Zagrożenia cyfrowe w mojej pracy
Zagrożenia cyfrowe są w straży codziennie. Oszuści wybierają straż, bo ma dostęp do rejestrów i działa pod presją czasu. Ten moduł uczy rozpoznawać oszustwo i reagować w pierwszej minucie.
2.1Kto i po co atakuje straż
Straż to dla oszusta bogaty cel. Ma dostęp do rejestrów, nagrań i danych o ludziach, a pracuje szybko i często pod presją. Oszuści chcą trzech rzeczy. Pierwsza to dane z rejestrów: właściciele pojazdów, adresy, dane zgłaszających. Druga to pieniądze: fałszywe mandaty, zmiana rachunku dostawcy. Trzecia to dostęp do systemu zdarzeń, który można zablokować dla okupu.
Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane lub pieniądze. Udaje Policję, sąd, prokuraturę, bank, kuriera albo przełożonego. Podszywanie się to udawanie kogoś zaufanego, by wyłudzić informację.
Oszust zawsze buduje pośpiech i autorytet: „sprawa pilna”, „to Policja”, „nie dzwoń do nikogo”. Dlaczego? Pośpiech odbiera ci czas na sprawdzenie, a autorytet odbiera odwagę. Dlatego pośpiech i zakaz sprawdzania uznajesz za sygnał ostrzegawczy.
2.2Fałszywy telefon „z komendy Policji”
Dzwoni ktoś, kto mówi, że jest z Policji, sądu albo prokuratury. Prosi o dane właściciela pojazdu z rejestru, o dane zgłaszającego albo o nagranie. To najczęstsze oszustwo wobec straży. Rysunek pokazuje, po czym je poznasz.
- 1Pilność bez pismaPrawdziwa instytucja pisze lub ma ustalony tryb współpracy. „Teraz, bo sprawa pilna” to nacisk.
- 2Dane z rejestru przez telefonDane osób podajesz tylko na podstawie pisma albo według zasad jednostki, nie na słowo.
- 3Zakaz oddzwonieniaPrawdziwy policjant da numer, pod który możesz oddzwonić. Oszust nie chce, żebyś sprawdził.
- 4Dane na prywatny adresDane z rejestru nie trafiają na prywatną pocztę ani komunikator. To kradzież danych.
- 5Numer spoza listy kontaktówNumer z rozmowy może należeć do oszusta. Znany numer bierzesz z listy jednostki.
Jak to zrobić: rozmowa z fałszywym „policjantem”
| Kanał | Co robisz | Gotowe zdanie |
|---|---|---|
| Telefon | 1. Nie podawaj żadnych danych, nawet częściowych. 2. Powiedz, że oddzwonisz na numer z listy kontaktów jednostki. 3. Rozłącz się i oddzwoń na ten znany numer. Zapytaj, czy ktoś prosił o dane. 4. Zgłoś próbę do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów z godziną i numerem, z którego dzwoniono. 5. Zapisz, o co prosił rozmówca. To ślad dla innych dyżurnych. | „Oddzwonię na numer z naszej listy kontaktów. Proszę o pismo w tej sprawie.” |
| Wiadomość (e-mail lub komunikator) | 1. Nie odpowiadaj z danymi na ten sam adres. 2. Nie klikaj linków i nie otwieraj załączników. 3. Zadzwoń na znany numer instytucji i zapytaj, czy wysłała wiadomość. 4. Przekaż wiadomość do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów bez usuwania. | „Wiadomość przekazuję do sprawdzenia. Odpowiedź otrzyma pan oficjalnym kanałem.” |
Gdy masz wątpliwość: rozłącz się i przekaż sprawę kierownikowi. Lepiej stracić minutę niż wydać dane obcej osobie.
Prawdziwa Policja nie obrazi się, że oddzwonisz na znany numer. Obrazi się tylko oszust.
2.3Fałszywe e-maile z „wezwaniem”
Wiadomość „z sądu”, „z prokuratury” albo „z komendy” z załącznikiem lub linkiem to częsta pułapka. Zobacz rysunek.
- 1Adres nadawcyDomena po znaku @ nie jest domeną urzędową. Prawdziwy sąd pisze z adresu, który znasz z poprzednich pism.
- 2Temat z pośpiechemSłowo „pilne” ma cię zmusić do działania bez sprawdzenia.
- 3Termin potwierdzeniaKrótki termin odbiera czas na sprawdzenie. Prawdziwe pismo daje czas na odpowiedź.
- 4Załącznik z podwójnym rozszerzeniemNazwa pliku wygląda jak dokument, ale kończy się jak program. Otwarcie uruchamia szkodnika.
- 5Link „zaloguj się, aby odebrać pismo”Strona wygląda jak urzędowa i wyłudza hasło. Pisma odbierasz kanałem urzędowym, nie linkiem z e-maila.
- 6Brak danych kontaktowychNie ma imienia, stanowiska ani telefonu do sekretariatu. Prawdziwe pismo ma sygnaturę i adres.
Jak to zrobić: e-mail z „wezwaniem” lub „pismem”
| Kanał | Co robisz | Gotowe zdanie |
|---|---|---|
| 1. Nie otwieraj załącznika i nie klikaj linku. 2. Sprawdź adres nadawcy. Zwróć uwagę na domenę po znaku @. 3. Zadzwoń do sekretariatu na numer ze znanego źródła i zapytaj, czy pismo zostało wysłane. 4. Przekaż wiadomość do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i niczego nie usuwaj. | „Wiadomość wygląda podejrzanie. Przekazuję ją do sprawdzenia i nie otwieram załącznika.” | |
| ePUAP i e-Doręczenia | 1. Pisma urzędowe odbierasz w skrzynce urzędowej, nie przez link w zwykłym e-mailu. 2. Jeśli „wezwanie” przyszło zwykłym e-mailem, traktuj je jak podejrzane. 3. Sprawdź w skrzynce urzędowej, czy jest pismo o tej sygnaturze. | „Sprawdzę pismo w skrzynce urzędowej. E-mail zgłaszam jako podejrzany.” |
Gdy masz wątpliwość: nie klikaj, nie otwieraj i zapytaj osobę wyznaczoną: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
- sprawdzasz adres nadawcy i nazwę pliku — bo oszust często zmienia jedną literę lub dodaje drugie rozszerzenie
- zgłaszasz podejrzaną wiadomość, nawet gdy jej nie otworzyłeś — bo inni dyżurni mogli dostać to samo
- nie otwierasz załącznika „dla pewności” — bo otwarcie wystarczy do zakażenia komputera
- nie usuwasz wiadomości przed zgłoszeniem — bo to dowód dla osoby, która ocenia sprawę
2.4Fałszywy SMS „mandat od straży”
Mieszkańcy dostają SMS-y „od straży” o niezapłaconym mandacie. Do ciebie dzwonią z pytaniem, czy to prawda. Rysunek pokazuje sygnały.
- 1Nieznany nadawcaWiadomość nie przychodzi z numeru straży. Oszust podszywa się pod markę.
- 2Groźba niezapłaconego mandatuStrach ma zachęcić do kliknięcia. Straż nakłada mandat na miejscu i wydaje kwit.
- 3Link do obcej stronyAdres nie należy do straży ani gminy. Kliknięcie otwiera fałszywą stronę płatności.
- 4PośpiechKrótki termin odbiera czas na sprawdzenie w jednostce.
- 5Prośba o dane kartyStraż nie prosi o dane karty w wiadomości.
Jak to zrobić: rozmowa z mieszkańcem po fałszywym SMS-ie
| Kanał | Co robisz | Gotowe zdanie |
|---|---|---|
| Dyżurka (okienko) | 1. Poproś, żeby mieszkaniec nie klikał linku. 2. Poproś o pokazanie SMS-a i zrób notatkę z numeru nadawcy i godziny. 3. Powiedz, że straż nie żąda zapłaty linkiem z SMS-a. 4. Jeśli kliknął i wpisał dane karty, powiedz, żeby zablokował kartę w banku. 5. Zgłoś sprawę do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | „Straż nie prosi o zapłatę linkiem z SMS-a. Proszę nie klikać. Jeśli wpisał pan dane karty, proszę zablokować ją w banku.” |
| Telefon | 1. Nie potwierdzaj, że wiadomość pochodzi ze straży. 2. Poproś o zachowanie SMS-a i zrzut ekranu. 3. Podaj prawdziwą drogę: pytania o mandat w dyżurce albo pod numerem z oficjalnej strony. 4. Zgłoś sprawę do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | „To nie jest nasza wiadomość. Prosimy jej nie otwierać i zachować numer nadawcy.” |
| 1. Odpowiedz ogólnie, bez linków. 2. Poproś o przesłanie podejrzanej wiadomości na adres wskazany przez bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | „Takie wiadomości przekazujemy do sprawdzenia. Prosimy ich nie otwierać.” |
Gdy masz wątpliwość: nie potwierdzaj ani nie zaprzeczaj od siebie. Powiedz, że sprawdzisz w jednostce, i przekaż kierownikowi. Zasady płatności za mandaty ustala jednostka.
2.5Prośba o pieniądze lub zmianę rachunku: drugi kanał
Dostawca sprzętu pisze: „Zmieniliśmy rachunek bankowy, proszę o przelew na nowy numer”. Wiadomość wygląda jak od niego, ale mogła przyjść od oszusta. Prośbę o pieniądze lub zmianę rachunku zawsze sprawdzasz drugim kanałem.
- Pierwszy kanał to droga, którą przyszła prośba: e-mail, SMS, telefon,
- Drugi kanał to inna droga sprawdzenia: telefon na numer z umowy lub z listy kontaktów.
Numer do sprawdzenia bierzesz z umowy lub z listy kontaktów, nigdy z wiadomości. Dlaczego? Oszust w wiadomości podaje własny numer i potwierdzi własne kłamstwo. Dopiero znany numer sprawdza prawdę.
Jak to zrobić: drugi kanał po prośbie o zmianę rachunku
| Kanał | Co robisz | Gotowe zdanie |
|---|---|---|
| Każdy kanał | 1. Rozłącz się albo nie odpisuj. 2. Znajdź numer w umowie lub na liście kontaktów jednostki. 3. Zadzwoń i zapytaj, czy ktoś prosił o zmianę rachunku. 4. Zgłoś próbę do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów, także gdy prośba była prawdziwa. Zmianę rachunku zatwierdza kierownik, nie ty. | „Dziękuję za wiadomość. Sprawdzę zmianę telefonicznie na numer z umowy.” |
Gdy masz wątpliwość: nie przelewaj, nie odpowiadaj i zapytaj kierownika lub księgowość.
2.6Telefon służbowy i hasło
Telefon służbowy to małe biuro w kieszeni. Ma kontakty, pocztę, zdjęcia z interwencji i aplikacje straży. Zgubiony telefon, który nie jest zablokowany, otwiera obcym wszystko, co w nim jest.
- blokujesz ekran kodem lub odciskiem palca i ustawiasz automatyczną blokadę — bo odblokowany telefon na ławce to otwarte biuro
- trzymasz w telefonie tylko aplikacje wskazane przez jednostkę — bo inne mogą kopiować dane
- robisz zdjęcia z interwencji tylko sprzętem służbowym i tylko w ramach czynności — bo zdjęcie na prywatnym telefonie zostaje poza kontrolą jednostki
- zgłaszasz zgubienie lub kradzież od razu — bo można zdalnie zablokować dostęp, gdy zgłoszenie jest szybkie
- nie podajesz kodu z SMS-a ani hasła nikomu, także „z pomocy technicznej” — bo prawdziwa pomoc techniczna go nie zna
- nie zapisujesz hasła na karteczce przy monitorze — bo każdy przechodzący je odczyta
- nie przesyłasz zdjęć, notatek ani numerów rejestracyjnych prywatnym komunikatorem — bo wychodzą poza system jednostki
- nie wklejasz notatek, danych osób ani nagrań do narzędzi sztucznej inteligencji — bo dane opuszczają jednostkę i nie wrócą
Gotowe zdanie przy prośbie o hasło
„Hasła nie podaję nikomu. Jeśli to sprawa służbowa, proszę o kontakt z działem IT na numer z karty.”
Gdy masz wątpliwość: hasło masz w głowie, nie na karteczce. Jeśli ktoś prosi o hasło lub kod, rozłącz się i zadzwoń do osoby z karty: informatyk lub pomoc techniczna jednostki.
Dlaczego konto imienne? Każdy loguje się swoim kontem. Dzięki temu kierownik widzi, kto i po co zajrzał do danych. Pożyczone hasło przenosi odpowiedzialność za cudze działania na ciebie.
2.7Okup w systemie zdarzeń
Ransomware (okup) to program, który szyfruje pliki i żąda zapłaty. W dyżurce może zablokować ewidencję zdarzeń i dostęp do rejestrów. Wiadomość z żądaniem pojawia się na ekranie.
| Krok | Co robisz | Dlaczego |
|---|---|---|
| 1. Zatrzymaj | Przestajesz klikać. Odłączasz kabel sieciowy, jeśli to możliwe. | Każde kliknięcie może rozszerzyć szkody. |
| 2. Nie wyłączaj ani nie usuwaj | Zostawiasz ekran z żądaniem i pliki. Nie płacisz. | To dowód dla osoby, która bada sprawę. |
| 3. Zgłoś | Dzwonisz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i informatyk lub pomoc techniczna jednostki. | Tylko tam zdecydują, co dalej. |
| 4. Pracuj awaryjnie | Zdarzenia zapisujesz w zeszycie awaryjnym według zasad jednostki. | Zgłoszenia od mieszkańców nie czekają. |
Okupu nie płacisz i niczego nie wyłączasz na własną rękę. Najważniejszy jest czas zgłoszenia.
2.8Nagrania w internecie, nośniki i sieć publiczna
Trzy sytuacje wracają w straży. Pierwsza to nagranie z kamery nasobnej w internecie: ktoś wrzuca fragment interwencji, a mieszkańcy komentują. Druga to nośnik USB znaleziony na parkingu lub dostarczony przez „petenta”. Trzecia to publiczna sieć Wi-Fi w kawiarni lub na rynku.
- zgłaszasz publikację nagrania z interwencji osobie wyznaczonej do kontaktu z mediami — bo to ona decyduje o reakcji
- zostawiasz znaleziony pendrive nietknięty i zgłaszasz do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów — bo może zawierać szkodnika
- łączysz telefon służbowy z siecią jednostki albo z mobilnym internetem jednostki — bo publiczne Wi-Fi nie chroni danych
- nie wkładasz obcego nośnika do komputera ani telefonu — bo wystarczy podłączenie, by zainfekować system
- nie logujesz się do systemów straży przez publiczne Wi-Fi — bo ktoś może podsłuchać połączenie
- nie komentujesz publikacji nagrania na swoim koncie — bo to narusza zasady służby i może zaszkodzić sprawie
Gotowe zdanie przy znalezionym nośniku
„Znalazłem pendrive. Nie podłączałem go. Przekazuję do sprawdzenia.”
Gdy masz wątpliwość: nie podłączaj, nie klikaj i zgłoś. Dlaczego? Jedno błędne kliknięcie może zablokować całą straż.
- Którą fałszywą wiadomość lub telefon spotkałeś w pracy?
- Jakiego sygnału ostrzegawczego nie zauważyłbyś wcześniej?