąd jednej osoby nie może kosztować jednostki pieniędzy publicznych.

Robię

dzwonisz na numer z umowy
pytasz o zmianę rachunku i ostatnie zamówienie
zapisujesz rozmowę w rejestrze zmian

Nie robię

nie dzwonisz na numer z e-maila ani faktury
nie odpisujesz z pytaniem „czy to prawda”
nie zmieniasz rachunku sam, bo „dostawca naciska”

Dlaczego: odzyskanie pieniędzy po przelewie na obcy rachunek bywa bardzo trudne.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.4Faktura „z KSeF” w wiadomości e-mail

Co to znaczy. KSeF (Krajowy System e-Faktur) to państwowy system, w którym przechowuje się faktury ustrukturyzowane. System nie prosi o zapłatę ani o hasło. Jak to wygląda. Przychodzi e-mail „z KSeF” albo „od dostawcy”: „masz nową fakturę”, „zapłać dziś”. Faktura jest w załączniku lub pod linkiem. Zobacz rysunek 6.

Rysunek 6. Wiadomość „z KSeF” (fikcyjna): sześć sygnałów.

1
Nadawca spoza państwowych domenNazwa „KSeF” w adresie nie czyni z niego systemu państwowego.
2
Pilna płatność w temacieSystem faktur nie ponagla. Ponagla oszust.
3
Ogólne zwrócenie „Szanowny Użytkowniku”Wiadomość nie zna ani ciebie, ani jednostki.
4
Faktura „w załączniku”Fakturę sprawdzasz w systemie, do którego sam się logujesz, a nie w pliku z wiadomości.
5
Plik z podwójnym rozszerzeniem lub .zipTo program, nie dokument.
6
Nowy rachunek i groźba odsetekTo klasyczny nacisk, żebyś zapłacił bez sprawdzenia.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Faktura przyszła e-mailem „z KSeF”	1. Nie otwierasz załącznika i nie klikasz linku. 2. Logujesz się do KSeF lub do programu księgowego jednostki z adresu, który wpisujesz sam. 3. Sprawdzasz, czy faktura jest w systemie i czy zgadzają się numer, kwota i rachunek. 4. Wiadomość zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Numer KSeF i kod QR na wizualizacji też można podrobić. Dowodem jest dopiero faktura w systemie.
Faktura od dostawcy z numerem KSeF w treści	1. Porównujesz fakturę z zamówieniem lub umową. 2. Rachunek porównujesz z umową, nie z wiadomością. 3. Przy zmianie rachunku postępujesz jak w punkcie 2.3.	Poprawny numer faktury nie czyni rachunku bezpiecznym.
Telefon „z pomocy KSeF”	1. Mówisz: „Oddzwonię na numer z oficjalnej strony”. 2. Nie podajesz haseł, kodów ani tokenów.	Pomoc techniczna systemu nigdy nie prosi o hasło.

Gdy masz wątpliwość

Kliknąłeś link lub otworzyłeś załącznik? Zgłaszasz to od razu pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i do informatyk lub pomoc techniczna jednostki. Mówisz dokładnie, co kliknąłeś.

Robię

logujesz się do systemu z adresu wpisanego samodzielnie
porównujesz fakturę z zamówieniem lub umową
zgłaszasz wiadomość z „fakturą”, której nie ma w systemie

Nie robię

nie otwierasz plików .zip i „faktur” z nieznanych wiadomości
nie logujesz się do KSeF z linku w wiadomości
nie płacisz na rachunek z wiadomości

Dlaczego: fałszywa faktura ma wyglądać jak zwykła, więc o wiarygodności decyduje system, a nie wygląd pliku.

2.5„Pilny przelew od skarbnika” i podszycie pod domenę

To oszustwo „na przełożonego”. Jak to wygląda. Przychodzi e-mail, SMS albo wiadomość w komunikatorze. Nadawca podpisuje się jako skarbnik, kierownik jednostki albo dyrektor. Prosi o pilny przelew i o dyskrecję. Skarbnik i główny księgowy są celem ataku, bo mają dostęp do pieniędzy. Skarbnik i kierownik: więcej w kursie PK-04.

1
Prywatny lub obcy adresStanowisko w podpisie nic nie dowodzi. Liczy się adres.
2
Pilne i poufneOszust chce, żebyś nikogo nie zapytał.
3
Nowy odbiorca i rachunek w wiadomościPrawdziwy przelew ma dokument w obiegu.
4
„Nie dzwoń”To najsilniejszy sygnał. Zawsze dzwonisz.
5
„Pomiń zwykłą akceptację”Zasady obowiązują także kierownika.

Podszycie pod domenę jednostki. Oszust pisze z adresu bardzo podobnego do adresu jednostki. Zmienia jedną literę albo dopisuje coś na końcu. Rysunek 7 pokazuje cztery sztuczki.

Rysunek 7. Cztery sztuczki z adresem nadawcy (przykłady fikcyjne).

Jak to zrobić

Kanał	Co robisz	Na co uważasz
E-mail lub SMS „od skarbnika”	1. Nie odpowiadasz i nie wykonujesz polecenia. 2. Dzwonisz do skarbnika na numer z listy telefonów jednostki. 3. Szukasz dokumentu w obiegu: zamówienia, umowy lub faktury. 4. Wiadomość zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Odpowiedź na tę samą wiadomość trafi do oszusta.
Telefon z głosem przełożonego	1. Mówisz: „Oddzwonię za chwilę”. 2. Dzwonisz na znany numer lub idziesz do pokoju przełożonego. 3. Jeśli jednostka ma hasło kontrolne, prosisz o nie.	Głos można podrobić. Numer na ekranie też.
Osobiście: „przełożony prosi, żebyś przelał”	1. Prosisz o dokument w obiegu. 2. Pytasz przełożonego osobiście lub telefonem.	Prawdziwe polecenie przelewu nie omija akceptacji.

Zasada

Nikt nie zleca przelewu poza procedurą jednostki, także kierownik. Polecenie sprawdzasz telefonem na znany numer i dokumentem w obiegu. Dlaczego: prawdziwy kierownik zawsze zrozumie sprawdzenie. Oszust liczy na to, że go nie zrobisz.

W małej jednostce

Gdy w jednostce jest jedna osoba do finansów, drugą osobą przy przelewie jest kierownik jednostki albo osoba przez niego wskazana. Polecenie przelewu od kierownika potwierdzasz tak samo: dokumentem w obiegu i rozmową twarzą w twarz lub na znany numer.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.6Fałszywa strona banku, token i hasło

Jak to wygląda. E-mail lub SMS prosi o „aktualizację danych” albo „weryfikację konta”. Link prowadzi na stronę, która wygląda jak strona banku. Wpisujesz login, hasło i kod z tokena. Oszust przejmuje konto i zleca przelew. Zobacz rysunek 8.

Rysunek 8. Fałszywa strona logowania do banku (fikcyjna): pięć sygnałów.

1
Inny adres stronyDopiski typu „-logowanie” i obca końcówka. Kłódka w pasku nie dowodzi, że strona jest prawdziwa.
2
Groźba z terminemBank nie blokuje konta za brak kliknięcia.
3
Login, hasło i kod z tokena narazKod z tokena służy do zatwierdzania zleceń, nie do logowania.
4
Prośba o instalację plikuBank nie każe pobierać programów przy logowaniu.
5
Błędy językoweBrakuje polskich znaków albo są literówki.

Co to znaczy „czytam kwotę i odbiorcę przed kodem”. Przed wpisaniem kodu z tokena patrzysz na ekran banku. Sprawdzasz, czy kwota i numer rachunku są takie, jakie przygotowałeś. Kod pasuje do jednej operacji, którą widzisz.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Wejście do bankowości	1. Wpisujesz adres banku ręcznie albo wybierasz zapisaną zakładkę. 2. Sprawdzasz, czy adres zaczyna się tak, jak w umowie z bankiem. 3. Logujesz się własnym hasłem.	Link z wiadomości lub wyszukiwarki może prowadzić do podróbki.
Zatwierdzenie przelewu	1. Czytasz na ekranie kwotę i numer rachunku. 2. Porównujesz je z dokumentem. 3. Dopiero wtedy wpisujesz kod z tokena.	Kod podany „pracownikowi banku” zatwierdza przelew oszusta.
Telefon lub SMS „z banku”	1. Rozłączasz się albo nie klikasz. 2. Dzwonisz na numer z umowy z bankiem: numer banku z umowy.	Bank nigdy nie prosi o hasło ani kod.

Robię

do banku wchodzisz z adresu, który sam wpisałeś
przed kodem czytasz kwotę i odbiorcę na ekranie banku
token masz przy sobie, a hasło w pamięci

Nie robię

nie logujesz się z linku w wiadomości
nie zapisujesz hasła na kartce w szufladzie
nie pożyczasz tokena i nie używasz cudzego

Dlaczego: token i hasło to twój podpis pod każdym przelewem. Pożyczony podpis działa tak samo jak własny.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.7Fałszywe telefony, SMS-y i podrobiony głos

Co to znaczy. Vishing (czytaj: wiszing) to oszustwo przez telefon, a smishing to oszustwo przez SMS. Deepfake to podrobiony głos lub obraz, który wykonuje sztuczna inteligencja. Wystarczy kilka sekund nagrania. Jak to wygląda. Rozmówca podaje się za bank, komornika, kuriera albo kierownika. Zna twoje imię i nazwę jednostki. Mówi pewnie i naciska: „konto zostanie zablokowane”. Zobacz rysunek 9.

Rysunek 9. Fałszywy SMS „z banku” (fikcyjny): cztery sygnały.

1
Strach i pośpiech„Za 15 minut.” Presja ma cię zatrzymać przy telefonie.
2
Link z obcą domenąAdres z dopiskiem „blokada” nie jest adresem banku.
3
Prośba o hasło i kodBank nigdy nie prosi o login, hasło ani kod.
4
Brak szczegółówPrawdziwa wiadomość zna twoją jednostkę i numer rachunku.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Telefon od „banku”, „komornika”, „kuriera”	1. Mówisz: „Oddzwonię”. Kończysz rozmowę. 2. Numer bierzesz z umowy lub z oficjalnej strony. 3. Próbę oszustwa zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów, nawet gdy niczego nie podałeś.	Numer na wyświetlaczu można podrobić.
SMS z linkiem	1. Nie klikasz. 2. Nie odpisujesz. 3. Zgłaszasz wiadomość i usuwasz po zgłoszeniu.	Odpowiedź potwierdza oszustowi, że numer działa.
Głos przełożonego w telefonie	1. Mówisz: „Oddzwonię”. 2. Dzwonisz na numer z listy telefonów jednostki. 3. Przy ważnej prośbie używasz hasła kontrolnego, jeśli jednostka je ma.	Głos i twarz nie są dowodem. Dowodem jest dokument w obiegu.

Zasada

Gdy ktoś każe ci nikomu nie mówić o rozmowie, kończysz rozmowę i zgłaszasz. Dlaczego: zakaz mówienia to najsilniejszy sygnał oszustwa. Uczciwa prośba wytrzymuje sprawdzenie.

Robię

mówisz „oddzwonię” i kończysz rozmowę
numer bierzesz z umowy
zgłaszasz próbę, nawet gdy nic nie podałeś

Nie robię

nie podajesz danych osobie, której nie sprawdziłeś innym kanałem
nie oddzwaniasz na numer podany przez rozmówcę
nie klikasz linków w SMS-ach o blokadach i dopłatach

Dlaczego: rozłączenie się nie jest nieuprzejme. Jest ostrożne i chroni pieniądze jednostki.

2.8Załączniki, kody QR i pendrive’y

Jak to wygląda. Faktura w pliku .zip. Arkusz z prośbą o włączenie makr. Plik PDF z linkiem „pobierz dokument”. Kod QR na piśmie, plakacie albo ulotce. Pendrive z napisem „Oferta dla księgowości” podrzucony do skrzynki. Co to znaczy „makro”. To mały program w arkuszu lub dokumencie. Oszuści ukrywają w nim szkodliwy kod. Kod QR to obrazek, który kryje adres strony. Nie widzisz, dokąd prowadzi.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Załącznik w e-mailu	1. Pytasz nadawcę telefonem, czy go wysłał. 2. Jeśli nie czekasz na plik, nie otwierasz go. 3. Nie włączasz makr, nawet gdy dokument o to prosi.	Nazwa pliku „faktura” nie dowodzi, że to faktura.
Kod QR na piśmie	1. Nie skanujesz. 2. Pismo odkładasz i pokazujesz przełożonemu. 3. Kontaktujesz się z nadawcą na numer z oficjalnych źródeł.	Naklejka z kodem na papierowym piśmie jest zawsze podejrzana.
Pendrive od nieznanej osoby	1. Nie wkładasz go do komputera. 2. Oddajesz go osobie z pomocy IT: informatyk lub pomoc techniczna jednostki. 3. Zapisujesz, skąd go masz.	Szkodliwy nośnik działa od chwili wpięcia.

Robię

plik, na który nie czekasz, sprawdzasz u nadawcy telefonem
adres strony banku lub urzędu wpisujesz sam
obcy pendrive oddajesz osobie z pomocy IT

Nie robię

nie włączasz makr w arkuszu od nieznanej osoby
nie skanujesz kodów QR z przypadkowych kartek
nie podłączasz obcych pendrive’ów do komputera

Dlaczego: szkodliwy program z jednego pliku może zablokować cały system księgowy.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.9Blokada danych dla okupu (ransomware)

Co to znaczy. Ransomware (czytaj: rensomłer) szyfruje pliki, a potem żąda okupu za ich odblokowanie. Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki mają dziwne nazwy. W finansach możesz stracić dostęp do systemu księgowego, do plików z listą płac i do planu finansowego. Termin wypłat nie znika.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Komputer w biurze	1. Odłączasz kabel sieciowy albo wyłączasz Wi-Fi. 2. Nie wyłączasz komputera, chyba że tak każe pomoc IT. 3. Dzwonisz do informatyk lub pomoc techniczna jednostki i na numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. 4. Mówisz, co robiłeś tuż przed pojawieniem się komunikatu.	Sieć odcinasz, zanim szkodliwy program dojdzie do plików innych osób.
Komputer poza biurem lub w domu	1. Odłączasz sprzęt od internetu. 2. Dzwonisz do informatyk lub pomoc techniczna jednostki. 3. Nie łączysz sprzętu z siecią jednostki, dopóki nie dostaniesz zgody.	Szkodliwy program przenosi się przez sieć jednostki.

Robię

odłączasz sprzęt od sieci
od razu dzwonisz do pomocy IT i na numer incydentów
zapisujesz godzinę i swoje ostatnie czynności

Nie robię

nie płacisz okupu i nie piszesz do przestępców
nie próbujesz sam „naprawić” komputera
nie ukrywasz problemu, żeby nie robić zamieszania

Dlaczego: szybkie odcięcie sieci chroni dane innych pracowników i wypłaty, które kierownik może jeszcze uruchomić planem awaryjnym.

2.10Czat AI, komunikatory i praca poza biurem

Czat AI. To program, który pisze teksty na polecenie. Wszystko, co wkleisz do publicznego czatu, trafia do zewnętrznej firmy. Nie możesz tego cofnąć. Komunikator. Prywatny komunikator jest poza kontrolą jednostki. Praca poza biurem. Laptop, token i telefon służbowy w podróży są łatwym łupem.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Pytasz czat AI o pomoc w piśmie	1. Pytasz ogólnie, na przykład o wzór wezwania do zapłaty. 2. Nie wklejasz kwot, nazwisk, adresów ani numerów rachunków. 3. Jeśli jednostka ma narzędzie zatwierdzone, używasz tylko go.	Samo usunięcie nazwiska nie wystarcza. Kwota i adres też wskazują człowieka.
Kolega prosi o zdjęcie wyciągu komunikatorem	1. Odmawiasz. 2. Proponujesz służbowy e-mail albo dysk jednostki.	Zdjęcie na prywatnym telefonie trafia do chmury i do galerii znajomych.
Praca w pociągu, kawiarni lub w domu	1. Pracujesz na sprzęcie służbowym. 2. Ekran ustawiasz tak, by nikt go nie widział. 3. Laptop i token masz przy sobie, nie w aucie.	Publiczne Wi-Fi pozwala podsłuchać ruch. Łączysz się przez zabezpieczone połączenie jednostki.

Robię

do publicznego czatu AI wklejasz tylko tekst bez danych ludzi
dane służbowe przesyłasz kanałami jednostki
laptop i token masz przy sobie

Nie robię

nie wklejasz list dłużników, listy płac ani planu finansowego
nie wysyłasz wyciągów prywatnym komunikatorem
nie fotografujesz dokumentów prywatnym telefonem

Dlaczego: to, co trafi poza jednostkę, nie wraca. Zdjęcie lub wklejony tekst zostaje w cudzych rękach.

Zagrożenie	Jedna zasada
E-mail	Adres, pośpiech, link, załącznik. Dzwonisz na znany numer.
Faktura i KSeF	Fakturę sprawdzasz w systemie, do którego sam się logujesz. Nowy rachunek potwierdza telefon i druga osoba.
Przełożony	Nikt nie zleca przelewu poza procedurą.
Bank	Adres wpisujesz sam. Kod czytasz razem z kwotą.
Telefon i głos	Oddzwaniasz na numer z umowy. Głos nie jest dowodem.

Tabela 6. Podsumowanie modułu 2: pięć zagrożeń i jedna zasada na każde.

Zapamiętaj

Oszust ma trzy narzędzia: pośpiech, tajność i autorytet. Ty masz jedno: sprawdzenie innym kanałem.

Moje notatki z tematu · moduł 2

Z którego z opisanych oszustw mógłbym paść ofiarą w swojej pracy i dlaczego?
Jak sprawdzę następną prośbę o zmianę numeru konta?

Krok 2 · Zrozum

Zagrożenia w finansach i jak je zatrzymać

Poradnik pokazuje, co chronisz. Tutaj zobaczysz, jak to robić i dlaczego. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.

ACele ataku i drugi kanał

Atakujący chcą czterech rzeczy: pieniędzy, dostępu, danych i informacji o ludziach. Atakują wtedy, gdy pracujesz szybko: w piątek po południu, przed końcem miesiąca i w dniu wypłat. Wszystkie ataki ma zatrzymać jeden nawyk: drugi kanał.

Drugi kanał to sprawdzenie prośby innym kanałem niż ten, którym przyszła. Jeśli prośba przyszła e-mailem, sprawdzasz telefonem. Jeśli przyszła telefonem, oddzwaniasz na numer, który znasz.

Jak to zrobić krok po kroku — gdy dostajesz prośbę o pieniądze, kod lub zmianę konta

Nie odpowiadaj w tym samym kanale. Odpowie ci ten, kto napisał prośbę, czyli oszust.
Znajdź numer w umowie lub w liście telefonów. Numer z wiadomości prowadzi do oszusta.
Zadzwoń i zapytaj wprost. Prawdziwa osoba chętnie potwierdzi.
Dopiero wtedy działaj albo zgłoś. Decyzja po sprawdzeniu jest bezpieczna.

Zasada

Prośbę o pieniądze, kod lub zmianę rachunku sprawdzasz drugim kanałem: dzwonisz na numer, który znasz. Dlaczego: tylko inny kanał pokazuje, kto naprawdę pisze.

Zapamiętaj

Im bardziej wiadomość cię pogania, tym wolniej ją czytasz.

BFałszywe e-maile

Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane lub pieniądze. Sygnały to: obcy adres po znaku „@”, pośpiech w temacie, prośba o milczenie, link z obcym adresem i niespodziewany załącznik, na przykład plik .zip.

Jak to zrobić krok po kroku — gdy dostajesz podejrzaną wiadomość

Odczytaj pełny adres nadawcy. Nazwa wyświetlana nic nie dowodzi.
Najedź kursorem na link i nie klikaj. Adres pojawi się w rogu okna.
Nie otwieraj załącznika. Plik .zip lub „faktura”, na którą nie czekasz, bywa programem.
Zgłoś wiadomość pod numer incydentów: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie usuwaj jej, bo posłuży jako ślad.

Robisz

Sprawdzasz pełny adres nadawcy — liczy się adres, nie nazwa
Zgłaszasz wiadomość, nawet gdy niczego nie kliknąłeś — ostrzeżesz innych

Nie robisz

Klikasz link z niespodziewanej wiadomości — jedno kliknięcie wystarcza do ataku
Odpisujesz z pytaniem, czy to prawda — odpowiada oszust

CZmiana numeru konta kontrahenta

To najczęstsze oszustwo w finansach. Dostawca pisze, że zmienił bank, i prosi o płatność na nowy rachunek. Wiadomość może przyjść z prawdziwego adresu, bo ktoś włamał się do poczty dostawcy. Pieniądze trafiają do oszusta, a prawdziwy dostawca zgłasza brak zapłaty po kilku tygodniach.

Jak to zrobić krok po kroku — gdy dostawca prosi o zmianę rachunku

Nie zmieniaj rachunku w systemie. Najpierw sprawdzenie.
Zadzwoń na numer z umowy lub z systemu. Numer z wiadomości jest numerem oszusta.
Zapytaj: „Czy zmieniliście rachunek? Jakie było ostatnie zamówienie?”. Oszust nie zna szczegółów ostatniego zamówienia.
Zapisz rozmowę i poproś drugą osobę o zatwierdzenie. Dwie osoby wyłapują podstęp.
Wpisz zmianę do rejestru zmian rachunków. Po incydencie wiadomo, kto i kiedy sprawdził.

Wykaz podatników VAT to publiczny wykaz, w którym możesz sprawdzić, czy rachunek jest przypisany do NIP dostawcy. Jest to sprawdzenie dodatkowe. Nie zastępuje telefonu, bo oszust może podać rachunek, który figuruje w wykazie, albo przejąć prawdziwe konto.

Zasada

Nowy rachunek wpisujesz do systemu dopiero po telefonie na znany numer i po zatwierdzeniu przez drugą osobę. Dlaczego: jeden błąd jednej osoby nie może kosztować jednostki pieniędzy publicznych.

Gdy coś poszło nie tak

Dostawca nie odbiera lub naciska? Płatności na nowy rachunek nie wykonujesz. Zgłaszasz sprawę pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

DFaktura „z KSeF” w e-mailu

KSeF (Krajowy System e-Faktur) to państwowy system przechowywania faktur. System nie prosi o zapłatę ani o hasło. E-mail „z KSeF” z załącznikiem i hasłem „zapłać dziś” to oszustwo. Numer KSeF i kod QR na wizualizacji faktury można podrobić. Dowodem jest dopiero faktura w systemie, do którego logujesz się samodzielnie.

Jak to zrobić krok po kroku — gdy przychodzi e-mail „z KSeF”

Nie otwieraj załącznika i nie klikaj linku. Plik .zip to program, nie faktura.
Zaloguj się do systemu z adresu, który wpisujesz sam. Link z wiadomości może prowadzić do podróbki.
Sprawdź, czy faktura jest w systemie i zgadza się z umową. Kwota i rachunek mają odpowiadać umowie.
Zgłoś wiadomość. Ostrzegasz innych i zostawiasz ślad.

Zasada

Fakturę sprawdzasz w systemie, do którego sam się logujesz. Dlaczego: wizualizacja to obraz, który może narysować każdy.

EPrzelew „od skarbnika” i podszycie pod domenę

Oszust podpisuje się jako skarbnik lub kierownik. Prosi o pilny przelew i o dyskrecję. Podszycie pod domenę to adres bardzo podobny do adresu jednostki, na przykład z zerem zamiast litery „o” albo z dopiskiem na końcu.

Jak to zrobić krok po kroku — gdy dostajesz SMS lub e-mail „od skarbnika”

Nie wykonuj polecenia i nie odpowiadaj. Odpowiedź trafia do oszusta.
Zadzwoń do skarbnika na numer z listy telefonów. Telefon sprawdza prośbę innym kanałem.
Poszukaj dokumentu w obiegu. Prawdziwy przelew ma dokument.
Zgłoś próbę. Ta sama osoba może zadzwonić do kolegi.

Zasada

Nikt nie zleca przelewu poza procedurą jednostki, także kierownik. Dlaczego: prawdziwy kierownik zrozumie sprawdzenie, a oszust liczy na to, że go nie zrobisz.

FFałszywa strona banku, token i hasło

Fałszywa strona banku wygląda jak prawdziwa. Prosi o login, hasło i kod z tokena naraz. Kod z tokena służy do zatwierdzania operacji, a nie do logowania. Przed wpisaniem kodu czytasz na ekranie banku kwotę, odbiorcę i rachunek i porównujesz je z dokumentem.

Jak to zrobić krok po kroku — gdy wchodzisz do bankowości i zatwierdzasz przelew

Wpisz adres banku ręcznie albo użyj zapisanej zakładki. Link z wiadomości lub z wyszukiwarki może prowadzić do podróbki.
Zaloguj się własnym hasłem. Hasło masz tylko ty.
Przeczytaj kwotę, odbiorcę i rachunek na ekranie. Kod pasuje do jednej operacji.
Dopiero wtedy wpisz kod z tokena. Kod zatwierdza przelew w kilka sekund.

Zasada

Kod z tokena wpisujesz dopiero po przeczytaniu kwoty i odbiorcy na ekranie banku. Dlaczego: kod podany oszustowi zatwierdza jego przelew.

GFałszywe telefony, SMS-y i podrobiony głos

Vishing to oszustwo przez telefon, a smishing przez SMS. Deepfake to podrobiony głos lub obraz. Rozmówca podaje się za bank, komornika, kuriera lub kierownika. Naciska, strasząc blokadą. Kończy słowami „nikomu nie mów”.

Jak to zrobić krok po kroku — gdy ktoś dzwoni z prośbą o kod, hasło lub przelew

Powiedz: „Oddzwonię”. Przerywasz rozmowę bez kłótni.
Zadzwoń na numer z umowy lub z listy. Numer podany przez rozmówcę prowadzi do oszusta.
Zgłoś próbę pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Oszust zadzwoni do kolejnej osoby.

Zasada

Gdy ktoś każe ci nikomu nie mówić o rozmowie, kończysz rozmowę i zgłaszasz. Dlaczego: zakaz mówienia to najsilniejszy sygnał oszustwa.

Zapamiętaj

Głos i numer na ekranie można podrobić. Dowodem jest dokument w obiegu.

HZałączniki, kody QR i pendrive’y

Makro to mały program w arkuszu lub dokumencie. Oszuści ukrywają w nim szkodliwy kod. Kod QR to obrazek, który kryje adres strony. Nie widzisz, dokąd prowadzi. Obcy pendrive uruchamia szkodliwy program od chwili wpięcia.

Jak to zrobić krok po kroku — gdy znajdziesz obcy pendrive

Nie wpinaj go do komputera. Program uruchamia się od razu.
Oddaj go osobie z pomocy IT: informatyk lub pomoc techniczna jednostki. Specjaliści sprawdzą go bezpiecznie.
Zapisz, gdzie go znalazłeś. To pomoże ustalić źródło.

Robisz

Oddajesz obcy pendrive pomocy IT — sprawdzi go specjalista
Pytasz nadawcę telefonem o plik, na który nie czekasz — sprawdzasz drugim kanałem

Nie robisz

Włączasz makra w arkuszu od nieznanej osoby — makro to program
Skanujesz kod QR z przypadkowej kartki — nie wiesz, dokąd prowadzi

ICzat AI, komunikatory i praca poza biurem

Wszystko, co wkleisz do publicznego czatu AI, trafia do zewnętrznej firmy i nie wraca. Prywatny komunikator jest poza kontrolą jednostki. W podróży laptop, token i telefon służbowy są łatwym łupem.

Zasada

Dane służbowe przesyłasz tylko kanałami jednostki. Dlaczego: to, co trafi poza jednostkę, nie wraca.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Dostawca pisze e-mailem z prawdziwego adresu: zmienił bank. Co robisz?

Zmieniam rachunek, bo numer zamówienia się zgadza.

Dzwonię na numer z umowy, zapisuję rozmowę i proszę drugą osobę o zatwierdzenie.

Sprawdzam rachunek w wykazie VAT i zmieniam.

Ćwiczenie 2. Płacę, sprawdzam, wstrzymuję?Przy każdej pozycji wybierz jedną odpowiedź.

E-mail od znanego dostawcy z prośbą o zmianę rachunku

E-mail „z KSeF” z plikiem .zip i hasłem „zapłać dziś”

SMS od „skarbnika”: przelew dziś, nie dzwoń

Pismo na papierze o zmianie rachunku, wręczone przez osobę „z firmy”

Ćwiczenie 3. Kliknij sygnały oszustwa w wiadomości.

Od: skarbnik@urzad-przykl0dowo.example Pilne – przelew dziś do 15:00. Dokument jest w obiegu. Nikomu o tym nie mów.

Ćwiczenie 4. Uzupełnij zdania.

Kod z tokena wpisujesz po przeczytaniu … i … na ekranie banku. Prośbę o pieniądze sprawdzasz … kanałem.

Ćwiczenie 5. Dzwoni „pracownik banku” i prosi o kod z tokena. Napisz, co mówisz.

Nie podaję kodu. Kończę rozmowę i oddzwaniam na numer z umowy. — kod zatwierdza przelew, a numer podany przez rozmówcę prowadzi do oszusta.