Moduł 2 · ok. 35 min

Zagrożenia cyfrowe w mojej pracy

Oszust nie musi włamywać się do systemu. Wystarczy, że klikniesz w link albo wykonasz „pilną prośbę prezesa”. Przez projekty płyną pieniądze i dane ludzi, więc atakujący zaczynają tutaj.

2.1Kto i po co atakuje przy projektach

Projekty to pieniądze i dane. Dotacje płyną w transzach, a listy uczestników zawierają dane ludzi, którzy ufają instytucjom. Oszust nie musi włamywać się do systemu. Wystarczy, że namówi ciebie. Zna terminy sprawozdań i wniosków o płatność i właśnie wtedy pisze.

Rysunek 4 pokazuje, jak zwykle przebiega atak. Zawsze ma pięć kroków, a ty stoisz w czwartym. To tu możesz go przerwać.

2.2Fałszywe wiadomości e-mail i „instytucja pośrednicząca”

Co to znaczy. Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane albo pieniądze. W projektach udaje instytucję pośredniczącą, bank, organizację, partnera albo kuriera. Wiadomość często mówi, że wniosek o płatność ma braki, a transza zostanie wstrzymana. Dlatego wygląda jak zwykła sprawa służbowa.

Rysunek 5 pokazuje taki e-mail. Znajdź siedem sygnałów. Numery na rysunku odpowiadają numerom na liście.

1. 1
   Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy. Sprawdzasz cały adres.
2. 2
   Pośpiech i groźba w temacie„Pilne”, „dziś”, „wstrzymana”. Presja ma wyłączyć myślenie.
3. 3
   Ogólne powitanieInstytucja zwraca się po nazwie projektu i numerze umowy, a nie „Szanowny Beneficjencie”.
4. 4
   Hasło do pliku w treściHasło w tej samej wiadomości chroni plik przed pocztą, nie przed tobą.
5. 5
   Link prowadzi gdzie indziejPrzytrzymaj palec na linku. Adres strony nie pasuje do nadawcy.
6. 6
   Niespodziewany załącznik .zipSpakowany plik, na który nie czekasz, to częsty nośnik szkodliwego programu.
7. 7
   Groźba bez podpisu osobyNie ma imienia, nazwiska i telefonu. Nie masz kogo sprawdzić.

Jak to zrobić, gdy dostajesz wiadomość „z instytucji”

2.3Drugi kanał: jak sprawdzasz prośbę

Drugi kanał to sprawdzenie prośby inną drogą, niż przyszła. Numer telefonu bierzesz z umowy lub z oficjalnej strony, nie z wiadomości. Zasada działa przy zmianie rachunku, prośbie o listę uczestników, o hasło i o wszystko, co nietypowe.

Rysunek 6 pokazuje schemat drugiego kanału.

2.4Telefon i SMS: fałszywa agencja, bank, kontroler

Vishing to oszustwo przez telefon, smishing przez SMS. Rozmówca podaje się za agencję dotacji, kontrolera, bank, sąd, policję, kuriera albo dyrektora. Zna nazwę projektu i numer umowy, bo bywają jawne. Numer na ekranie da się podrobić.

Rysunek 7 pokazuje fałszywy SMS „z banku”. Numery odpowiadają sygnałom z listy.

1. 1
   Nadawca podpisany nazwą bankuNazwę nadawcy też da się podrobić. Liczy się treść i prośba.
2. 2
   Groźba blokady rachunkuStrach ma przyspieszyć decyzję.
3. 3
   Krótki termin„Dziś do 20:00”. Prawdziwe sprawy w banku nie znikają po kilku godzinach.
4. 4
   Obcy linkAdres nie jest adresem banku.
5. 5
   Prośba o dane logowania lub kodBank nigdy o to nie prosi.
6. 6
   Polecenie odpowiedzi „TAK”Odpowiedź potwierdza, że numer jest aktywny.

Jak to zrobić, gdy dzwoni lub pisze „bank” albo „agencja”

2.5Podszywanie się pod organizację, partnera i przełożonego

Oszust pisze jako prezes organizacji, partner albo twój dyrektor. Prosi o coś pilnego i nietypowego: o zmianę rachunku, o listę uczestników albo o przelew poza procedurą. Zmiana numeru rachunku w e-mailu to ulubiona sztuczka oszustów, bo jeden fałszywy przelew to cała transza.

Jak to zrobić, gdy ktoś prosi o zmianę rachunku

2.6Hasła i logowanie dwuetapowe

Hasło to klucz do konta w systemie instytucji, w aplikacji konkursowej i w poczcie. Logowanie dwuetapowe to drugi zamek: kod z SMS-a lub z aplikacji. Kto zna twoje hasło, działa w systemie jako ty.

2.7Załączniki, linki, kody QR i pendrive’y

Każdy z nich może przenieść szkodliwy program. Kod QR to ukryty adres strony. W projektach dostajesz oferty, ankiety i skany od wielu osób, więc plik z nieznanego źródła zdarza się codziennie.

Jak to zrobić z załącznikiem, kodem QR i nośnikiem

2.8Blokada danych dla okupu (ransomware)

Ransomware to program, który szyfruje pliki i żąda okupu. Atakuje często tuż przed terminem rozliczenia. Po czym poznasz: ekran zmienia kolor i pojawia się licznik czasu, a pliki mają dziwne nazwy i nie dają się otworzyć.

2.9Sztuczna inteligencja i podrobiony głos

Czaty AI piszą teksty na polecenie. Wszystko, co do nich wkleisz, trafia do zewnętrznej firmy. Przestępcy używają też AI do podrabiania głosu i obrazu, więc telefon „prezesa” z nietypową prośbą o przelew może brzmieć jak prawdziwy.

2.10Komunikatory, grupy i telefon służbowy

W projektach łatwo o „grupę w komunikatorze” z partnerami, uczestnikami albo radą seniorów. To wygodne, ale jednostka nie ma nad taką grupą żadnej kontroli. Każdy w grupie widzi numery wszystkich.

2.11Wysyłka plików: ukryte kolumny, linki i hasła

Plik z listą uczestników wysyłasz tylko wtedy, gdy wiesz, po co, na jakiej podstawie, ile i jak. Ukrycie kolumn w arkuszu nie usuwa danych. Kolumna, której nie widać, nadal jest w pliku.

Jak to zrobić, gdy wysyłasz plik z danymi uczestników

2.12Praca poza biurem: Wi-Fi, ekran, laptop w drodze

Kontrola w siedzibie organizacji, wydarzenie w terenie, szkolenie w innym mieście. Pracujesz tam, gdzie nie kontrolujesz otoczenia. Pociąg, kawiarnia i hol hotelu to miejsca publiczne.