Próbka kursu — pełna treść po zamówieniu
AW-05 · Poradnik stanowiskowy · Twoja jednostkaOpracowanie: BEZPIECZNE DANE sp. z o.o.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ok. 35 min

Zagrożenia cyfrowe w mojej pracy

W administracji atak zwykle oznacza jedno: ktoś chce wejść do budynku albo wyprowadzić pieniądze. Oszust nie musi się włamywać do systemu. Wystarczy, że klikniesz, wpuścisz kogoś albo wykonasz przelew.

2.1Kto atakuje administrację i po co

Administracja to miejsce, przez które przechodzą pieniądze na zakupy, klucze do pomieszczeń i obce osoby. Oszust nie musi się włamywać do systemu. Wystarczy, że klikniesz, wpuścisz kogoś albo wykonasz przelew. Atakujący mają cztery cele (tabela 4).

Cel atakującegoJak działaPrzykład w administracji
Pieniądzewyłudza przelew, kody kart albo okupFałszywa faktura, „pilny zakup od kierownika”, blokada systemów budynku.
Dostępprzejmuje hasło, klucz albo wejście do budynkuFałszywy kurier, „technik od klimatyzacji”, kod z SMS-a podany „pracownikowi banku”.
Danekradnie nagrania, dane wypadków i ofertNagranie wysłane „koledze”, protokół wklejony do publicznego czatu AI.
Człowiekaszuka miejsca pobytu osobyTelefon „znajomego” po trasę kierowcy albo po nagranie z parkingu.
Tabela 4. Cztery cele ataku na administrację budynku.

Atakują wtedy, gdy się spieszysz: w piątek po południu, w czasie awarii, przy remoncie i w dniu zakupów na koniec roku. Rysunek 3 pokazuje jedyną metodę, która działa przy każdym z tych ataków.

1Prośbao pieniądze, kod,wejście lub dane2Stopnie odpowiadaszw tym samym kanale3Drugi kanałtelefon na numerz umowy lub listy4Decyzjawykonuję albozgłaszamCztery kroki. Krok 3 nie podlega negocjacjom.
Rysunek 3. Drugi kanał: każdą prośbę o pieniądze, kod, wejście do budynku lub dane sprawdzasz innym kanałem niż ten, którym przyszła.
Zasada

Prośbę o pieniądze, kod, wejście lub dane sprawdzasz drugim kanałem: dzwonisz na numer, który znasz. Dlaczego: odpowiedź w tym samym kanale daje oszust. Tylko inny kanał pokazuje, kto naprawdę prosi.

Zapamiętaj

W administracji pośpiech jest narzędziem oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytasz.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ciąg dalszy

2.2Fałszywe e-maile (phishing)

Co to znaczy. Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane albo pieniądze. Jak to wygląda. Wiadomość udaje przełożonego, kuriera, bank albo dostawcę. Pisze o pilnym zakupie, o fakturze, o błędzie w zamówieniu. Zobacz rysunek 4. Numery na rysunku to numery sygnałów z listy.

Wiadomość e-mail (fikcyjna)Od: Kierownik jednostki <kierownik@urzad-przykladowo-info.example>1Temat: PILNE – zakup na dziś, nikomu ani słowa2Kup dziś 10 kart podarunkowych po 500 zł, jestem na szkoleniu.Kody z kart odeślij mi w odpowiedzi do godz. 15:00.3Nie dzwoń, nie mogę rozmawiać. To poufne.4Szczegóły zakupu: zakup_lista.pdf.exe5ĆWICZENIEmateriał fikcyjny
Rysunek 4. Przykład fałszywego e-maila „od kierownika” (fikcyjny): pięć sygnałów widać na pierwszy rzut oka.
  1. 1
    Adres nadawcy tylko podobny do prawdziwegoNazwa „Kierownik jednostki” się zgadza, ale adres po „@” jest obcy. Liczy się adres, nie nazwa.
  2. 2
    Pośpiech w temacie„Pilne”, „na dziś”. Presja ma wyłączyć myślenie.
  3. 3
    Prośba o kody kart podarunkowychKody kart to gotówka, której nie da się odzyskać. Uczciwy zakup ma zamówienie w obiegu.
  4. 4
    „Nie dzwoń, to poufne”To najsilniejszy sygnał. Prawdziwa prośba wytrzymuje telefon.
  5. 5
    Niespodziewany załącznikPlik .exe albo „lista”, na którą nie czekasz.

Jak to zrobić

KanałCo robiszNa co uważasz
E-mail na komputerze1. Najedź kursorem na nazwę nadawcy i odczytaj pełny adres.
2. Najedź na link, nie klikaj. Odczytaj adres w rogu okna.
3. Sprawdź prośbę telefonem na numer z listy telefonów jednostki.		Nazwa wyświetlana nic nie dowodzi.
E-mail w telefonie1. Przytrzymaj palec na nazwie nadawcy, aż pokaże się adres.
2. Nie otwieraj załączników w telefonie.
3. Przekaż wiadomość do zgłoszenia i sprawdź prośbę telefonicznie.		Na małym ekranie adres jest skrócony.
Wiadomość „od kolegi” z jednostki1. Zadzwoń do kolegi lub zapytaj go osobiście.
2. Nie odpisuj na wiadomość z pytaniem „czy to ty”.		Konto kolegi mogło zostać przejęte.
Gdy masz wątpliwość

Podejrzaną wiadomość przekazujesz pod numer lub adres: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie usuwasz jej, bo posłuży jako ślad.

Robię
  • sprawdzasz pełny adres nadawcy
  • przy prośbie o pieniądze, kody lub dane dzwonisz na znany numer
  • zgłaszasz wiadomość, nawet gdy niczego nie kliknąłeś
Nie robię
  • nie klikasz linków z niespodziewanych wiadomości
  • nie otwierasz plików .zip, .exe i „list”, na które nie czekasz
  • nie odpisujesz z pytaniem, czy to prawda
Dlaczego: jedno kliknięcie może otworzyć oszustowi pocztę z danymi całej jednostki.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ciąg dalszy

2.3Zmiana numeru konta wykonawcy i fałszywa faktura

To najczęstsze oszustwo w zamówieniach. Nazywa się oszustwem „na fakturę”. Jak to wygląda. Dostajesz e-mail, pismo lub telefon od znanego wykonawcy. Pisze, że zmienił bank, i prosi o płatność na nowy rachunek. Czasem ktoś naprawdę włamał się do poczty wykonawcy. Wtedy wiadomość przychodzi z jego prawdziwego adresu. Pieniądze trafiają do oszusta. Prawdziwy wykonawca dzwoni po kilku tygodniach, że nie dostał zapłaty.

Co to znaczy „sprawdzić zmianę rachunku”. To znaczy potwierdzić ją rozmową z wykonawcą na numer z umowy, a nie z wiadomości. Rysunek 5 pokazuje pięć kroków. Kroki 3 i 4 nie podlegają negocjacjom.

1Prośbamail, pismo,telefon2Stopnie płacisz, nieodpisujesz3Telefonnumer z umowylub z systemu4Druga osobazatwierdzazmianę5Wpisrejestr zmian:data, osobaDopiero po kroku 4 wpisujesz nowy rachunek do systemu.
Rysunek 5. Zmiana numeru konta wykonawcy: pięć kroków.

Jak to zrobić

KanałCo robiszNa co uważasz
E-mail lub pismo od wykonawcy1. Nie przekazujesz zmiany do księgowości.
2. Znajdujesz w umowie numer telefonu wykonawcy.
3. Dzwonisz i pytasz: „Czy zmieniliście rachunek? Jakie było ostatnie zamówienie?”.
4. Zapisujesz datę, godzinę i osobę, z którą rozmawiałeś.
5. Wniosek o zmianę przekazujesz do księgowości razem z zapisem rozmowy.		Numer telefonu z wiadomości lub faktury jest numerem oszusta.
Telefon od „wykonawcy”1. Mówisz: „Oddzwonię”. Kończysz rozmowę.
2. Dzwonisz na numer z umowy.
3. Dalej jak przy e-mailu: druga osoba i wpis.		Numer na wyświetlaczu można podrobić.
Wizyta osoby z firmy wykonawcy1. Prosisz o pismo na papierze z podpisem osoby uprawnionej do reprezentacji.
2. Pismo sprawdzasz telefonem na numer z umowy.
3. Zmianę zatwierdza druga osoba.		Kartka wręczona osobiście też może być podrobiona.
Portal wykonawcy lub platforma zamówień1. Wchodzisz do portalu z adresu zapisanego wcześniej, nie z linku.
2. Zmianę rachunku w portalu potwierdzasz telefonem.		Przejęte konto w portalu wygląda jak zwykłe.
Przykład: gotowe zdanie

„Dzień dobry, dzwonię z jednostki. Dostałem wiadomość o zmianie rachunku. Czy to państwo ją wysłali? Proszę jeszcze o numer ostatniego zamówienia.”

Gdy masz wątpliwość

Wykonawca nie odbiera lub naciska? Płatności nie przekazujesz do realizacji na nowy rachunek. Informujesz przełożonego i zgłaszasz sprawę pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Opóźnienie o kilka dni kosztuje mniej niż zły przelew.

CechaPrawdziwa prośbaFałszywa prośba
CzasDaje kilka dni i nie ponagla.„Dziś”, „natychmiast”, „inaczej wstrzymamy prace”.
KanałZgadza się z kontaktem z umowy.Nowy adres, nowy numer, „piszemy z innej skrzynki”.
SprawdzenieWykonawca chętnie czeka na telefon.Odradza telefon albo „nie odbiera”.
SzczegółyPodaje numer umowy i zamówienia.Pisze ogólnie: „Państwa faktura”.
RachunekRachunek firmy w tym samym kraju.Rachunek osoby prywatnej albo w obcym kraju.
Tabela 5. Jak odróżnić prawdziwą prośbę o zmianę rachunku od fałszywej.
Zasada

Nowy rachunek wykonawcy trafia do księgowości dopiero po telefonie na znany numer i po zatwierdzeniu przez drugą osobę. Dlaczego: jeden błąd jednej osoby nie może kosztować jednostki pieniędzy publicznych.

Robię
  • dzwonisz na numer z umowy
  • pytasz o zmianę rachunku i ostatnie zamówienie
  • zapisujesz rozmowę i przekazujesz zapis do księgowości
Nie robię
  • nie dzwonisz na numer z e-maila ani faktury
  • nie odpisujesz z pytaniem „czy to prawda”
  • nie zmieniasz rachunku sam, bo „wykonawca naciska”
Dlaczego: odzyskanie pieniędzy po przelewie na obcy rachunek bywa bardzo trudne.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ciąg dalszy

2.4Fałszywa oferta i fałszywa platforma zamówień

Co to znaczy. Platforma zamówień (na przykład e-Zamówienia) to system, w którym wykonawcy składają oferty, a zamawiający je otwiera. System nie prosi o hasło w wiadomości e-mail. Jak to wygląda. Przychodzi e-mail „z platformy” albo „od wykonawcy”: „nowa oferta”, „konto wygasa”, „uzupełnij dane”. Link prowadzi do podróbki strony logowania. Zobacz rysunek 6.

Wiadomość e-mail (fikcyjna)Od: Platforma Zamówień <powiadomienia@platforma-zamowien-info.example>1Temat: Twoje konto zamawiającego wygasa dziś2Szanowny Użytkowniku, w postępowaniu wpłynęła nowa oferta.3Zaloguj się i uzupełnij dane: https://logowanie-zamowien.example/oferta4Szczegóły oferty w załączniku: oferta-dokumenty.zip5Brak działania do końca dnia = zablokowanie konta i unieważnienie postępowania.6ĆWICZENIEmateriał fikcyjny
Rysunek 6. Wiadomość „z platformy zamówień” (fikcyjna): sześć sygnałów.
  1. 1
    Nadawca spoza domeny platformyNazwa „Platforma Zamówień” w adresie nie czyni z niego systemu, z którego korzystasz.
  2. 2
    Konto „wygasa dziś”Platforma nie wyłącza kont z dnia na dzień.
  3. 3
    Ogólne zwrócenie „Szanowny Użytkowniku”Wiadomość nie zna ani ciebie, ani postępowania.
  4. 4
    Link do „uzupełnienia danych”Po zalogowaniu hasło trafia do oszusta. Do platformy wchodzisz z adresu, który wpisujesz sam.
  5. 5
    Oferta „w załączniku” w pliku .zipOferty szukasz na platformie, nie w pliku z wiadomości.
  6. 6
    Groźba unieważnienia postępowaniaTo nacisk, żebyś działał bez sprawdzenia.

Jak to zrobić

KanałCo robiszNa co uważasz
E-mail „z platformy zamówień”1. Nie otwierasz załącznika i nie klikasz linku.
2. Wpisujesz adres platformy ręcznie albo wybierasz zapisaną zakładkę.
3. Sprawdzasz tam, czy jest nowa oferta lub komunikat.
4. Wiadomość zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.		Wygląd wiadomości łatwo podrobić. Dowodem jest dopiero to, co widzisz w systemie.
Oferta od nieznanej firmy w e-mailu1. Nie klikasz linków z oferty.
2. Sprawdzasz firmę w umowach i wcześniejszych zamówieniach.
3. Przed zakupem usługi, w której firma zobaczy dane ludzi, pytasz kierownika i inspektora ochrony danych: inspektor ochrony danych jednostki.		Firma, która zobaczy dane ludzi, musi mieć umowę z jednostką.
Telefon „z pomocy platformy”1. Mówisz: „Oddzwonię na numer z oficjalnej strony”.
2. Nie podajesz haseł, kodów ani danych logowania.		Pomoc techniczna systemu nigdy nie prosi o hasło.
Gdy masz wątpliwość

Kliknąłeś link lub wpisałeś hasło? Zgłaszasz to od razu pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i do informatyk lub pomoc techniczna jednostki. Mówisz dokładnie, co kliknąłeś i co wpisałeś.

Robię
  • do platformy wchodzisz z adresu wpisanego samodzielnie
  • ofertę oglądasz w systemie, a nie w załączniku
  • zgłaszasz wiadomość „z platformy”, której nie ma w systemie
Nie robię
  • nie klikasz linku „uzupełnij dane”
  • nie otwierasz plików .zip z „ofertą”
  • nie podajesz hasła do platformy nikomu, także „pomocy technicznej”
Dlaczego: oferta i dane zamawiającego dają oszustowi cenną wiedzę i dostęp do postępowań.

2.5„Pilny zakup od kierownika” i podszycie pod domenę

To oszustwo „na przełożonego”. Jak to wygląda. Przychodzi e-mail, SMS albo wiadomość w komunikatorze. Nadawca podpisuje się jako kierownik jednostki, dyrektor albo wójt. Prosi o pilny przelew, zakup kart podarunkowych lub dane dostępowe i o dyskrecję. Osoby od zamówień i płatności są celem ataku, bo mają dostęp do pieniędzy. Przełożeni: więcej w kursie PK-04.

  1. 1
    Prywatny lub obcy adresStanowisko w podpisie nic nie dowodzi. Liczy się adres.
  2. 2
    Pilne i poufneOszust chce, żebyś nikogo nie zapytał.
  3. 3
    Zakup bez zamówienia w obieguPrawdziwy zakup ma zamówienie, umowę lub zgodę.
  4. 4
    „Nie dzwoń”To najsilniejszy sygnał. Zawsze dzwonisz.
  5. 5
    „Pomiń zwykłą zgodę”Zasady obowiązują także kierownika.

Podszycie pod domenę jednostki. Oszust pisze z adresu bardzo podobnego do adresu jednostki. Zmienia jedną literę albo dopisuje coś na końcu. Rysunek 7 pokazuje cztery sztuczki.

Cztery sztuczki z adresem nadawcy (fikcyjne)Prawdziwy adres: kierownik@urzad-przykladowo.exampleZmieniona litera (zero zamiast „o”): kierownik@urzad-przykl0dowo.example1Dopisek na końcu nazwy: kierownik@urzad-przykladowo-info.example2Obca domena: kierownik@urzad-przykladowo.firma-przyklad.example3Nazwa „Kierownik jednostki”, adres obcy: jan.k@poczta-przyklad.example4ĆWICZENIEmateriał fikcyjny
Rysunek 7. Cztery sztuczki z adresem nadawcy (przykłady fikcyjne).

Jak to zrobić

KanałCo robiszNa co uważasz
E-mail lub SMS „od kierownika”1. Nie odpowiadasz i nie wykonujesz polecenia.
2. Dzwonisz do kierownika na numer z listy telefonów jednostki.
3. Szukasz dokumentu w obiegu: zamówienia, umowy lub zgody.
4. Wiadomość zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.		Odpowiedź na tę samą wiadomość trafi do oszusta.
Telefon z głosem przełożonego1. Mówisz: „Oddzwonię za chwilę”.
2. Dzwonisz na znany numer lub idziesz do pokoju przełożonego.
3. Jeśli jednostka ma hasło kontrolne, prosisz o nie.		Głos można podrobić. Numer na ekranie też.
Osobiście: „przełożony prosi, żebyś kupił”1. Prosisz o dokument w obiegu.
2. Pytasz przełożonego osobiście lub telefonem.		Prawdziwe polecenie zakupu nie omija zasad.
Zasada

Nikt nie zleca zakupu ani przelewu poza zasadami jednostki, także kierownik. Polecenie sprawdzasz telefonem na znany numer i dokumentem w obiegu. Dlaczego: prawdziwy kierownik zawsze zrozumie sprawdzenie. Oszust liczy na to, że go nie zrobisz.

W małej jednostce

Gdy w jednostce jest jedna osoba od zamówień, drugą osobą przy płatności jest kierownik jednostki albo osoba przez niego wskazana. Polecenie od kierownika potwierdzasz tak samo: dokumentem w obiegu i rozmową twarzą w twarz lub na znany numer.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ciąg dalszy

2.6Fałszywe telefony, SMS-y i podrobiony głos

Co to znaczy. Vishing (czytaj: wiszing) to oszustwo przez telefon, a smishing to oszustwo przez SMS. Deepfake to podrobiony głos lub obraz, który wykonuje sztuczna inteligencja. Wystarczy kilka sekund nagrania. Jak to wygląda. Rozmówca podaje się za bank, policję, ochronę, kuriera lub kierownika. Zna twoje imię i nazwę jednostki. Mówi pewnie i naciska: „konto zostanie zablokowane”, „paczka wróci do nadawcy”. Zobacz rysunek 8.

SMS (fikcyjny)Nadawca: +48 600 000 000 (prywatny numer)1Kurier Ekspres: paczka wstrzymana.Dopłać 1,50 zł do jutra: http://kurier-oplata.example/p2Po terminie paczka wróci do nadawcy.3Brak numeru przesyłki i nazwy jednostki w treści.4ĆWICZENIEmateriał fikcyjny
Rysunek 8. Fałszywy SMS „od kuriera” (fikcyjny): cztery sygnały.
  1. 1
    Prywatny numer nadawcyFirma kurierska zwykle nie pisze z numeru komórkowego.
  2. 2
    Mała dopłata i link z obcą domenąChodzi o dane karty, nie o kwotę. Adres nie należy do firmy.
  3. 3
    Krótki termin„Do jutra” to presja.
  4. 4
    Brak szczegółówPrawdziwy SMS podaje numer przesyłki i nazwę adresata.

Jak to zrobić

KanałCo robiszNa co uważasz
Telefon od „banku”, „policji”, „kuriera”1. Mówisz: „Oddzwonię”. Kończysz rozmowę.
2. Numer bierzesz z umowy lub z oficjalnej strony.
3. Próbę oszustwa zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów, nawet gdy niczego nie podałeś.		Numer na wyświetlaczu można podrobić.
SMS z linkiem1. Nie klikasz.
2. Nie odpisujesz.
3. Czekającą przesyłkę sprawdzasz w rejestrze przesyłek.
4. Zgłaszasz wiadomość i usuwasz po zgłoszeniu.		Odpowiedź potwierdza oszustowi, że numer działa.
Głos przełożonego w telefonie1. Mówisz: „Oddzwonię”.
2. Dzwonisz na numer z listy telefonów jednostki.
3. Przy ważnej prośbie używasz hasła kontrolnego, jeśli jednostka je ma.		Głos i twarz nie są dowodem. Dowodem jest dokument w obiegu.
Zasada

Gdy ktoś każe ci nikomu nie mówić o rozmowie, kończysz rozmowę i zgłaszasz. Dlaczego: zakaz mówienia to najsilniejszy sygnał oszustwa. Uczciwa prośba wytrzymuje sprawdzenie.

Robię
  • mówisz „oddzwonię” i kończysz rozmowę
  • numer bierzesz z umowy lub z oficjalnej strony
  • zgłaszasz próbę, nawet gdy nic nie podałeś
Nie robię
  • nie podajesz danych osobie, której nie sprawdziłeś innym kanałem
  • nie oddzwaniasz na numer podany przez rozmówcę
  • nie klikasz linków w SMS-ach o paczkach i dopłatach
Dlaczego: rozłączenie się nie jest nieuprzejme. Jest ostrożne i chroni pieniądze jednostki.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ciąg dalszy

2.7Hasła, logowanie dwuetapowe i dostęp do systemów budynku

Co to znaczy. Hasło to klucz do poczty, ewidencji i podglądu kamer. Dobre hasło to kilka losowych słów, na przykład „kubek-zegar-las-niebo”. Drugi składnik logowania (logowanie dwuetapowe) to kod z SMS-a lub aplikacji. Podgląd kamer, system kart dostępu i platforma zamówień mają własne konta. Kto zna twoje hasło, działa w nich jako ty.

Jak to zrobić

KanałCo robiszNa co uważasz
Telefon od „informatyka” lub „serwisu”1. Mówisz: „Oddzwonię do pomocy IT”.
2. Dzwonisz na numer: informatyk lub pomoc techniczna jednostki.
3. Hasła nie podajesz nikomu, także prawdziwemu informatykowi.		Prawdziwy informatyk nie potrzebuje twojego hasła.
Wspólne konto do podglądu kamer lub systemu kart1. Nie używasz cudzego konta.
2. Prosisz o własne konto u administratora systemu.
3. Zgłaszasz wspólne hasło przełożonemu.		Przy wspólnym haśle po incydencie nie wiadomo, kto miał dostęp.
Kod z SMS-a, choć nic nie robisz1. Kodu nikomu nie podajesz.
2. Zgłaszasz zdarzenie pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
3. Hasło do konta zmieniasz według poleceń pomocy IT.		Ktoś próbuje zalogować się na twoje konto i brakuje mu tylko kodu.
Robię
  • masz osobne hasło do każdego konta
  • kod wpisujesz tylko sam
  • podejrzaną prośbę o hasło zgłaszasz
Nie robię
  • nie podajesz hasła nikomu
  • nie zapisujesz hasła na kartce przy monitorze
  • nie używasz tego samego hasła w pracy i prywatnie
Dlaczego: kto zna twoje hasło, działa w systemach jednostki jako ty.

2.8Załączniki, kody QR i pendrive’y

Jak to wygląda. Oferta w pliku .zip. Arkusz z prośbą o włączenie makr. Plik PDF z linkiem „pobierz dokument”. Kod QR na naklejce przy wejściu albo na ulotce od „serwisu”. Pendrive z napisem „Zdjęcia z monitoringu” znaleziony na parkingu. Co to znaczy „makro”. To mały program w arkuszu lub dokumencie. Oszuści ukrywają w nim szkodliwy kod. Kod QR to obrazek, który kryje adres strony. Nie widzisz, dokąd prowadzi.

Jak to zrobić

KanałCo robiszNa co uważasz
Załącznik w e-mailu1. Pytasz nadawcę telefonem, czy go wysłał.
2. Jeśli nie czekasz na plik, nie otwierasz go.
3. Nie włączasz makr, nawet gdy dokument o to prosi.		Nazwa pliku „oferta” nie dowodzi, że to oferta.
Kod QR na naklejce lub ulotce1. Nie skanujesz.
2. Naklejkę lub ulotkę pokazujesz przełożonemu.
3. Kontaktujesz się z nadawcą na numer z oficjalnych źródeł.		Naklejka z kodem przyklejona do tablicy ogłoszeń lub drzwi jest zawsze podejrzana.
Pendrive od nieznanej osoby lub znaleziony1. Nie wkładasz go do komputera.
2. Oddajesz go osobie z pomocy IT: informatyk lub pomoc techniczna jednostki.
3. Zapisujesz, gdzie go znalazłeś.		Szkodliwy nośnik działa od chwili wpięcia.
Robię
  • plik, na który nie czekasz, sprawdzasz u nadawcy telefonem
  • adres strony banku lub platformy wpisujesz sam
  • obcy pendrive oddajesz osobie z pomocy IT
Nie robię
  • nie włączasz makr w arkuszu od nieznanej osoby
  • nie skanujesz kodów QR z przypadkowych kartek
  • nie podłączasz obcych pendrive’ów do komputera
Dlaczego: szkodliwy program z jednego pliku może zablokować komputery w całym budynku.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ciąg dalszy

2.9Blokada danych dla okupu (ransomware)

Co to znaczy. Ransomware (czytaj: rensomłer) szyfruje pliki, a potem żąda okupu za ich odblokowanie. Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki mają dziwne nazwy. W administracji możesz stracić dostęp do ewidencji, planów budynku i systemu kart dostępu. Budynek nadal musi działać.

Jak to zrobić

KanałCo robiszNa co uważasz
Komputer w biurze1. Odłączasz kabel sieciowy albo wyłączasz Wi-Fi.
2. Nie wyłączasz komputera, chyba że tak każe pomoc IT.
3. Dzwonisz do informatyk lub pomoc techniczna jednostki i na numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
4. Mówisz, co robiłeś tuż przed pojawieniem się komunikatu.		Sieć odcinasz, zanim szkodliwy program dojdzie do plików innych osób.
Komputer poza biurem lub w domu1. Odłączasz sprzęt od internetu.
2. Dzwonisz do informatyk lub pomoc techniczna jednostki.
3. Nie łączysz sprzętu z siecią jednostki, dopóki nie dostaniesz zgody.		Szkodliwy program przenosi się przez sieć jednostki.
Robię
  • odłączasz sprzęt od sieci
  • od razu dzwonisz do pomocy IT i na numer incydentów
  • zapisujesz godzinę i swoje ostatnie czynności
Nie robię
  • nie płacisz okupu i nie piszesz do przestępców
  • nie próbujesz sam „naprawić” komputera
  • nie ukrywasz problemu, żeby nie robić zamieszania
Dlaczego: szybkie odcięcie sieci chroni dane innych pracowników i pozwala uruchomić plan awaryjny budynku.

2.10Telefon służbowy, czat AI i praca poza biurem

Telefon służbowy. To główne narzędzie twojej pracy: dzwonisz do wykonawców, robisz zdjęcia usterek, czytasz pocztę. Czat AI. To program, który pisze teksty na polecenie. Wszystko, co wkleisz do publicznego czatu, trafia do zewnętrznej firmy. Nie możesz tego cofnąć. Praca poza biurem. W samochodzie, w terenie i w domu laptop, telefon i teczka są łatwym łupem.

CzynnośćTelefon służbowyTelefon prywatny
Rozmowa z wykonawcątaknie
Zdjęcie usterkitak, bez widocznych ludzi i danychnie
Zdjęcie dokumentu z danymi pracownikatylko gdy konieczne, potem do systemu i usunięcienie
Nagranie z monitoringunie, udostępnia je jednostkanie
Komunikator z firmamitylko zatwierdzony przez jednostkęnie
Publiczne Wi-Finie, używasz internetu z telefonunie
Tabela 6. Czym robisz które czynności. Wyjątki zatwierdza jednostka i zapisuje je.

Jak to zrobić

KanałCo robiszNa co uważasz
Pytasz czat AI o pomoc w piśmie1. Pytasz ogólnie, na przykład o wzór protokołu.
2. Nie wklejasz nazwisk, zdrowia, adresów ani numerów kont.
3. Jeśli jednostka ma narzędzie zatwierdzone, używasz tylko go.		Samo usunięcie nazwiska nie wystarcza. Miejsce, wiek i uraz też wskazują człowieka.
Znajomy prosi o nagranie lub zdjęcie komunikatorem1. Odmawiasz.
2. Proponujesz, żeby zgłosił sprawę pisemnie.		Zdjęcie na prywatnym telefonie trafia do chmury i do galerii znajomych.
Praca w samochodzie, pociągu lub w domu1. Pracujesz na sprzęcie służbowym.
2. Ekran ustawiasz tak, by nikt go nie widział.
3. Laptop i telefon masz przy sobie, nie w aucie.		Publiczne Wi-Fi pozwala podsłuchać ruch. Używasz internetu z telefonu służbowego.
Robię
  • do publicznego czatu AI wklejasz tylko tekst bez danych ludzi
  • dane służbowe przesyłasz kanałami jednostki
  • laptop i telefon masz przy sobie
Nie robię
  • nie wklejasz opisów wypadków, umów ani numerów kont
  • nie wysyłasz nagrań z kamer do narzędzi AI
  • nie fotografujesz dokumentów prywatnym telefonem
Dlaczego: to, co trafi poza jednostkę, nie wraca. Zdjęcie lub wklejony tekst zostaje w cudzych rękach.
ZagrożenieJedna zasada
E-mailAdres, pośpiech, link, załącznik. Dzwonisz na znany numer.
Konto wykonawcy i fakturaZmianę potwierdza telefon na numer z umowy i druga osoba.
Oferta i platforma zamówieńDo platformy wchodzisz z adresu, który wpisujesz sam.
PrzełożonyNikt nie zleca zakupu poza zasadami jednostki.
Telefon i głosOddzwaniasz na numer z umowy. Głos nie jest dowodem.
Tabela 7. Podsumowanie modułu 2: pięć zagrożeń i jedna zasada na każde.
Zapamiętaj

Oszust ma trzy narzędzia: pośpiech, tajność i autorytet. Ty masz jedno: sprawdzenie innym kanałem.

Moje notatki z tematu · moduł 2
  1. Z którego z opisanych oszustw mógłbym paść ofiarą w swojej pracy i dlaczego?
  2. Jak sprawdzę następną prośbę o zmianę numeru konta wykonawcy?