Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 14 min

Zagrożenia cyfrowe w mojej pracy

Oszuści szukają osób, które mają dostęp do informacji, ale nie mają szkolenia ani pomocy informatyka. Twój adres e-mail i telefon bywają na stronie jednostki. Ten moduł pokazuje, jak rozpoznać atak i go zatrzymać.

2.1Pięć kroków ataku

Atak na osobę spoza jednostki wygląda tak samo jak atak na pracownika. Różnica jest jedna: nie masz obok działu informatyki, więc pierwszą linią obrony jesteś ty. Zobacz rysunek 4.

Rysunek 4. Pięć kroków ataku. Czwarty krok to twoja decyzja.

Zbieranie. Oszust czyta stronę jednostki i znajduje nazwiska, telefony i adresy radnych, sołtysów i komisji.
Kontakt. Pisze, dzwoni albo wysyła SMS. Podaje się za urząd, kierownika, kuriera lub bank.
Presja. Pisze, że to pilne, tajne albo że grozi kara.
Twoja decyzja. Klikasz, podajesz dane albo odpowiadasz. To jedyny krok, na który masz wpływ.
Skutek. Jest szkoda albo zatrzymujesz atak i zgłaszasz.

Zasada

Pilność i tajność wiadomości to sygnał ostrzegawczy, nie powód do pośpiechu. Dlaczego: oszust potrzebuje twojego pośpiechu, bo w spokoju sprawdzisz prośbę.

2.2Fałszywa wiadomość „z urzędu”

Co to znaczy. Fałszywa wiadomość udaje urząd, kierownika albo kancelarię. Chce, żebyś otworzył plik, kliknął link albo podał hasło. Na prywatnej poczcie nie chroni cię filtr jednostki, więc czujność musi być twoja. Rysunek 5 pokazuje przykład.

Rysunek 5. Fałszywa wiadomość „z urzędu” na prywatnej poczcie (rysunek poglądowy). Numery odpowiadają sygnałom z listy.

1
Adres nadawcy.Wygląda znajomo, ale ma obcą końcówkę.
2
Temat z krzykiem i terminem.„Pilne”, „dziś do 15:00”.
3
Zwrot ogólny albo zła forma.Prawdziwy sekretariat zna twoje imię.
4
Hasło do pliku w treści i zakaz mówienia innym.Hasło podane tą samą drogą nie chroni niczego, a prawdziwa jednostka nie każe ukrywać sprawy.
5
Link do „logowania”.Prowadzi do fałszywej strony, która zbiera hasła.
6
Zaszyfrowany plik ZIP z „listą skarg”.Otwiera drogę szkodliwemu programowi.

Jak to zrobić, gdy dostajesz wiadomość z plikiem lub linkiem

Kanał	Co robisz	Na co uważasz
E-mail	1. Nie otwierasz pliku i nie klikasz linku. 2. Dzwonisz do jednostki na numer ze strony jednostki. 3. Wiadomość zostawiasz, nie usuwasz. 4. Zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Odpowiedź na e-mail niczego nie potwierdza.
SMS lub komunikator	1. Nie klikasz linku z wiadomości. 2. Sprawdzasz nadawcę telefonem na znany numer. 3. Wiadomość zostawiasz i zgłaszasz.	Numer nadawcy SMS można podrobić.
Portal	1. Nie logujesz się przez link z wiadomości. 2. Adres portalu wpisujesz ręcznie albo wybierasz z zakładki.	Fałszywa strona wygląda jak prawdziwa.
Telefon	1. Gdy ktoś mówi „wysłałem panu e-mail, proszę otworzyć”, kończysz rozmowę. 2. Oddzwaniasz na numer ze strony jednostki.	Telefon ma cię uśpić, żebyś otworzył plik.

Przykład: gotowe zdanie

„Dziękuję za wiadomość. Sprawdzę ją telefonicznie w sekretariacie i odpiszę po rozmowie.”

Gdy masz wątpliwość

Nie wiesz, czy wiadomość jest prawdziwa? Nie otwieraj pliku. Zadzwoń pod numer ze strony jednostki albo zapytaj inspektor ochrony danych jednostki.

2.3Drugi kanał

Co to znaczy. Prośbę o dane, pieniądze, hasło, dokument lub zmianę numeru konta sprawdzasz innym sposobem niż ten, którym przyszła. Najlepiej telefonem na numer, który już znasz. Odpowiedź tym samym kanałem niczego nie potwierdza, bo odpowiada ten, kto kontroluje skrzynkę.

Rysunek 6. Prośba, zatrzymanie i drugi kanał. Odpowiedź w tym samym kanale niczego nie potwierdza.

Skąd numer do oddzwonienia	Czy możesz zadzwonić
Ze strony jednostki albo z umowy	Tak: to numer, który znasz z zaufanego źródła.
Z wiadomości z prośbą	Nie: prowadzi do nadawcy.
Z wyświetlacza przy połączeniu	Nie: numer można podrobić.
Z wizytówki wręczonej przez nieznaną osobę	Nie: wizytówkę łatwo wydrukować.
Od osoby trzeciej, „znajomego z urzędu”	Nie: najpierw sprawdź go samego.

Tabela 2. Skąd bierzesz numer do oddzwonienia.

Przykład: gotowe zdanie

„Oddzwonię na numer z waszej strony i wtedy to załatwimy.”

Zasada

Prośbę o pieniądze, dane, hasło lub zmianę numeru konta sprawdzasz drugim kanałem, zanim cokolwiek zrobisz. Dlaczego: oszust kontroluje wiadomość, ale nie kontroluje twojego telefonu do znanej osoby.

2.4Telefon i SMS

Co to znaczy. Dzwoniący podaje się za urzędnika, wójta, kuriera albo bank. Mówi pewnym głosem, zna twoje nazwisko i prosi o numer, kod lub „potwierdzenie”. SMS udaje przesyłkę, zwrot podatku albo zaproszenie na sesję i zawiera link.

1
Zna twoje nazwisko i funkcję.Te dane są na stronie jednostki.
2
Prosi o kod z SMS-a.Kod to klucz do konta, nie „potwierdzenie”.
3
Naciska i wzbudza strach.„Zablokujemy ci konto, jeśli nie podasz teraz”.
4
Prosi o poufność.Prawdziwy urzędnik nie każe ukrywać rozmowy przed jednostką.
5
Wysyła link w SMS-ie.Link prowadzi do fałszywej strony.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Telefon	1. Nie podajesz kodu, hasła ani numeru karty. 2. Mówisz: „Oddzwonię na numer z waszej strony”. 3. Kończysz rozmowę i dzwonisz na znany numer.	Kto naprawdę dzwoni z urzędu, zniesie oddzwonienie.
SMS	1. Nie klikasz linku. 2. Nie odpowiadasz na wiadomość. 3. Zostawiasz ją jako dowód i zgłaszasz.	Odpowiedź potwierdza, że numer jest aktywny.
Osoba trzecia	1. Gdy „kolega z urzędu” prosi o dane przez telefon, mówisz: „Przyślij prośbę kierownikowi jednostki”.	Znajomość osoby nie zastępuje upoważnienia.

Przykład: gotowe zdanie

„Nie podaję żadnych danych przez telefon. Oddzwonię na numer ze strony urzędu.”

2.5Hasła i prywatne urządzenia

Co to znaczy. Jeśli czytasz materiały z jednostki na własnym telefonie, laptopie lub w prywatnej poczcie, to twoje urządzenie staje się częścią systemu bezpieczeństwa. Hasło to jedyna blokada między informacjami a każdym, kto zgadnie lub podejrzy.

Robię

Używasz długiego hasła do poczty: kilka słów, które tylko ty rozumiesz.
Włączasz drugi składnik logowania, na przykład kod z aplikacji.
Blokujesz telefon i komputer, gdy odchodzisz.

Nie robię

Nie używasz tego samego hasła do poczty i do innych kont.
Nie zapisujesz hasła na kartce przy monitorze.
Nie pozwalasz dzieciom ani gościom korzystać z urządzenia z materiałami.

Dlaczego: hasło zgadnięte lub podejrzane otwiera całą pocztę, w tym wszystkie materiały z jednostki. Drugi składnik zatrzymuje atak, gdy hasło wycieknie.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Osobiście	1. Gdy ktoś zagląda na ekran, zasłaniasz go albo go blokujesz. 2. Nie zostawiasz odblokowanego komputera, nawet na chwilę.	Wystarczy minuta, żeby ktoś skopiował pliki.
Telefon i e-mail	1. Nikomu nie podajesz hasła ani kodu z SMS-a. 2. Gdy ktoś prosi o hasło „do sprawdzenia konta”, to oszust.	Jednostka nigdy nie prosi o hasło do twojej prywatnej poczty.

Gdy masz wątpliwość

Podejrzewasz, że ktoś zna twoje hasło? Zmień je na innym urządzeniu i zgłoś pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

2.6Pendrive, kod QR i telefon

Co to znaczy. Nośniki i kody QR wyglądają niewinnie. Pendrive może zawierać szkodliwy program, który uruchomi się po włożeniu. Kod QR na piśmie albo naklejce może prowadzić do fałszywej strony. Zdjęcie dokumentu w telefonie samo trafia do chmury.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Osobiście: pendrive od mieszkańca „z materiałami”	1. Nie wkładasz nośnika do komputera. 2. Prosisz o materiały e-mailem na adres jednostki albo na papierze. 3. Nośnik oddajesz do jednostki.	Nie wiesz, co jest na pendrive.
Znaleziony nośnik	1. Nie wkładasz go do komputera. 2. Zostawiasz go tam, gdzie leży, i zgłaszasz, albo oddajesz do jednostki. 3. Nie wyrzucasz, bo to dowód.	Pendrive „zgubiony” celowo to częsta sztuczka.
Pismo z kodem QR	1. Nie skanujesz kodu bez potrzeby. 2. Jeśli musisz, sprawdzasz adres, który się pokazuje. 3. Pismo sprawdzasz drugim kanałem.	Kod QR ukrywa adres strony.
Telefon: zdjęcie dokumentu	1. Nie fotografujesz dokumentów z jednostki. 2. Gdy zrobiłeś zdjęcie, nie wysyłasz go dalej, zgłaszasz.	Zdjęcie trafia do chmury telefonu.

Zasada

Nie wkładasz do komputera obcego nośnika i nie skanujesz obcych kodów QR bez sprawdzenia. Dlaczego: jeden włożony pendrive wystarczy, żeby szkodliwy program zaszyfrował wszystkie pliki.

2.7Czat AI i narzędzia publiczne

Co to znaczy. Narzędzia, które piszą teksty na polecenie, pracują na serwerach firm spoza jednostki. To, co wkleisz, jest wysyłane do tej firmy. Dlatego nie wklejasz do nich list osób, skarg, protokołów, wykazów, uchwał z danymi ani zdjęć dokumentów.

Robię

Prosisz o ogólne wyjaśnienie pojęcia, bez danych.
Opisujesz sytuację bez nazwisk, adresów i numerów.

Nie robię

Nie wklejasz list osób, skarg ani protokołów.
Nie wgrywasz zdjęć dokumentów z jednostki.

Dlaczego: wklejone dane zostają u zewnętrznej firmy. Nie możesz ich cofnąć ani sprawdzić, kto je zobaczy.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Osobiście i e-mail	1. Chcesz streścić długi dokument? Najpierw zapytaj kierownika jednostki, czy jednostka ma dopuszczone narzędzie. 2. Jeśli nie ma, streszczasz sam.	Wygodne skróty w publicznym narzędziu to wyciek.

2.8Wysyłka do wielu osób i załączniki

Co to znaczy. Wysyłasz jedną wiadomość do wielu osób, na przykład do mieszkańców sołectwa. Gdy wpiszesz adresy w polu „Do”, każdy widzi adresy wszystkich. To ujawnia dane. Używasz pola „UDW” (ukryta kopia).

Jak to zrobić

Kanał	Co robisz	Na co uważasz
E-mail do wielu osób	1. Wpisujesz własny adres w polu „Do”. 2. Adresy odbiorców wpisujesz w polu „UDW”. 3. Przed wysłaniem sprawdzasz adresy i załączniki.	Błędnego adresu nie cofniesz.
Plik z danymi osób	1. Zapisujesz plik z hasłem. 2. Hasło podajesz innym kanałem, na przykład telefonem. 3. Wysyłasz tylko to, co potrzebne.	Hasło w tej samej wiadomości nie chroni niczego.
Pismo lub portal	1. Wysyłasz tylko przez kanał, który wskazała jednostka. 2. Nie przekazujesz dokumentów przez prywatne komunikatory.	Prywatny komunikator zostawia kopie poza kontrolą jednostki.

Gdy masz wątpliwość

Nie wiesz, czy wolno ci wysłać dokument? Nie wysyłaj. Zapytaj kierownika jednostki albo inspektor ochrony danych jednostki.

Moje notatki z tematu · moduł 2

Którą sztuczkę mogę spotkać najczęściej jako radny, sołtys, inkasent lub członek komisji?
Komu powiem o zasadzie drugiego kanału?

Krok 2 · Zrozum

Jak rozpoznajesz atak i go zatrzymujesz

Druga lekcja pokazuje, jak działają oszuści i co robisz na każdym kroku. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.

APięć kroków ataku

Atak na osobę spoza jednostki ma pięć kroków: zbieranie, kontakt, presja, twoja decyzja i skutek. Czwarty krok to jedyny, na który masz wpływ, bo wtedy decydujesz, czy kliknąć, podać dane albo odpowiedzieć.

Krok	Co robi oszust	Co robisz ty
1. Zbieranie	czyta stronę jednostki i szuka nazwisk, telefonów i adresów	nic nie zrobisz, ale wiesz, że twoje dane są widoczne
2. Kontakt	pisze, dzwoni albo wysyła SMS	zachowujesz czujność
3. Presja	pisze, że to pilne, tajne albo grozi kara	zwalniasz i traktujesz pilność jak sygnał ostrzegawczy
4. Twoja decyzja	czeka, czy klikniesz lub podasz dane	nie klikasz, sprawdzasz drugim kanałem
5. Skutek	wyłudza dane albo pieniądze	zgłaszasz od razu

Zasada

Pilność i tajność wiadomości to sygnał ostrzegawczy, nie powód do pośpiechu. Dlaczego: oszust potrzebuje twojego pośpiechu, bo w spokoju sprawdzisz prośbę.

BFałszywa wiadomość „z urzędu”

Fałszywa wiadomość udaje urząd, kierownika albo kancelarię. Chce, żebyś otworzył plik, kliknął link albo podał hasło. Na prywatnej poczcie nie chroni cię filtr jednostki, więc czujność musi być twoja.

Sygnał	Przykład
Obcy adres nadawcy	adres wygląda znajomo, ale ma dziwną końcówkę
Krzyk i termin	„PILNE”, „dziś do 15:00”
Zwrot bez imienia	„Szanowny Radny”, „Szanowni Państwo”
Hasło do pliku w treści	hasło podane tą samą drogą nie chroni niczego
Link do „logowania”	prowadzi do fałszywej strony
Zakaz mówienia innym	„Nie informuj nikogo w urzędzie”

Jak to zrobić krok po kroku — gdy dostajesz wiadomość z plikiem lub linkiem

Nie otwieraj pliku i nie klikaj linku. Nawet jeśli wiadomość wygląda na prawdziwą.
Sprawdź drugim kanałem. Zadzwoń do jednostki na numer ze strony jednostki.
Wiadomość zostaw. Nie usuwaj jej, bo to dowód, który pomoże ustalić sprawcę.
Zgłoś. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Przykład: gotowe zdanie

„Dziękuję za wiadomość. Sprawdzę ją telefonicznie w sekretariacie i odpiszę po rozmowie.”

Gdy coś poszło nie tak

Otworzyłeś plik z takiej wiadomości? Odłącz urządzenie od sieci i zgłoś pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie usuwaj wiadomości.

CDrugi kanał

Prośbę o dane, pieniądze, hasło, dokument lub zmianę numeru konta sprawdzasz innym sposobem niż ten, którym przyszła. Najlepiej telefonem na numer, który już znasz. Odpowiedź tym samym kanałem niczego nie potwierdza, bo odpowiada ten, kto kontroluje skrzynkę.

Skąd numer do oddzwonienia	Czy możesz zadzwonić
ze strony jednostki albo z umowy	Tak: zaufane źródło
z wiadomości z prośbą	Nie: prowadzi do nadawcy
z wyświetlacza przy połączeniu	Nie: numer można podrobić
od „znajomego z urzędu”	Nie: najpierw sprawdź jego samego

Jak to zrobić krok po kroku — gdy ktoś prosi o zmianę numeru konta albo o pieniądze

Zatrzymaj się. Nie odpisuj w tym samym kanale.
Znajdź zaufany numer. Na stronie jednostki albo w umowie.
Zadzwoń i zapytaj. „Czy to wy prosicie o zmianę numeru konta?”
Dopiero wtedy działaj albo zgłoś. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Zasada

Prośbę o pieniądze, dane, hasło lub zmianę numeru konta sprawdzasz drugim kanałem, zanim cokolwiek zrobisz. Dlaczego: oszust kontroluje wiadomość, ale nie kontroluje twojego telefonu do znanej osoby.

DTelefon i SMS

Dzwoniący podaje się za urzędnika, kuriera albo bank. Zna twoje nazwisko, bo jest na stronie jednostki. Prosi o kod lub „potwierdzenie”. Kod z SMS-a to klucz do konta, nie potwierdzenie.

Jak to zrobić krok po kroku — gdy ktoś dzwoni i prosi o kod, dane lub „potwierdzenie”

Nie podawaj kodu, hasła ani numeru karty. Nigdy, nawet „na chwilę”.
Powiedz zdanie. „Oddzwonię na numer z waszej strony.”
Zakończ rozmowę i zadzwoń na znany numer. Prawdziwy urzędnik zniesie oddzwonienie.
Zgłoś próbę. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Dlaczego

Kto naprawdę dzwoni z urzędu, nie boi się oddzwonienia. Kto się boi, jest oszustem.

EHasła i prywatne urządzenia

Jeśli czytasz materiały z jednostki na własnym telefonie lub w prywatnej poczcie, twoje urządzenie staje się częścią systemu bezpieczeństwa. Najważniejsze są dwie rzeczy: długie hasło tylko do poczty i drugi składnik logowania.

Robisz

używasz długiego hasła do poczty, kilku słów, które tylko ty rozumiesz — krótkie hasło łatwo zgadnąć
włączasz drugi składnik logowania — wyciek hasła nie wystarczy oszustowi
blokujesz telefon i komputer — wystarczy minuta bez blokady

Nie robisz

nie używasz tego samego hasła w kilku miejscach — wyciek z jednego zepsuje wszystkie
nie zapisujesz hasła na kartce — widzi je każdy, kto wejdzie
nie pozwalasz dzieciom ani gościom korzystać z urządzenia — mogą otworzyć materiały

Gdy masz wątpliwość

Podejrzewasz, że ktoś zna twoje hasło? Zmień je na innym urządzeniu i zgłoś pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

FPendrive, kod QR i telefon

Pendrive może uruchomić szkodliwy program po włożeniu. Kod QR ukrywa adres strony. Zdjęcie dokumentu trafia do chmury telefonu. Nie wkładasz obcego nośnika i nie skanujesz obcego kodu.

Jak to zrobić krok po kroku — gdy ktoś wręcza ci pendrive „z materiałami” albo znajdujesz nośnik

Nie wkładaj nośnika do komputera. Nie wiesz, co jest na pendrive.
Nie wyrzucaj go. To dowód.
Oddaj do jednostki albo zgłoś miejsce, w którym leży. Pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Poproś o materiały inaczej. Na papierze albo e-mailem na adres jednostki.

Robisz

prosisz o materiały e-mailem na adres jednostki lub na papierze — te kanały są sprawdzone
sprawdzasz adres, który pokazuje kod QR, zanim wejdziesz — kod może prowadzić do fałszywej strony

Nie robisz

nie wkładasz obcego pendrive’a — jeden nośnik może zaszyfrować wszystkie pliki
nie skanujesz kodu QR z naklejki na drzwiach — naklejkę mógł przykleić ktoś obcy

GCzat AI i narzędzia publiczne

Narzędzia, które piszą teksty na polecenie, pracują na serwerach firm spoza jednostki. To, co wkleisz, trafia do tej firmy. Dlatego nie wklejasz do nich list osób, skarg, protokołów ani zdjęć dokumentów.

Wolno	Nie wolno
ogólne wyjaśnienie pojęcia bez danych	wklejenie listy skarżących
opis sytuacji bez nazwisk i adresów	wgranie zdjęcia protokołu
pytanie o ogólną zasadę	wklejenie uchwały z danymi osób

Zasada

Do publicznego narzędzia AI nie wklejasz danych osób ani dokumentów z jednostki. Dlaczego: wklejone dane zostają u zewnętrznej firmy. Nie możesz ich cofnąć.

HWysyłka do wielu osób i załączniki

Gdy wysyłasz jedną wiadomość do wielu osób, adresy wpisujesz w polu UDW (ukryta kopia). Wtedy odbiorcy nie widzą adresów innych. Plik z danymi zapisujesz z hasłem, a hasło podajesz innym kanałem.

Jak to zrobić krok po kroku — gdy wysyłasz wiadomość do wielu osób

Własny adres wpisz w polu „Do”. Pole „Do” widzą wszyscy odbiorcy.
Adresy odbiorców wpisz w polu „UDW”. Odbiorcy nie zobaczą swoich adresów.
Sprawdź adresy i załączniki. Błędnego adresu nie cofniesz.
Wyślij. Dopiero po sprawdzeniu.

Zasada

Do wielu osób piszesz w polu UDW, a plik z danymi zapisujesz z hasłem podanym innym kanałem. Dlaczego: adres w polu „Do” widzą wszyscy, a hasło w tej samej wiadomości nie chroni pliku.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Dostajesz e-mail „z sekretariatu”: plik ZIP, hasło w treści, termin „dziś do 15:00”. Co robisz?

Otwieram plik, bo termin jest krótki.

Nie otwieram, sprawdzam telefonem na numer ze strony jednostki, wiadomość zostawiam i zgłaszam.

Usuwam wiadomość i nic nie zgłaszam.

Ćwiczenie 2. Skąd bierzesz numer do oddzwonienia?Przy każdej pozycji wybierz jedną odpowiedź.

Numer ze strony jednostki

Numer podany w wiadomości z prośbą

Numer z wyświetlacza przy połączeniu

Numer z umowy

Ćwiczenie 3. Uzupełnij zdania.

Kod z SMS-a to … do konta. Odpowiedź tym samym … niczego nie potwierdza. Adresy wielu odbiorców wpisuję w polu ….

Ćwiczenie 4. Znalazłeś pendrive przy drzwiach jednostki. Ułóż kroki.Klikaj kolejno.

Oddaję do jednostki albo zgłaszam miejsce
Opisuję, gdzie i kiedy go znalazłem
Nie wkładam go do komputera
Nie wyrzucam go, bo to dowód

Ćwiczenie 5. Dzwoni „urzędnik” i prosi o kod z SMS-a. Napisz, co odpowiesz.

„Oddzwonię na numer z waszej strony.” — kod z SMS-a to klucz do konta, nie podajesz go nikomu.