Moduł 2 · Zagrożenia cyfrowe w windykacji

Moduł 2 · ok. 45 min

Zagrożenia cyfrowe w windykacji

Oszuści wiedzą, że windykacja to pieniądze i emocje. Podszywają się pod komornika, kancelarię i samą spółkę. Ten moduł uczy, jak rozpoznać pułapkę i co zrobić zamiast kliknięcia.

2.1Dlaczego windykacja jest na celowniku

W windykacji masz listy osób z długami, ich numery i adresy. To cenne dane dla oszustów. Ludzie w sporze o pieniądze działają szybko i nerwowo. Oszust liczy właśnie na pośpiech.

Zagrożenie	Jak wygląda w windykacji	Co robisz
Fałszywy komornik, sąd, policja	E-mail „PILNE – zajęcie rachunków” z prośbą o dane dłużnika.	Nie klikasz. Nie odsyłasz danych. Zgłaszasz.
Podszycie pod kancelarię	Prośba o zmianę rachunku do wpłat albo o przesłanie akt.	Sprawdzasz drugim kanałem. Zgłaszasz.
Fałszywy „pełnomocnik dłużnika”	Żąda historii długu i nagrań, pełnomocnictwo „prześle później”.	Nic nie wysyłasz. Rejestrujesz i oddajesz kierownikowi.
Przejęcie wspólnej skrzynki	Hasło znają wszyscy. Ktoś obcy czyta korespondencję.	Dostęp imienny i logowanie dwuetapowe. Zgłaszasz.
SMS „spłać tu” w imieniu spółki	Dłużnik płaci oszustom i dzwoni do ciebie.	Sprawdzasz w systemie. Ostrzegasz. Zgłaszasz.
Eksport portfela na prywatny dysk	Lista dłużników trafia do prywatnej poczty „na weekend”.	Pracujesz w systemie spółki. Zgłaszasz pokusę.
„Serwis” prosi o zdalny dostęp	Telefon z prośbą o zainstalowanie programu.	Nie instalujesz. Oddzwaniasz na numer z umowy z serwisem.

Tabela 5. Siedem pułapek w pracy windykatora.

2.2Fałszywy komornik, sąd i policja w e-mailu

Zasada. E-mail „od komornika” nie jest podstawą do przekazania danych. Pismo organu sprawdzasz innym kanałem, zanim cokolwiek zrobisz.

Co to znaczy. Prawdziwe pismo organu ma sygnaturę sprawy, wskazuje podstawę i przychodzi znanym kanałem. Fałszywe jest pilne, krótkie i prosi o dane albo link. Szczegółową procedurę znajdziesz w module 6.

Sygnał	Dlaczego to ostrzeżenie
Nadawca z darmowej poczty lub dziwnej domeny	Organ pisze z domeny, którą możesz sprawdzić w oficjalnym wykazie.
Temat z pośpiechem: „dziś”, „natychmiast”	Pośpiech ma wyłączyć myślenie.
Brak sygnatury sprawy i nazwy kancelarii	Prawdziwe pismo da się zidentyfikować.
Prośba o dane dłużnika lub saldo e-mailem	Organ nie prosi o dane zwykłą pocztą.
Link do „akt sprawy” albo załącznik z archiwum	To najczęstszy nośnik wirusa.
Podpis bez imienia, bez adresu i telefonu	Oszust nie chce być znaleziony.

Tabela 6. Sześć sygnałów fałszywego pisma. Ćwiczysz je w symulacji 1.

Przykład

— Dzwoni kierownik: „Czy sprawdziłeś ten e-mail od komornika?”
— Tak. Nie kliknąłem linku i nie odpisałem. Wiadomość zgłosiłem pod numer incydentów.
— Dobrze. Jeśli sprawa jest prawdziwa, sprawdzę ją w wykazie komorników i oddzwonię na numer z wykazu.

2.3Podszycie pod kancelarię i „pełnomocnika dłużnika”

Zasada. Prośbę o zmianę rachunku, adresu lub o przesłanie dokumentów sprawdzasz drugim kanałem. Do tego czasu niczego nie zmieniasz i niczego nie wysyłasz.

Co to znaczy. „Drugi kanał” to inna droga niż ta, którą przyszła prośba. E-mail sprawdzasz telefonem na numer z umowy lub z systemu. Numeru z podpisu e-maila nie używasz, bo mógł go wpisać oszust.

Zobacz rysunek 4. Tak wygląda sprawdzenie prośby w czterech krokach.

Rysunek 4. Sprawdzanie prośby drugim kanałem. Dotyczy zmiany rachunku, adresu i każdej prośby o dane.

Kanał	Co robisz	Na co uważasz
E-mail	Nie odpisujesz z danymi. Dzwonisz na numer z umowy z kancelarią lub z systemu.	Adres „odpowiedz do” może być inny niż adres nadawcy.
Telefon	Mówisz: „Oddzwonię na numer, który mam w systemie.” Kończysz rozmowę.	Numer wyświetlony na telefonie można podrobić.
Pismo	Porównujesz z poprzednimi pismami. Zmiany rachunku nie przyjmujesz z samego pisma.	Nowy rachunek z nową pieczątką to sygnał ostrzegawczy.
Osoba trzecia	Prosisz o pełnomocnictwo i sprawdzasz zakres (moduł 5).	„Prześlę później” znaczy: teraz nie ma.

Tabela 7. Jak sprawdzić prośbę zależnie od kanału.

Dlaczego: Zmiana rachunku do wpłat to najczęstszy sposób przekierowania pieniędzy do oszustów. Jedno oddzwonienie zamyka tę drogę.

2.4Wspólna skrzynka windykacji, hasła i kody

W wielu spółkach windykacja ma wspólną skrzynkę e-mail. To wygodne i ryzykowne. Gdy hasło znają wszyscy, nie wiadomo, kto co przeczytał i kto je zdradził.

Robię

logujesz się własnym kontem, także do wspólnej skrzynki – ślad pokazuje, kto co zrobił
włączasz logowanie dwuetapowe – samo hasło nie wystarcza oszustowi
hasło ma kilka niepowiązanych słów i nie powtarza się w innych usługach – jedno wykradzione hasło nie otwiera reszty

Nie robię

nie podajesz kodu z SMS-a ani aplikacji nikomu, także „informatykowi” przez telefon – kod to klucz do konta
nie zapisujesz haseł na karteczce przy monitorze – karteczka jest widoczna dla każdego, kto wejdzie
nie przekazujesz wspólnego hasła kolejnej osobie „bo to tylko na chwilę” – kolejna osoba to kolejna możliwość wycieku

Jeśli skrzynkę obsługuje wspólne hasło, zgłaszasz to kierownikowi i pod numer informatyk lub pomoc techniczna jednostki. To luka w bezpieczeństwie, nie wasz zwyczaj.

2.5SMS „spłać tu” w imieniu spółki

Zasada. Wpłaty przyjmujesz tylko na rachunek z umowy lub z pisma spółki. Dłużnika, który dostał podejrzany SMS, ostrzegasz i zgłaszasz sprawę.

Oszuści wysyłają dłużnikom SMS-y podobne do wiadomości spółki. Zobacz rysunek 5.

Rysunek 5. Fałszywy SMS „spłać tu”: 1 – nieznany nadawca, 2 – groźba i pośpiech, 3 – obcy link, 4 – brak numeru sprawy i nazwy spółki.

Krok	Co mówisz dłużnikowi, który zadzwonił	Dlaczego
1	Sprawdzasz w systemie historię wiadomości. Mówisz: „Sprawdzam, czy wysłaliśmy taką wiadomość.”	Nie potwierdzasz SMS-a, którego spółka nie wysłała.
2	Jeśli nie ma śladu: „Nie mamy zapisu takiej wiadomości. Proszę nie klikać linku i nie płacić przez niego.”	Link prowadzi do oszustów.
3	Podajesz rachunek dopiero po ustaleniu, kim jest rozmówca (moduł 4).	Rachunek podaje się osobie uprawnionej.
4	Zachęcasz do kontaktu z bankiem i policją, jeśli już zapłacił.	Bank może jeszcze zatrzymać przelew.
5	Zgłaszasz wiadomość pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Zapisujesz, co dłużnik opisał.	Spółka ostrzeże innych dłużników i zbierze dowody.

Tabela 8. Rozmowa z dłużnikiem po fałszywym SMS-ie.

2.6Prywatny dysk, pendrive, zdalny „serwis” i czat AI

Robię

dane dłużników trzymasz w systemie i na sprzęcie spółki – tam działają kopie zapasowe i kontrola dostępu
obcy pendrive oddajesz kierownikowi lub informatykowi – pendrive od dłużnika może zawierać wirusa
gdy „serwis systemu” dzwoni sam, kończysz rozmowę i oddzwaniasz na numer z umowy z serwisem – oszust podaje się za serwis

Nie robię

nie wysyłasz listy dłużników na prywatny e-mail „na weekend” – prywatna skrzynka jest poza kontrolą spółki
nie instalujesz programu do zdalnej pomocy na prośbę z telefonu – przez taki program oszust przejmie komputer
nie wklejasz danych dłużników do publicznego czatu AI – dane trafiają na obce serwery i nie wrócą

2.7Telefon: znany głos i „prezes”

Głos w telefonie można podrobić. Dzwoni „prezes” albo „kierownik” i prosi o pilne przesłanie listy dłużników. Zwykle w tle są szum i pośpiech. Nie wysyłasz, tylko oddzwaniasz na numer z książki spółki. Pytasz kierownika osobiście.

2.8Okup i dziwne działanie komputera

Komputer pokazuje żądanie okupu, pliki mają dziwne rozszerzenia albo program działa sam. Odłączasz sieć (kabel lub Wi-Fi), nie wyłączasz komputera, nie płacisz i zgłaszasz od razu pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Dlaczego? Odłączenie zatrzymuje rozprzestrzenianie się wirusa na inne komputery spółki.

Zapamiętaj

Pośpiech, groźba i prośba o dane to trzy znaki, że coś jest nie tak. Przy wątpliwości nie klikasz, nie odpisujesz, nie usuwasz. Zgłaszasz.

Moje notatki z tematu · moduł 2

Którą z tych pułapek mogłem(am) już kiedyś zobaczyć w pracy?
Pod jaki numer zgłoszę podejrzaną wiadomość?

Krok 2 · Zrozum

Siedem pułapek cyfrowych w windykacji

Oszuści wiedzą, że windykacja to pieniądze i emocje. Tutaj poznasz sygnały pułapek i zobaczysz, jak zareagować. Wszystko, o co zapyta quiz, jest wyjaśnione poniżej.

ASiedem pułapek w jednym miejscu

Pułapka	Jak wygląda	Co robisz
Fałszywy komornik, sąd	E-mail „PILNE – zajęcie” z prośbą o dane dłużników.	Nie klikasz, nie odsyłasz danych, zgłaszasz.
Podszycie pod kancelarię	Prośba o zmianę rachunku lub przesłanie akt.	Sprawdzasz drugim kanałem.
Fałszywy „pełnomocnik”	Żąda historii długu, pełnomocnictwo „prześle później”.	Nic nie wysyłasz, rejestrujesz.
Przejęcie wspólnej skrzynki	Hasło znają wszyscy.	Dostęp imienny i logowanie dwuetapowe.
SMS „spłać tu”	Dłużnik płaci oszustom.	Sprawdzasz w systemie, ostrzegasz, zgłaszasz.
Eksport portfela na prywatny dysk	Lista dłużników na prywatnej poczcie „na weekend”.	Pracujesz w systemie spółki.
„Serwis” prosi o zdalny dostęp	Telefon z prośbą o instalację programu.	Oddzwaniasz na numer z umowy.

Robisz

pracujesz w systemie spółki — tam działają kopie zapasowe i kontrola dostępu
zgłaszasz pokusę wysłania danych „na weekend” przełożonemu — on zna dopuszczalne rozwiązania

Nie robisz

nie wysyłasz listy dłużników na prywatną pocztę — poza systemem spółki nie ma kontroli nad kopiami
nie zabierasz wydruków do domu bez zgody — papier ginie tak samo jak plik

Dlaczego

Poza systemem spółki dane nie mają kopii zapasowej ani śladu. Prywatna poczta może zostać przejęta bez twojej wiedzy.

BFałszywy komornik, sąd i policja w e-mailu

Prawdziwe pismo organu ma sygnaturę, podstawę i kontakt, który da się sprawdzić w oficjalnym wykazie. Fałszywe jest pilne, krótkie i prosi o dane albo link.

Sygnał	Dlaczego to ostrzeżenie
Nadawca z darmowej poczty lub dziwnej domeny	Organ pisze z domeny, którą można sprawdzić.
Temat z pośpiechem: „dziś”, „natychmiast”	Pośpiech ma wyłączyć myślenie.
Brak sygnatury sprawy i nazwy kancelarii	Prawdziwe pismo da się zidentyfikować.
Link „do akt” lub załącznik	Może zainstalować szkodnika albo wyłudzić hasło.
Prośba o dane dłużników	Organ nie prosi o dane takim e-mailem.

Jak to zrobić krok po kroku: wiadomość „od komornika”

Nie klikasz i nie otwierasz załącznika.
Nie odpowiadasz na adres z wiadomości.
Zgłaszasz wiadomość pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Zostawiasz ją w skrzynce jako dowód.
Jeśli sprawa wygląda prawdziwie, kierownik sprawdza organ drugim kanałem, na numer z oficjalnego wykazu.

Dlaczego

Ktoś, kto pisze z prośbą o dane, nie czeka na twoją odpowiedź. Spokojne sprawdzenie nic nie kosztuje, a pośpiech kosztuje cudze dane.

CZmiana rachunku, adresu lub danych: zawsze drugi kanał

Zmiana rachunku do wpłat to najczęstszy sposób przekierowania pieniędzy do oszustów. Prośbę o zmianę zawsze sprawdzasz drugim kanałem: telefonem na numer z systemu, a nie odpowiedzią na ten sam e-mail.

Robisz

prośbę o zmianę rachunku sprawdzam telefonem na numer z systemu — numer z systemu nie pochodzi od oszusta
zapisuję, kto, kiedy i jak potwierdził zmianę — ślad chroni mnie i spółkę

Nie robisz

nie odpowiadam na ten sam e-mail z pytaniem „czy to na pewno wy?” — odpowiedź trafi do tego samego nadawcy
nie zmieniam rachunku „na próbę” — pieniądze raz wysłane do oszusta nie wracają

Jak to zrobić krok po kroku: prośba o nowy rachunek

Nie zmieniasz nic w systemie.
Oddzwaniasz na numer z systemu lub z umowy.
Pytasz: „Czy to Wy prosiliście o zmianę rachunku?”.
Dopiero po potwierdzeniu przekazujesz zmianę kierownikowi.

DSMS „spłać tu” i wspólna skrzynka

Oszuści wysyłają SMS-y w imieniu spółki, np. od „SPLATA-PILNA”, z linkiem do płatności. Dłużnik płaci oszustom, a potem dzwoni do ciebie. Sprawdzasz w systemie, czy spółka taki SMS wysłała. Jeśli nie, ostrzegasz dłużnika i zgłaszasz jako incydent.

Sygnał w SMS-ie	Dlaczego to ostrzeżenie
Nadawca bez nazwy spółki	Spółka podpisuje wiadomości swoją nazwą.
Link do płatności z nieznanej domeny	Link prowadzi na stronę oszusta.
Groźba sądu „dziś”	Pośpiech ma wyłączyć myślenie.

Wspólna skrzynka. Jedno hasło znane całemu zespołowi nie zostawia śladu, kto co zrobił. Po odejściu osoby każdy, kto je znał, nadal ma dostęp.

Robisz

logujesz się własnym kontem, także do wspólnej skrzynki — ślad pokazuje, kto co zrobił
włączasz logowanie dwuetapowe — samo hasło nie wystarcza przy wycieku

Nie robisz

nie używasz wspólnego hasła — po odejściu osoby nikt nie zmienia hasła
nie klikasz linku w SMS-ie od nieznanego nadawcy — link może wyłudzić hasło

Dlaczego

Link w SMS-ie uczy dłużników klikania w linki. Oszuści wykorzystują ten nawyk. Spółka powinna dawać dłużnikowi bezpieczne sposoby sprawdzenia kwoty, a nie linki.

EPendrive, zdalny dostęp, czat z AI i okup

Pendrive. Nośnik znaleziony na parkingu lub dostany od „klienta” może zainfekować komputer. Nie wkładasz go do komputera, oddajesz kierownikowi.

Zdalny dostęp. Prawdziwy serwis nie obrazi się, gdy oddzwonisz na numer z umowy. Nie instalujesz programu na prośbę rozmówcy.

Czat z AI. Do publicznego czatu nie wklejasz danych dłużników, treści umów ani numerów. Jest to wyniesienie danych poza spółkę.

Okup. Ekran z żądaniem okupu to znak ransomware. Odłączasz komputer od sieci, niczego nie wyłączasz ani nie płacisz, i zgłaszasz.

Jak to zrobić krok po kroku: żądanie okupu na ekranie

Odłącz komputer od sieci (kabel lub Wi-Fi).
Nie wyłączaj i nie usuwaj plików.
Nie płać. Nie ma gwarancji odzyskania danych.
Zgłoś od razu pod numer: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Czekaj na polecenia administratora.

Dlaczego

Odłączenie od sieci ogranicza szkody. Nieusunięty napis to dowód dla administratora.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Co robisz z tą wiadomością?

E-mail „PILNE – zajęcie rachunków, prześlij dane”

Prośba kancelarii o zmianę rachunku do wpłat

Na ekranie żądanie okupu za pliki

Dłużnik pyta, do której czynne jest biuro

Ćwiczenie 2. Dzwoni „serwis” i prosi o zainstalowanie programu do zdalnej pomocy. Co robisz?

Instaluję, bo serwis zna nazwę naszego systemu.

Nie instaluję. Oddzwaniam na numer serwisu z umowy.

Podaję hasło, żeby serwis sam zainstalował.

Ćwiczenie 3. Kliknij w tekście wszystko, co wskazuje na oszustwo.

Od: SPLATA-PILNA. „Pilne: twoje zadłużenie trafi do sądu. Zapłać dziś pod adresem http://szybka-splata-dzis.example/x7. Dziękujemy, Dział Rozliczeń.”

Ćwiczenie 4. Napisz, co powiesz, gdy ktoś prosi o zmianę rachunku do wpłat e-mailem.

„Oddzwonię na numer z systemu i sprawdzę zmianę.” Odpowiedź na ten sam e-mail trafiłaby do tego samego nadawcy.

Ćwiczenie 5. Uzupełnij zasady.Wpisz jedno słowo w każdą lukę.

Hasło do wspólnej skrzynki znają wszyscy, więc nie ma śladu, kto co …. Ekran z żądaniem okupu zgłaszam, a komputer … od sieci i nie … okupu.