Zagrożenia cyfrowe w mojej pracy
Tu uczysz się rozpoznawać ataki, które trafiają właśnie do administratora: fałszywe wiadomości, telefony, SMS-y, podszywanie się i okup.
To najważniejszy moduł. Większość szkód zaczyna się od jednej wiadomości albo jednego telefonu. Oszust nie musi włamywać się do systemu. Wystarczy, że ktoś kliknie albo poda dane.
Jako administrator jesteś celem częściej niż inni. Przejęte konto administratora daje atakującemu klucze do całej jednostki. Każdy podrozdział ma cztery części: jak to wygląda, po czym poznasz, co robisz i czego nie robisz.
2.1Kto atakuje jednostkę i po co
Jednostka publiczna ma dane, które są warte pieniądze: adresy, numery kont, dane podatników, uczniów, czytelników i pracowników. Przestępcy nie atakują „informatyki”. Atakują ludzi, którzy mają klucze do systemów. Dlatego najczęściej celują w ciebie.
- Pamiętasz, że jesteś celem numer jeden.
- Traktujesz każdą prośbę o dostęp jak możliwą próbę ataku.
- Znasz cztery cele przestępców i sprawdzasz, który pasuje do prośby.
- Nie myślisz „to mnie nie dotyczy”.
- Nie ufasz prośbie tylko dlatego, że brzmi technicznie.
Atakujący zaczyna od człowieka, nie od zabezpieczenia technicznego. Najmocniejszy zamek nie pomoże, gdy ktoś poda klucz.
2.2Fałszywe wiadomości e-mail (phishing)
Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane albo pieniądze. Do administratora piszą językiem technicznym: „alert bezpieczeństwa”, „wygasa certyfikat”, „skrzynka pełna”, „nowe logowanie z obcego kraju”. Wiadomość często trafia na telefon podczas dyżuru. Wtedy najłatwiej się pomylić. Zobacz rysunek 4: numery odpowiadają numerom sygnałów.
| Nr | Sygnał | Co oznacza |
|---|---|---|
| 1 | Dziwny adres nadawcy | nazwa się zgadza, ale adres po „@” jest obcy |
| 2 | Pośpiech i groźba | „pilne”, „za godzinę”, „strona przestanie działać”; presja ma wyłączyć myślenie |
| 3 | Ogólne powitanie | prawdziwy nadawca zna twoją jednostkę i pisze konkretnie |
| 4 | Link prowadzi gdzie indziej | przytrzymaj kursor na linku; adres strony nie pasuje do nadawcy |
| 5 | Niespodziewany załącznik | plik .zip, .exe albo „instrukcja”, na którą nie czekasz |
| 6 | Prośba o hasło, kod lub konto administratora | nikt uczciwy nie prosi o to przez link z poczty |
- Sprawdzasz adres nadawcy, nie tylko nazwę.
- Do paneli wchodzisz własną drogą: wpisujesz adres sam albo używasz zakładki.
- Przy prośbie o dane lub dostęp dzwonisz na znany numer.
- Podejrzaną wiadomość zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
- Nie klikasz linków z nieoczekiwanych alertów.
- Nie otwierasz plików .zip i „instrukcji”, na które nie czekasz.
- Nie odpisujesz z pytaniem, czy wiadomość jest prawdziwa.
Jak to zrobić: podejrzany e-mail na skrzynce
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| 1. Nie klikaj linku i nie otwieraj załącznika. 2. Użyj przycisku „zgłoś” albo przekaż wiadomość jako załącznik pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. 3. Wejdź do panelu własną drogą: z zakładki lub wpisanego adresu. 4. Sprawdź, czy alert jest prawdziwy: data ważności certyfikatu jest widoczna w panelu. | Nie odpisuj nadawcy. Odpowiedź potwierdza, że skrzynka działa. | |
| Telefon (poczta w telefonie) | 1. Nie dotykaj linków w wiadomości. 2. Zrób zrzut ekranu i zgłoś jak wyżej. 3. Wejdź do panelu z komputera służbowego. | Na małym ekranie nie widać pełnego adresu linku, więc łatwiej się pomylić. |
Takie oszustwo nazywa się phishingiem – od angielskiego „łowienia”. Mechanizm zawsze jest ten sam: zaufanie plus pośpiech.
2.3Fałszywe telefony i SMS-y: prośba o reset hasła lub kodu
Vishing (czytaj: wiszing) to oszustwo przez telefon. Smishing to oszustwo przez SMS. Dzwoni „kierownik referatu”. Jest zdenerwowany. Nie może wejść do systemu, a za dziesięć minut ma ważne pismo. Prosi o reset hasła i nowy kod do logowania dwuetapowego. Do tego dochodzą SMS-y o „nowym logowaniu na twoje konto”. Zobacz rysunki 5 i 6.
- Mówisz: „Oddzwonię”. Kończysz rozmowę.
- Tożsamość potwierdzasz drugim kanałem: numer z wykazu, przełożony, rozmowa osobista.
- Nowe hasło przekazujesz tak, by widział je tylko właściciel konta.
- Zapisujesz w zgłoszeniu, kto i jak został zweryfikowany.
- Nie resetujesz hasła ani kodu na samą prośbę.
- Nie podajesz haseł przez telefon, e-mail ani zwykły SMS.
- Nie oddzwaniasz na numer podany przez rozmówcę.
Jak to zrobić: reset hasła lub kodu na prośbę
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Osobiście | 1. Poproś o dokument ze zdjęciem albo potwierdź osobę ze zdjęciem w systemie kadrowym lub u przełożonego. 2. Zresetuj hasło. Ustaw wymuszenie zmiany przy pierwszym logowaniu. 3. Podaj nowe hasło tak, by widział je tylko właściciel. 4. Zapisz w zgłoszeniu: kto, kiedy, jak potwierdzono. | Znajomość twarzy nie zwalnia z zapisu. Zapis chroni ciebie, gdy ktoś zakwestionuje reset. |
| Telefon | 1. Powiedz: „Oddzwonię.” Zakończ rozmowę. 2. Zadzwoń na numer z wykazu pracowników, nie z ekranu. 3. Albo poproś przełożonego, żeby potwierdził prośbę. 4. Dopiero wtedy zresetuj hasło i przekaż je właścicielowi. | Numer na wyświetlaczu da się podrobić. Dlatego nie wystarczy samo oddzwonienie na numer z ekranu. |
| 1. Nie resetuj hasła na samą wiadomość. 2. Odpowiedz, że potrzebujesz zgłoszenia w systemie zgłoszeń albo kontaktu osobistego. 3. Jeśli prośba przyszła z prywatnej skrzynki, potwierdź ją telefonicznie na znany numer. | Adres nadawcy łatwo podrobić; prywatny adres niczego nie dowodzi. | |
| Pismo | 1. Zarejestruj pismo w kancelarii. 2. Potwierdź prośbę u kierownika jednostki lub kierownika komórki. 3. Reset wykonaj w terminie zgłoszenia, zapisz podstawę. | Pismo „w imieniu” osoby trzeciej nie upoważnia do resetu cudzego konta. |
| Portal / system zgłoszeń | 1. Zgłoszenie przyjmuj tylko od zalogowanego użytkownika. 2. Reset hasła zaproponuj przez samoobsługę, jeśli jest. 3. Jeśli konta nie można odzyskać samodzielnie, umów potwierdzenie osobiste. | Nie przyjmuj haseł w treści zgłoszenia. |
| Osoba trzecia (np. koleżanka za chorą) | 1. Odmów resetu w imieniu innej osoby. 2. Zaproponuj, żeby właścicielka konta sama się skontaktowała, albo przełożony wystąpił o pomoc. 3. Zapisz próbę w zgłoszeniu. | Jedna taka prośba bywa próbą rozpoznania, kto resetuje konta. |
| Nr | Prośba do helpdesku | Robisz | Nie robisz |
|---|---|---|---|
| 1 | Pracownik stoi przy biurku, znasz go osobiście | odblokowujesz konto i zapisujesz zgłoszenie | nie robisz nic ponad prośbę |
| 2 | Nieznany głos prosi o reset przez telefon | oddzwaniasz na znany numer | nie resetujesz na samą prośbę |
| 3 | Prośba o reset z prywatnej skrzynki | potwierdzasz innym kanałem | nie wierzysz adresowi nadawcy |
| 4 | Prośba o nowy kod do logowania dwuetapowego | potwierdzasz osobiście lub u przełożonego | nie podajesz kodu przez telefon |
| 5 | Ktoś prosi o reset w imieniu koleżanki na urlopie | odmawiasz; reset robisz właścicielce | nie resetujesz cudzego konta |
| 6 | Nowe hasło tymczasowe dla zweryfikowanej osoby | przekazujesz tak, by widziała je tylko ona | nie wysyłasz zwykłym e-mailem ani SMS-em |
Tabela 2. Reset hasła lub kodu: co robisz, a czego nie, w sześciu typowych sytuacjach.
Najpierw potwierdzasz, kim jest rozmówca, potem resetujesz. Gdy ktoś prosi o hasło, kod lub dostęp, potwierdzasz jego tożsamość innym kanałem. Dzięki temu oszust nie wejdzie na cudze konto.
2.4Podszywanie się pod przełożonego i dostawcę
Oszust pisze lub dzwoni jako kierownik jednostki, wójt, burmistrz, dyrektor albo stały dostawca. Prosi o coś pilnego i nietypowego. Na przykład: „Pilnie nadaj dostęp do poczty zastępcy”. Albo: „Wyłącz logowanie dwuetapowe, bo nie mam telefonu”. Albo: „Tu serwis. Otwórz nam zdalny dostęp na stałe”. Wiadomość przychodzi z prywatnej skrzynki albo z adresu bardzo podobnego do służbowego.
| Po czym poznasz | Co robisz |
|---|---|
| prośba o szersze uprawnienia poza zwykłą drogą | sprawdzasz wniosek w procedurze nadawania uprawnień z polityka bezpieczeństwa informacji |
| adres różni się jedną literą lub domeną | porównujesz z wykazem; zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów |
| „jestem na spotkaniu, nie dzwoń, zrób to teraz” | dzwonisz na znany numer; brak odbioru oznacza brak zgody |
- Wniosek o dostęp sprawdzasz w procedurze.
- Prośbę potwierdzasz telefonicznie na znany numer.
- Numer dostawcy bierzesz z umowy.
- Nie nadajesz uprawnień „na słowo”.
- Nie wyłączasz zabezpieczeń na prośbę z nietypowego kanału.
2.5Hasła, logowanie dwuetapowe i konta uprzywilejowane
Hasło administratora to klucz do wszystkich drzwi jednostki. Logowanie dwuetapowe (kod z aplikacji lub klucz sprzętowy) to drugi zamek. Atakujący próbuje trzech rzeczy: odgadnąć hasło, wyłudzić je albo zmęczyć cię powiadomieniami. Wysyła wiele próśb o zatwierdzenie logowania, aż w końcu zatwierdzisz jedną, żeby mieć spokój. To się nazywa zmęczenie powiadomieniami.
- Masz osobne konto administratora do zadań administracyjnych.
- Hasło składa się z kilku losowych słów i jest inne w każdym systemie.
- Hasła trzymasz w zatwierdzonym sejfie haseł.
- Kopia awaryjna jest zapieczętowana, a dostęp do niej mają dwie osoby.
- Niechciane prośby o zatwierdzenie odrzucasz i zgłaszasz.
- Nie używasz konta administratora do poczty i internetu.
- Nie jesteś jedyną osobą, która zna kluczowe hasło.
- Nie podajesz kodu nikomu, kto nie jest tobą.
- Nie zatwierdzasz logowania, którego sam nie rozpocząłeś.
Żadnego klucza w jednych rękach. Hasła administratora nie zna tylko jedna osoba. Kopia awaryjna w zapieczętowanej kopercie, dostępna dla dwóch osób, chroni jednostkę, gdy ciebie zabraknie.
2.6Załączniki, linki, kody QR, pendrive’y i narzędzia z internetu
Administrator często pobiera sterowniki, narzędzia i poprawki. Dlatego fałszywe strony z „narzędziami” to dla niego pułapka. Pierwszy wynik w wyszukiwarce bywa reklamą z podrobionym programem. Kod QR to ukryty link: nie widzisz, dokąd prowadzi. Znaleziony pendrive może uruchomić złośliwy program po podłączeniu. Program uruchomiony z uprawnieniami administratora ma uprawnienia administratora.
| Po czym poznasz | Co robisz |
|---|---|
| reklama zamiast strony producenta w wynikach | pobierasz tylko ze strony producenta wpisanej ręcznie |
| naklejka z kodem QR na sprzęcie, której nikt nie zgłaszał | nie skanujesz; zdejmujesz naklejkę i zgłaszasz |
| pendrive „znaleziony” przy wejściu albo podarowany na spotkaniu | nie podłączasz do żadnego sprzętu; zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów |
- Pobierasz tylko ze strony producenta wpisanej ręcznie.
- Sprawdzasz podpis lub sumę kontrolną pliku, jeśli producent ją podaje.
- Nowe narzędzia najpierw testujesz poza produkcją.
- Obcy nośnik zgłaszasz.
- Nie skanujesz kodów QR z naklejek na sprzęcie.
- Nie podłączasz obcych nośników do żadnego sprzętu w sieci.
2.7Blokada danych dla okupu (ransomware)
Ransomware (czytaj: rensomłer) to program, który szyfruje pliki. Potem przestępca żąda okupu za ich odblokowanie. Ekran zmienia kolor. Pojawia się żądanie zapłaty i licznik czasu. Pliki mają dziwne nazwy i nie dają się otworzyć. Zobacz rysunek 7. Szyfrowanie często obejmuje też kopie zapasowe, jeśli są podłączone do sieci.
- Odcinasz sprzęt od sieci: kabel albo Wi-Fi.
- Nie wyłączasz komputera. Pamięć i ślady są cenne.
- Odłączasz od sieci kopie zapasowe i sprawdzasz, czy są czyste.
- Zgłaszasz od razu pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
- Zanim odtworzysz dane, ustalasz, jak atakujący wszedł.
- Nie płacisz i nie piszesz do przestępców.
- Nie uruchamiasz „darmowych odszyfrowywaczy” z internetu.
- Nie formatujesz maszyn, zanim zabezpieczysz ślady.
Kopia offline to twoja szansa. Odcinasz sieć, nie wyłączasz sprzętu i zgłaszasz od razu. Nie płacisz okupu.
2.8Telefon służbowy, komunikatory i alarmy
Twój telefon odbiera alarmy, kody do logowania i wiadomości od dostawców. To drugi klucz do systemów. Zgubiony lub źle zabezpieczony telefon zdradza kody i kontakty. Komunikator wygodnie przenosi hasła i zrzuty ekranu, ale zostawia je w wielu miejscach.
- Masz blokadę ekranu z kodem i szyfrowanie.
- Zgubiony telefon zgłaszasz od razu, żeby go zdalnie zablokować.
- Hasła i klucze przekazujesz kanałem zatwierdzonym przez jednostkę.
- Ukrywasz podgląd powiadomień na ekranie blokady.
- Nie wysyłasz haseł ani zrzutów ekranu z danymi prywatnym komunikatorem.
- Nie zostawiasz telefonu odblokowanego na biurku.
2.9Sztuczna inteligencja i podrobiony głos
Czaty AI (programy, które piszą tekst na polecenie) są wygodne. Ale wszystko, co wkleisz, trafia do zewnętrznej firmy. Administrator często wkleja logi i konfiguracje, żeby szybciej znaleźć błąd. W logu są adresy, nazwy kont, czasem hasła. Przestępcy używają też AI do podrabiania głosu i obrazu. „Kierownik jednostki” dzwoni znajomym głosem i prosi o dostęp.
| Po czym poznasz | Co robisz |
|---|---|
| znajomy głos z nietypową, pilną prośbą | przerywasz i oddzwaniasz na znany numer |
| nagranie wideo z poleceniem „zrób to teraz” | prosisz o potwierdzenie osobiste lub pisemne |
| prośba o pominięcie zwykłej procedury | odmawiasz i zgłaszasz kierownikowi jednostki |
- Do publicznych czatów AI wklejasz tylko tekst bez danych i bez haseł.
- Korzystasz z narzędzi zatwierdzonych przez jednostkę.
- Nietypową prośbę „szefa” sprawdzasz na znany numer.
- Skrypt z czatu AI testujesz poza produkcją.
- Nie wklejasz logów, konfiguracji, adresów i nazw kont.
- Nie uruchamiasz skryptu na serwerze bez przeglądu.
2.10Praca poza biurem: dyżur zdalny, VPN i laptop w drodze
Dyżur zdalny oznacza, że pracujesz tam, gdzie nie kontrolujesz otoczenia: dom, kawiarnia, pociąg. Publiczna sieć Wi-Fi pozwala podglądać ruch. Ekran widać z sąsiedniego stolika. Laptop w samochodzie to łatwy łup. Konto administratora z takiego miejsca to szczególne ryzyko.
- Łączysz się przez VPN z urządzenia służbowego.
- Używasz internetu z telefonu służbowego zamiast publicznej sieci.
- Ekran kierujesz tak, by nikt obcy go nie widział.
- Laptop masz przy sobie, a dysk jest zaszyfrowany.
- Nie logujesz się kontem administratora na cudzym urządzeniu.
- Nie zostawiasz laptopa w samochodzie, także w bagażniku.
- Która z opisanych sztuczek najłatwiej mogłaby mnie zmylić? Dlaczego?
- Kto w mojej jednostce prosi mnie o reset hasła i jak go potwierdzam?