Zagrożenia cyfrowe w obsłudze pożyczek
Zagrożenia cyfrowe to większość problemów, które przychodzą do spółki pożyczkowej. Nie musisz być informatykiem. Atakujący liczy na twój pośpiech.
2.1Kto atakuje spółkę pożyczkową i po co
Spółka pożyczkowa ma dwa łakome towary: pieniądze i dane. Tabela 5 pokazuje, kto i po co.
| Kto | Czego szuka | Jak to wygląda u ciebie |
|---|---|---|
| Wyłudzacz pożyczki | cudzych danych do wniosku | Wniosek na cudze nazwisko z podrobionym dokumentem. |
| Oszust od przelewów | zmiany rachunku do wypłaty | „Klient” prosi o wypłatę na nowy rachunek. |
| Podszywacz | haseł do systemu i do raportów | E-mail „z BIK”, z organu nadzoru, od dostawcy systemu. |
| Przestępca z okupem | pieniędzy za odblokowanie danych | Załącznik w „fakturze” szyfruje komputery. |
| Ciekawski lub zawiedziony | informacji o znajomych, rodzinie | Pracownik zagląda do cudzych umów albo odchodzi z bazą. |
Oszust nie musi włamać się do systemu. Wystarczy, że ty mu otworzysz drzwi.
2.2Fałszywe e-maile (phishing)
Fałszywa wiadomość udaje kogoś, komu ufasz: biuro informacji kredytowej, organ nadzoru, dostawcę systemu, kuriera, klienta, prezesa. Najczęściej zdradza ją pośpiech. Presja ma sprawić, że nie sprawdzisz.
Jak to zrobić: sprawdzenie e-maila przed kliknięciem
| Krok | Co robisz | Dlaczego |
|---|---|---|
| 1 | Patrzysz na adres nadawcy, nie na nazwę. Sprawdzasz część po znaku @. | Nazwę nadawcy może wpisać każdy. |
| 2 | Najeżdżasz kursorem na link, nie klikając. Czytasz adres w rogu okna. | Napis na przycisku może wskazywać inny adres. |
| 3 | Oglądasz załącznik: .zip, .exe, „faktura”, której się nie spodziewasz. | To typowy nośnik wirusa. |
| 4 | Szukasz prośby o hasło, kod albo logowanie. Taka prośba wystarczy, by uznać e-mail za podejrzany. | Prawdziwa instytucja nie prosi o hasło w wiadomości. |
| 5 | Masz wątpliwość? Nie klikasz. Zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Informatyk sprawdzi wiadomość i ostrzeże innych. |
Zobacz rysunek 4. To wiadomość „z biura informacji kredytowej”. Znajdź sześć sygnałów, że jest podrobiona.
- 1Adres nadawcyDomena po znaku @ nie należy do biura. Prawdziwy nadawca pisze z własnej domeny.
- 2Temat z pośpiechemHasło „wygaśnie” ma cię zmusić do działania bez namysłu.
- 3Ogólne powitanie„Szanowny użytkowniku” zamiast nazwy spółki i osoby.
- 4Prośba o login i hasło pod linkiemŻaden serwis nie prosi o hasło w wiadomości.
- 5Groźba utraty dostępuStrach ma wyłączyć sprawdzanie.
- 6Podpis bez osoby i telefonuBrak imienia, nazwiska i numeru. Oszust nie chce być znaleziony.
2.3Podmiana numeru rachunku
W pożyczkach liczy się rachunek, na który wypłacasz pieniądze. Wypłata na rachunek oszusta jest nie do cofnięcia. Oszust prosi o „zmianę rachunku” w e-mailu, SMS-ie, na czacie albo przez telefon.
Zasada: pożyczkę wypłacasz tylko na rachunek, którego właścicielem jest klient z umowy. Zmianę rachunku przyjmujesz tylko od klienta, którego tożsamość ustalono osobiście lub oddzwonieniem na numer z umowy.
Jak to zrobić: prośba o zmianę rachunku do wypłaty
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Osobiście | Klient pokazuje dokument. Wpisuje numer sam. Sprawdzasz, czy właścicielem rachunku jest klient. | Rachunek w innym nazwisku to sygnał. Wstrzymujesz wypłatę i pytasz kierownika. |
| E-mail lub SMS | Nie zmieniasz rachunku z samej wiadomości. Oddzwaniasz na numer z umowy i prosisz o zmianę osobiście lub w systemie klienta. | Adres w „Od:” mógł być podrobiony. Prośba „bardzo pilna” to ostrzeżenie. |
| Telefon | Kończysz rozmowę i oddzwaniasz na numer z umowy. Zmianę wpisujesz dopiero po potwierdzeniu. | Numer na ekranie można podrobić. |
| Osoba trzecia | Bez pełnomocnictwa z zakresem „zmiana rachunku” nie przyjmujesz. | Pełnomocnik „do odbioru” to nie pełnomocnik „do zmiany rachunku”. |
2.4Fałszywe telefony i SMS-y
Oszust dzwoni jako „klient”, „bank”, „policja”, „komornik”, „kancelaria” albo „pracodawca”. Prosi o salda, dane klientów lub kody. W SMS-ie przysyła link: „potwierdź, bo pożyczka przepadnie”.
- Prosisz o pismo albo o numer, pod który oddzwonisz. Oddzwaniasz na numer z oficjalnej strony, nie z rozmowy.
- Kodu z SMS-a nie podajesz nikomu. Kod jest tylko dla ciebie.
- Nie klikasz linków z SMS-ów od nieznanych numerów.
- Podejrzany SMS zgłaszasz. Nie usuwasz go, bo to ślad dla informatyka.
2.5Pożyczka na cudze dane
Wyłudzenie pożyczki na cudze dane zaczyna się od kradzieży danych. Oszust ma dowód, PESEL i adres. Prosi o szybką pożyczkę i szybką wypłatę. Skutek ponosi ofiara: dostaje wezwanie do zapłaty długu, którego nie zaciągała.
- 1Pośpiech„Pieniądze muszą być dziś.” Oszust nie ma czasu na sprawdzanie.
- 2Zdjęcie niezgodne z twarząPorównujesz zdjęcie na dokumencie z osobą. Różnice zgłaszasz kierownikowi.
- 3Świeży rachunek lub inny właściciel rachunkuRachunek niedawno założony albo w innym nazwisku.
- 4Inny adres, telefon, e-mail niż zwykleDane kontaktowe nowe, a pożyczka duża.
- 5Klient unika rozmowy w biurzeProsi, by załatwić wszystko przez przedstawiciela albo pocztę.
Gdy jest wątpliwość, wstrzymujesz sprawę w systemie i pytasz kierownika. Nie oskarżasz klienta. Mówisz: „Muszę to jeszcze sprawdzić”. Szczegóły kroków: moduł 4, rejestr zastrzeżeń PESEL.
2.6Hasła i logowanie dwuetapowe
- Hasło jest długie, np. kilka słów, i tylko twoje. Dlaczego? Krótkie hasło złamie program w kilka minut.
- Hasła do systemu pożyczek nie używasz nigdzie indziej. Dlaczego? Wyciek z jednego serwisu otwiera pozostałe.
- Logowanie dwuetapowe = hasło plus drugi składnik, np. kod z aplikacji. Dlaczego? Samo hasło atakujący może zdobyć.
- Nie zapisujesz haseł na karteczkach przyklejonych do monitora.
- Nie podajesz hasła ani kodu nikomu: koleżance, kierownikowi, „serwisowi”.
2.7Załączniki, linki, kody QR i pendrive’y
Otwierasz tylko załączniki, których się spodziewasz, od nadawcy, którego znasz. Faktury i „skany” z nieznanych adresów zgłaszasz. Kod QR z ulotki lub naklejki może prowadzić do fałszywej strony. Pendrive od klienta lub „znaleziony” na parkingu może zawierać wirusa.
Jak to zrobić: klient przynosi pendrive lub płytę z dokumentami
| Krok | Co robisz |
|---|---|
| 1 | Nie wkładasz nośnika do komputera. |
| 2 | Uprzejmie wyjaśniasz: „Ze względów bezpieczeństwa nie otwieramy nośników. Proszę wysłać dokumenty przez portal albo zostawić papier”. |
| 3 | Nośnik, który został, oddajesz do pomocy IT: informatyk lub pomoc techniczna jednostki. |
2.8Blokada danych dla okupu i „serwis” przez zdalny dostęp
Ransomware to program, który szyfruje dane i żąda okupu. Zwykle wchodzi przez załącznik lub link. Zablokowany system oznacza, że nie obsłużysz klientów i nie rozliczysz wpłat.
- Odłączasz kabel sieciowy albo wyłączasz Wi-Fi.
- Zostawiasz komputer włączony.
- Dzwonisz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
- Robisz zdjęcie ekranu z żądaniem.
- Nie wyłączasz komputera. Pamięć zawiera ślady.
- Nie płacisz okupu.
- Nie piszesz do sprawców.
- Nie uruchamiasz „własnych” programów naprawczych.
Podobnie jest ze zdalnym dostępem. Dzwoni „serwis systemu” i mówi: „Proszę zainstalować program, naprawimy błąd”. Zdalny dostęp daje pełną kontrolę nad komputerem. Nie instalujesz niczego na prośbę telefoniczną. Pytasz pomoc IT pod znanym numerem: informatyk lub pomoc techniczna jednostki.
2.9Telefon, komunikatory i zdjęcia dokumentów
Najłatwiej o błąd na telefonie. Zdjęcie umowy wysłane na błędny numer, dokument w galerii zsynchronizowanej z prywatną chmurą, rozmowa o kliencie w grupie rodzinnej. Zdjęcie wysłane raz nie wraca.
- Dokumenty wysyłasz służbowym kanałem na adres z umowy.
- Plik zabezpieczasz hasłem. Hasło podajesz drugim kanałem, np. SMS-em na numer z umowy.
- Zdjęcia dokumentów robisz tylko służbowym urządzeniem.
- Pomyłkę w adresie zgłaszasz od razu.
- Nie wysyłasz umów MMS-em ani prywatnym komunikatorem.
- Nie wpisujesz numeru telefonu z pamięci.
- Nie przechowujesz zdjęć dokumentów w prywatnej galerii.
- Nie usuwasz wiadomości z błędnym adresatem. To dowód.
2.10Sztuczna inteligencja i podrobiony głos
Publiczne narzędzia AI zapamiętują to, co wpiszesz. Dane klienta wklejone do czatu opuszczają spółkę i nie wrócą. Nie wklejasz do nich nazwisk, PESEL-i, kwot ani treści umów. Możesz prosić o pomoc w napisaniu ogólnego pisma bez danych klienta.
Oszust potrafi też podrobić głos znajomej osoby, np. „prezesa”, i prosić o przelew lub dane. Gdy ktoś prosi o pieniądze lub dane, a ty rozpoznajesz głos, kończysz rozmowę i oddzwaniasz na numer znany z firmy.
15 fiszek do powtórki
Zakryj odpowiedź i spróbuj powiedzieć ją na głos. Na platformie odwracasz karty kliknięciem.
- Który e-mail lub SMS w ostatnich tygodniach wyglądał podejrzanie?
- Jaki kod lub hasło ktoś u mnie w pracy znał, choć nie powinien?