Zagrożenia cyfrowe w mojej pracy
Ten moduł pokazuje, jak oszuści docierają do obsługi klienta i rozliczeń. Dla każdego zagrożenia dowiesz się, co zrobić w 10 sekund.
2.1Kto atakuje zakład komunalny i po co
Atakujący chcą dwóch rzeczy: pieniędzy i informacji. Zakład ma jedno i drugie. Co miesiąc przez jego konta przechodzą tysiące wpłat. W bazie są adresy, telefony i salda wszystkich mieszkańców.
Bazę klientów można sprzedać albo użyć do oszustw „na wodociągi” i „na fakturę”. System rozliczeń można zablokować i żądać okupu. Zakład nie może długo przerwać pracy, bo ludzie muszą płacić rachunki i zgłaszać awarie. Dlatego jest atrakcyjnym celem.
Atakujący rzadko łamią zabezpieczenia. Zwykle proszą człowieka, by sam otworzył drzwi. Dlatego ty jesteś ważniejsza lub ważniejszy niż najlepszy program.
Rysunek 4 pokazuje, skąd zwykle przychodzi atak.
Prośba o dane, hasło, kod albo pieniądze to sygnał do sprawdzenia. Dlaczego? Bo atak zaczyna się od prośby, a nie od włamania.
2.2Fałszywe e-maile i faktury (phishing)
Phishing to wiadomość, która udaje kogoś zaufanego. Chce, żebyś kliknęła, otworzyła plik albo podała hasło.
Oszuści udają dostawcę systemu rozliczeń, gminę, bank, wykonawcę remontu, kuriera albo klienta. Podrabiają też faktury i strony płatności.
Zobacz rysunek 5. Na rysunku widać pięć z siedmiu sygnałów fałszywej wiadomości.
- 1Adres nadawcyDomena zawiera słowo „pilne”. Prawdziwy dostawca pisze z własnej domeny.
- 2Temat „PILNE”Pośpiech ma sprawić, że nie sprawdzisz wiadomości.
- 3Ogólne powitanie„Szanowny Kliencie” – dostawca, który cię zna, użyłby nazwy zakładu.
- 4Przycisk z obcym linkiemNapis na przycisku mówi jedno, adres pod nim drugie.
- 5Załącznik .zip „z fakturą”Archiwum bez zapowiedzi to typowy nośnik wirusa.
Siedem sygnałów fałszywej wiadomości
| Nr | Sygnał | Co robisz |
|---|---|---|
| 1 | Obcy adres nadawcy | Nazwa wygląda znajomo, ale adres jest inny. Sprawdzasz część po znaku @. |
| 2 | Pośpiech i presja | „Pilne”, „dziś”, „ostatni dzień” mają wyłączyć ostrożność. |
| 3 | Ogólne powitanie | „Szanowny Kliencie” zamiast nazwy zakładu lub twojego nazwiska. |
| 4 | Prośba o dane lub hasło | Prawdziwy serwis nie prosi o hasło w wiadomości. |
| 5 | Podejrzany link | Najedź kursorem i przeczytaj adres. Nie klikaj, jeśli jest obcy. |
| 6 | Nietypowy załącznik | Plik .exe, .zip lub „faktura” bez zapowiedzi może zawierać wirusa. |
| 7 | Zmiana numeru konta | Dostawca „zmienia rachunek”? Dzwonisz na numer z umowy, zanim zapłacisz. |
Nie klikasz, nie otwierasz, nie odpisujesz. Zgłaszasz. Dlaczego? Jedno kliknięcie może zablokować system rozliczeń całego zakładu.
Zgłoszenie przekazujesz pod: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Wiadomości nie usuwasz, bo informatyk potrzebuje śladu.
2.3Fałszywe SMS-y i telefony do mieszkańców
Oszuści wysyłają mieszkańcom SMS-y „od wodociągów” i „od zakładu odpadowego”. Wiedzą, że prawie każdy płaci rachunek za wodę. Mieszkańcy dzwonią potem do ciebie.
Zobacz rysunek 6. Tak wygląda SMS „niedopłata”, który ma wyłudzić pieniądze albo kod.
- 1Nieznany numerZakład nie pisze do klientów z prywatnego numeru komórkowego.
- 2Groźba i „DZIŚ”Straszenie odcięciem wody ma cię zdenerwować.
- 3Link do „płatności”Prowadzi na stronę oszustów, nie do e-BOK zakładu.
- 4Prośba o kod z SMS-aKod to klucz do konta. Nikomu go nie podajesz.
Jak to zrobić: rozmowa z mieszkańcem, który dostał podejrzany SMS
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Przez telefon | 1. Mówisz: „Proszę nie klikać i nie podawać kodu. Zakład nie odcina wody przez SMS”. 2. Pytasz, czy klient kliknął lub wpisał dane. Tak? Radzisz skontaktować się z bankiem. 3. Saldo sprawdzasz dopiero po ustaleniu, kim jest klient (moduł 1.4). 4. Zapisujesz numer, z którego przyszedł SMS, i godzinę rozmowy. | Nie każesz dzwonić pod numer z SMS-a. Nie przesyłasz linku do płatności „na skróty”. |
| Przy okienku | 1. Prosisz o pokazanie SMS-a na telefonie klienta. 2. Mówisz to samo co przez telefon. 3. Pokazujesz prawdziwy sposób płatności: kasa, przelew z faktury albo e-BOK po zalogowaniu. | Nie dotykasz telefonu klienta i nie klikasz w link. |
| Odpisujesz jedną wspólną wiadomością bez linków. Prosisz o przekazanie SMS-a do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów jako zrzut ekranu. | Nie odsyłasz salda na adres z wiadomości. | |
| Ostrzeżenie dla wszystkich | Zgłaszasz falę telefonów pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Prosisz o komunikat na stronie, w e-BOK i na infolinii: osoba prowadząca stronę i konta jednostki w mediach społecznościowych. | Jedna osoba nie ostrzeże kilku tysięcy klientów. |
— Dostałam SMS, że mam niedopłatę i odetną mi wodę. Mam kliknąć?
— Proszę nie klikać i nie podawać żadnego kodu. To oszustwo, zakład nie odcina wody przez SMS. Sprawdzę saldo po potwierdzeniu danych i podam prawdziwy sposób płatności.
Przy każdej podejrzanej prośbie stosujesz drugi kanał. Rysunek 7 pokazuje cztery kroki.
Prośba przez telefon? Rozłącz się i oddzwoń na numer, który znasz. Dlaczego? Numer dzwoniącego można podrobić. Numeru z umowy nie da się podrobić.
2.4Podszywanie się: gmina, prezes, dostawca, komornik
Oszust pisze lub dzwoni jako prezes, dyrektor, urzędnik gminy, windykator, komornik, informatyk albo bank. Prosi o pilny przelew, listę klientów, hasło albo zdalny dostęp do komputera.
- Prezes, który „jest na spotkaniu” i prosi o pilny zwrot nadpłaty na nowe konto.
- Wykonawca, który „zmienił rachunek” i prosi o zapłatę faktury na inny numer.
- Pracownik gminy, który chce „pełnej bazy odbiorców w arkuszu”.
- Informatyk, który prosi o hasło „do sprawdzenia”.
- Komornik, który telefonicznie żąda adresu dłużnika.
Prawdziwy przełożony nie obrazi się, że sprawdzasz. Dzwonisz na jego znany numer. Informatyk nigdy nie prosi o hasło. W razie wątpliwości dzwonisz: informatyk lub pomoc techniczna jednostki. Zmianę numeru konta zawsze potwierdzasz oddzwonieniem na numer z umowy, a przelew akceptuje druga osoba.
2.5Hasła, kod z SMS-a i konto klienta w e-BOK
- Używasz długiego hasła, np. zdania, które pamiętasz.
- Logujesz się wyłącznie na swoje konto.
- Blokujesz ekran, gdy odchodzisz od stanowiska.
- Nie zapisujesz hasła na karteczce przy monitorze.
- Nie logujesz się na koncie koleżanki.
- Nie podajesz kodu z SMS-a ani hasła nikomu.
Logowanie dwuetapowe to hasło plus kod z telefonu. Kod przekazany obcej osobie oddaje jej twoje konto. Gdy kod przychodzi bez logowania, ktoś próbuje wejść na twoje konto. Zgłaszasz to od razu.
Jak to zrobić: reset hasła i zmiana e-maila klienta w e-BOK
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Przez telefon | 1. Mówisz: „Haseł przez telefon nie podajemy ani nie ustawiamy”. 2. Wskazujesz przycisk „Nie pamiętam hasła” w e-BOK. System wyśle link na e-mail zapisany w koncie. 3. Klient nie ma już dostępu do tego e-maila? Zmiana jest możliwa tylko przy okienku, z dokumentem ze zdjęciem. | Adres nieruchomości i numer klienta zna wiele osób. To nie dowód tożsamości. |
| Przy okienku | 1. Ustalasz tożsamość klienta (moduł 1.4). 2. Porównujesz dane z umową. 3. Zmieniasz e-mail w koncie, a link do nowego hasła system wysyła na nowy adres. 4. Odnotowujesz zmianę w systemie. | Nie ustawiasz hasła za klienta i nie zapisujesz go na kartce. |
| Nie zmieniasz danych konta na podstawie wiadomości. Odpisujesz: zmiana jest możliwa po zalogowaniu albo przy okienku. | Adres nadawcy może być podrobiony. | |
| Osoba trzecia | Córka prosi o reset hasła matki? Dostaje tę samą instrukcję. Matka może założyć upoważnienie przy okienku. | Pokrewieństwo nie daje prawa do konta. |
Fałszywe strony e-BOK wyglądają jak prawdziwe. Klient wpisuje tam hasło, a oszust loguje się na jego konto. Dlatego do zakładu odsyłasz zawsze adresem, który klient zna z faktury, a nie linkiem z wiadomości.
2.6Załączniki, linki, kody QR i nośniki
Załącznik o nazwie „faktura_do_zaplaty.zip” albo „odczyt_licznika.exe” może zawierać wirusa. Otwierasz tylko pliki, których spodziewasz się od znanej osoby.
- Link: najedź kursorem i przeczytaj adres. Nie klikaj, jeśli adres jest obcy.
- Kod QR do płatności: oszust może nakleić fałszywy kod na ulotkę w poczekalni albo wydrukować go na „fakturze”. Skanujesz tylko kody z dokumentów, które sama wystawiłaś.
- Pendrive lub płyta od klienta (np. ze zdjęciami licznika): nie wkładasz do komputera w biurze. Przekazujesz do sprawdzenia: informatyk lub pomoc techniczna jednostki.
2.7Blokada danych dla okupu (ransomware)
Ransomware to program, który szyfruje pliki i żąda okupu za ich odblokowanie. Zwykle zaczyna się od jednego kliknięcia w załącznik.
Rysunek 8 pokazuje, co się dzieje, gdy zablokowany zostanie system rozliczeń. Wpłaty mieszkańców nie są księgowane. Nie wyślesz faktur. Nie sprawdzisz salda przy okienku. Awarie wodociągu trudniej zgłosić.
Gdy komputer żąda okupu albo działa dziwnie, nie wyłączasz go. Odłączasz sieć i dzwonisz: informatyk lub pomoc techniczna jednostki. Pracujesz dalej na papierze, według zasad zakładu: procedura zgłaszania incydentów.
2.8Komunikatory i prywatne telefony
Szybkie zdjęcie faktury i wysłanie jej koleżance komunikatorem wydaje się niewinne. Ale dane klienta trafiają wtedy na prywatny telefon i na serwery firmy, z którą zakład nie ma umowy.
- Dane klientów wysyłasz tylko pocztą służbową i w systemie.
- Zdjęcia dokumentów robisz aparatem służbowym, jeśli zakład to dopuszcza.
- Nie tworzysz grup z listami dłużników na prywatnym komunikatorze.
- Nie wysyłasz skanów faktur na prywatny e-mail „żeby dokończyć w domu”.
2.9Sztuczna inteligencja i podrobiony głos
Publiczne narzędzia AI zapamiętują to, co do nich wklejasz. Nie wklejasz do nich danych klientów, list dłużników ani treści pism. Gdy chcesz skrócić albo poprawić tekst, najpierw usuwasz wszystko, po czym można rozpoznać osobę: imię, adres, kwotę, numer klienta.
Oszuści potrafią też podrobić głos przełożonego. Telefon „od prezesa” z prośbą o przelew traktujesz tak samo jak e-mail: oddzwaniasz na znany numer. Głos nie jest dowodem.
2.10Praca poza biurem i publiczne Wi-Fi
Jeśli zakład pozwala na pracę zdalną, pracujesz na sprzęcie służbowym i według dokumentu polityka bezpieczeństwa informacji. Nie logujesz się do systemu przez otwarte Wi-Fi w kawiarni ani na dworcu. Dlaczego? Fałszywa sieć o nazwie „FREE” może podglądać wszystko, co wpisujesz.
Cztery rzeczy, które robisz w 10 sekund: patrzysz na adres, zatrzymujesz się przy pośpiechu, sprawdzasz drugim kanałem, zgłaszasz.
- Jaką fałszywą wiadomość lub telefon widziałam(-em) ostatnio w pracy?
- Co zrobię inaczej po tym module?