Zagrożenia cyfrowe w mojej pracy
Oszust nie musi włamywać się do systemu. Wystarczy, że klikniesz w link albo uwierzysz „pilnej prośbie”. Rzecznik pisze do firm i kancelarii, więc fałszywe wiadomości trafiają tu najczęściej.
2.1Kto i po co atakuje
Atakujący chcą pieniędzy, danych albo dostępu do systemu. Dane konsumentów w sporach o pieniądze i zdrowie można sprzedać albo wykorzystać do nacisku. Rzecznik jest dla oszustów ciekawy, bo ma dostęp do wielu spraw, pisze do firm i kancelarii, a jego adres jest publiczny. Oszust nie musi włamywać się do systemu. Wystarczy, że namówi ciebie.
Rysunek 4 pokazuje, jak zwykle przebiega atak. Zawsze ma pięć kroków, a ty stoisz w czwartym. To tu możesz go przerwać.
Oszust szuka pośpiechu, strachu i autorytetu. Gdy czujesz presję, zatrzymaj się. Pilność nie jest argumentem.
2.2Fałszywa wiadomość „od kancelarii” albo „od konsumenta”
Co to znaczy. Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane albo pieniądze. W pracy rzecznika najczęściej udaje kancelarię przedsiębiorcy z „projektem ugody”, konsumenta z „załącznikiem do sprawy” albo sąd.
| Sygnał | Przykład | Dlaczego to ostrzeżenie |
|---|---|---|
| Pośpiech i groźba | „Odpowiedz dziś do 15:00, inaczej sąd” | Oszust chce, żebyś nie zdążył pomyśleć. |
| Plik ZIP z hasłem w treści | „ugoda.zip, hasło: 2026” | Hasło w tej samej wiadomości omija skanowanie poczty. |
| Link do logowania | „zaloguj się na portalu kancelarii” | Strona zbiera hasła. |
| Zakaz rozmowy z konsumentem | „prosimy nie informować konsumenta” | Prawdziwa kancelaria nie ukrywa propozycji przed stroną. |
| Dziwny adres nadawcy | kancelaria-ugody.example.net | Adres nie pasuje do firmy ani do sprawy. |
Jak to zrobić
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| E-mail z załącznikiem lub linkiem | 1. Nie otwierasz pliku i nie klikasz. 2. Sprawdzasz nadawcę drugim kanałem: telefonem na numer ze sprawy albo ze znanego źródła. 3. Wiadomość zostawiasz i zgłaszasz pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Usunięta wiadomość nie ostrzeże innych i nie pomoże znaleźć sprawcy. |
| Wiadomość przez portal albo ePUAP | 1. Sprawdzasz, czy nadawca jest stroną lub pełnomocnikiem w sprawie. 2. Nie klikasz linków wewnątrz wiadomości. | Zła wiadomość w prawdziwym portalu nadal jest zła. |
| Wiadomość z prośbą „od przełożonego” | 1. Nie odpowiadasz. 2. Dzwonisz do przełożonego na numer, który znasz. | Nazwisko w polu „Od” da się podrobić. |
Link, plik i prośbę o dane sprawdzasz drugim kanałem, zanim cokolwiek zrobisz. Dlaczego: oszust kontroluje wiadomość, ale nie kontroluje twojego telefonu do znanej osoby.
2.3Drugi kanał: zmiana adresu, konta i hasła
Co to znaczy. Drugi kanał to inny sposób połączenia z osobą niż ten, którym przyszła prośba. Jeśli prośba przyszła e-mailem, sprawdzasz ją telefonem na znany numer albo osobiście. Rysunek 5 pokazuje zasadę.
Jak to zrobić
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Zmiana adresu do korespondencji konsumenta | 1. Nie zmieniasz od razu. 2. Dzwonisz na numer zapisany w sprawie albo prosisz o wizytę z dokumentem. 3. Dopiero po potwierdzeniu zmieniasz adres i zapisujesz, jak go potwierdzono. | Oszust zmienia adres, żeby przejąć pisma i dane. |
| Prośba o numer konta konsumenta lub zmianę rachunku zwrotu | 1. Nie podajesz i nie zmieniasz numeru na podstawie e-maila. 2. Potwierdzasz telefonem na numer ze sprawy. | Pieniądze wysłane na zły rachunek rzadko wracają. |
| Prośba o hasło lub kod „od informatyka” | 1. Nikomu nie podajesz hasła ani kodu. 2. Zgłaszasz próbę pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Prawdziwy informatyk nie pyta o hasło. |
2.4Telefon i SMS: podszycie
Rozmówca może udawać konsumenta, pełnomocnika, kancelarię, organ albo kuriera. Oszust zna numer sprawy, bo bywa on w korespondencji z przedsiębiorcą. Nie rozpoznasz oszusta po głosie ani po tym, że zna szczegóły.
Jak to zrobić
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Telefon | 1. Nie podajesz informacji o sprawach. 2. Mówisz: „Oddzwonię na numer zapisany w sprawie” albo prosisz o wizytę z dokumentem. 3. Zapisujesz godzinę i treść rozmowy, gdy coś budzi wątpliwość. | Numer podany przez rozmówcę prowadzi do oszusta. |
| SMS z linkiem | 1. Nie klikasz i nie odpisujesz. 2. Sprawdzasz przesyłkę lub opłatę w znanym źródle. 3. SMS zostawiasz i zgłaszasz. | Odpowiedź „STOP” potwierdza, że numer jest aktywny. |
2.5Pliki i nośniki od konsumentów
Konsumenci przynoszą dowody: pendrive ze zdjęciami wadliwego towaru, nagrania rozmów, skany umów. Takie pliki są potrzebne do sprawy, ale obcy nośnik może zawierać szkodliwy program.
Jak to zrobić
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Pendrive przyniesiony osobiście | 1. Nie wkładasz nośnika do komputera w sieci jednostki. 2. Prosisz konsumenta o przesłanie plików wskazanym kanałem albo oddajesz nośnik informatykowi, który sprawdzi go na wydzielonym stanowisku. 3. Dowody przyjmujesz, a nie odmawiasz ich przyjęcia. | Nośnik wsunięty „na chwilę” może zainfekować całą sieć. |
| Załącznik w e-mailu | 1. Sprawdzasz rozszerzenie pliku. 2. Pliki wykonywalne, archiwa z hasłem i makra otwierasz dopiero po rozmowie z informatykiem. | Plik „zdjecie.jpg.exe” to program, nie zdjęcie. |
2.6Hasła i sztuczna inteligencja
Hasło jest tylko twoje. Używasz długiego, osobnego hasła do poczty i do systemu spraw, a tam, gdzie jest druga forma potwierdzenia, korzystasz z niej. Publiczne narzędzia sztucznej inteligencji traktuj jak obcą osobę: to, co wkleisz, opuszcza jednostkę.
Jak to zrobić
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Hasło | 1. Tworzysz długie hasło z kilku słów. 2. Nie powtarzasz go w innych miejscach. 3. Nie zapisujesz go na kartce i nie podajesz nikomu. | Kto zna hasło, działa jako ty. |
| Pismo przygotowane z pomocą narzędzia AI | 1. Nie wklejasz opisu sprawy z imieniem, adresem, chorobą ani numerem umowy. 2. Prosisz o ogólny wzór pisma bez danych i uzupełniasz go sam. | Wklejone dane konsumenta zostają poza kontrolą jednostki. |
2.7Wysyłka do konsumentów i przedsiębiorców
Błędy przy wysyłce to jedno z najczęstszych źródeł naruszeń. Jedno kliknięcie wysyła cudze dane do niewłaściwej osoby.
Jak to zrobić
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| E-mail do jednego odbiorcy | 1. Sprawdzasz adres litera po literze, zanim klikniesz „Wyślij”. 2. Nie polegasz na podpowiedzi poczty. 3. Załącznik z danymi o zdrowiu zabezpieczasz hasłem, które podajesz drugim kanałem. | Podpowiedź poczty potrafi wstawić adres innej osoby o podobnym nazwisku. |
| E-mail do kilku konsumentów w tej samej sprawie | 1. Wpisujesz odbiorców w polu UDW (ukryta kopia) albo wysyłasz osobne wiadomości. 2. Nie używasz pola „Do” ani „DW” dla wielu osób. | W polu „Do” każdy odbiorca widzi adresy pozostałych, a także to, że są w tej samej sprawie. |
- sprawdzasz drugim kanałem każdą prośbę o dane, pieniądze lub zmianę adresu
- nie otwierasz obcych plików i nośników
- wysyłasz do wielu konsumentów w polu UDW
- nie klikasz linków z pism i wiadomości o ugodzie
- nie wklejasz spraw do publicznych narzędzi AI
- nie podajesz nikomu hasła
- Którą sztuczkę mogę spotkać najczęściej w mojej pracy?
- Komu opowiem o zasadzie drugiego kanału?