Zagrożenia cyfrowe w mojej pracy
Muzeum ma zbiory, pieniądze z biletów i dane darczyńców. To dobry cel dla oszustów. Rozpoznasz fałszywy e-mail, telefon, SMS i zbiórkę i będziesz wiedzieć, co zrobić w pierwszej minucie.
2.1Kto i po co atakuje muzeum
Oszust nie musi znać się na muzealnictwie. Wystarczy mu nazwa muzeum, nazwisko darczyńcy i pośpiech. Atakuje przez telefon, e-mail, SMS, fałszywą stronę, kod QR i pendrive.
| Cel oszusta | Jak działa | Sygnał ostrzegawczy |
|---|---|---|
| Pieniądze | podmienia rachunek darczyńcy, dostawcy albo przewoźnika | prośba o zmianę rachunku, pilny termin |
| Informacje o zbiorach | wypytuje o trasę, termin transportu, układ magazynu | pytania, które nie są potrzebne do jego zadania |
| Dostęp do systemu | wyłudza hasło, kod z SMS-a, instaluje szkodnika | link do logowania, załącznik z podwójnym rozszerzeniem |
| Okup | szyfruje system ewidencji i żąda zapłaty | ekran z żądaniem, pliki o dziwnych nazwach |
| Wizerunek i zaufanie | zakłada zbiórkę pod logo muzeum | inne konto, link do płatności, brak decyzji dyrekcji |
Pośpiech, pewność siebie i powoływanie się na znane osoby to metody oszusta. Dlaczego? Szybka decyzja nie zostawia czasu na sprawdzenie, a właśnie sprawdzenie chroni muzeum.
2.2E-mail „od muzeum partnerskiego”: zmiana danych transportu
Muzea wypożyczają sobie obiekty. Oszust zna ten zwyczaj. Pisze jako „muzeum partnerskie” i prosi o zmianę przewoźnika, terminu albo miejsca odbioru. Chce wiedzieć, kiedy obiekt będzie bez ochrony, albo wyłudzić pieniądze na „nowe ubezpieczenie”.
- 1. Adres nadawcy różni się od adresu z umowy o jedną literę lub domenę.
- 2. Pośpiech: odpowiedź „dziś”.
- 3. Zmiana przewoźnika i terminu bez pisma od dyrekcji partnera.
- 4. Nowy rachunek na „dodatkowe ubezpieczenie”.
- 5. Zakaz kontaktu telefonicznego i prośba o poufność.
- 6. Link do „formularza” z logowaniem.
Jak to zrobić: e-mail z prośbą o zmianę danych transportu
| Kanał | Co robisz | Gotowe zdanie |
|---|---|---|
| 1. Nie otwieraj linków i załączników. 2. Porównaj adres nadawcy z adresem w umowie wypożyczenia. 3. Zadzwoń do osoby kontaktowej na numer z umowy i zapytaj, czy wysłała tę wiadomość. 4. Zmiany transportu przyjmuj tylko na piśmie od osób wskazanych w umowie. 5. Wiadomość zostaw w skrzynce i zgłoś ją do: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | „Zmianę transportu potwierdzam telefonicznie, na numer z umowy. Do tego czasu nic nie zmieniamy.” | |
| Telefon | 1. Nie podawaj terminu ani trasy rozmówcy, którego nie znasz. 2. Zapytaj o imię i muzeum, ale pamiętaj, że oszust poda wszystko. 3. Powiedz, że oddzwonisz na numer z umowy. 4. Zapisz rozmowę i przekaż kierownikowi. | „Oddzwonię na numer z umowy wypożyczenia. Terminu transportu przez telefon nie podaję.” |
| Pismo | 1. Zarejestruj pismo i sprawdź, czy jest podpisane przez osobę z umowy. 2. Zadzwoń do instytucji na znany numer. 3. Zmiany wprowadź dopiero po potwierdzeniu kierownika. | „Pismo przyjęliśmy. Zmianę wprowadzimy po potwierdzeniu telefonicznym.” |
| Osoba trzecia (kurier, „przewoźnik” w sali) | 1. Nie wydawaj obiektu osobie, której nie ma w protokole. 2. Poproś o dokument i porównaj z protokołem zdawczo-odbiorczym. 3. Zadzwoń do kierownika, zanim cokolwiek wydasz. 4. Zapisz, kto przyjechał i jakim samochodem. | „Nie ma pana w protokole. Poproszę o potwierdzenie od kierownika.” |
Gdy masz wątpliwość: niczego nie zmieniaj w transporcie. Zadzwoń do kierownika albo do osoby z umowy na znany numer. Dlaczego? Zmiana terminu o jeden dzień wystarczy, by obiekt został bez należytej ochrony.
Zmianę przewoźnika, terminu, miejsca odbioru albo rachunku sprawdzasz zawsze drugim kanałem: telefonem na numer z umowy.
2.3Podszywanie się pod darczyńcę, deponenta i przewoźnika
Oszust może podać się za darczyńcę (zmiana adresu, rachunku, prośba o kopię umowy), za deponenta (prośba o zwrot obiektu), za ubezpieczyciela lub za przewoźnika (zmiana terminu). Zna nazwę obiektu z wystawy albo z katalogu, więc brzmi wiarygodnie.
| Podaje się za | Czego chce | Co robisz |
|---|---|---|
| Darczyńcę lub sprzedającego | zmiany adresu lub rachunku, kopii umowy | Sprawdzasz drugim kanałem. Kopii nie wysyłasz. |
| Deponenta | zwrotu obiektu poza protokołem | Wydajesz tylko według protokołu i za zgodą kierownika. |
| Ubezpieczyciela | listy obiektów z wartościami | Dane przekazuje osoba wyznaczona, na podstawie umowy. |
| Policję lub sąd | danych „przez telefon, bo to pilne” | Prosisz o pismo albo oddzwaniasz na numer z listy. |
| Przełożonego | pilnego przelewu lub hasła | Sprawdzasz u przełożonego osobiście lub na numer z listy. |
- sprawdzasz prośbę drugim kanałem: telefonem na numer z umowy — bo oszust nie odbierze pod prawdziwym numerem
- informujesz kolegów, gdy do kogoś w muzeum zadzwoniła podejrzana osoba — bo ta sama próba trafi do innych
- przy nieznanym rozmówcy podajesz tylko informacje, które są publiczne — bo reszta może posłużyć do kradzieży
- nie wysyłasz kopii umowy ani listy obiektów na prośbę nieznanej osoby — bo to gotowy materiał do oszustwa
- nie podajesz numeru, który podał rozmówca, jako „potwierdzenia” — bo odbierze oszust
- nie ulegasz presji słowami „odpowiedzialność będzie pana” — bo to metoda nacisku
Gdy masz wątpliwość: nic nie podawaj i zapisz, co usłyszałeś. Poproś o numer, ale oddzwoń na numer z umowy, nie na ten podany w rozmowie. Przekaż sprawę kierownikowi.
2.4Fałszywa zbiórka pod logo muzeum i obcy kod QR
Ludzie chętnie wspierają muzea, więc oszuści zakładają fałszywe zbiórki „na konserwację obrazu”. Używają logo muzeum, zdjęcia obiektu i linku do płatności. Podobnie działa obcy kod QR naklejony na tablicy informacyjnej: prowadzi do fałszywej strony płatności.
- Zbiórka bez decyzji dyrekcji i bez wpisu na oficjalnej stronie muzeum.
- Inne konto niż konto muzeum, często prywatne.
- Pośpiech i emocje: „tylko dziś, obraz niszczeje”.
- Kod QR naklejony na tablicę, bilet albo plakat.
Jak to zrobić: fałszywa zbiórka lub kod QR pod logo muzeum
| Kanał | Co robisz | Gotowe zdanie |
|---|---|---|
| Profil muzeum i internet | 1. Nie udostępniaj posta i nie komentuj. 2. Zrób zrzut ekranu i zapisz adres. 3. Sprawdź w oficjalnych informacjach muzeum, czy taka zbiórka istnieje. 4. Zgłoś osobie od mediów: osoba prowadząca stronę i konta jednostki w mediach społecznościowych i do: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | „Znalazłem zbiórkę pod naszym logo. Nie mamy takiej. Zgłaszam do sprawdzenia.” |
| Telefon i e-mail | 1. Nie obiecuj wpłaty ani nie potwierdzaj, że zbiórka jest prawdziwa. 2. Poproś osobę o numer, pod który oddzwonisz z odpowiedzią z oficjalnego kanału. 3. Przekaż sprawę kierownikowi. | „O zbiórkach informujemy tylko na naszej stronie. Przekazuję sprawę kierownikowi.” |
| Plakat lub naklejka z kodem QR w muzeum | 1. Nie skanuj kodu. 2. Nie zdejmuj naklejki ani plakatu, bo to dowód. 3. Zrób zdjęcie służbowym telefonem, jeśli to dozwolone. 4. Zgłoś do: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i zabezpiecz miejsce. | „Na tablicy jest obcy kod QR. Niczego nie dotykam, zgłaszam.” |
| Zwiedzający pyta o zbiórkę | 1. Wysłuchaj, skąd ma informację. 2. Powiedz, że muzeum nie prowadzi takiej zbiórki, jeśli tak jest. Jeśli nie wiesz, powiedz, że sprawdzisz. 3. Poproś o kontakt do osoby, która ją widziała, i przekaż kierownikowi. | „Sprawdzę to u kierownika. Proszę nie wpłacać, dopóki nie potwierdzimy.” |
Gdy masz wątpliwość: nie wpłacaj i nie zachęcaj do wpłat. Zgłoś sprawę kierownikowi. Dlaczego? Zbiórka pod logo muzeum szkodzi darczyńcom, a pieniądze trafiają do oszusta.
2.5Okup w systemie ewidencji zbiorów
Ransomware (okup) to program, który szyfruje pliki i żąda zapłaty. W muzeum może zablokować system ewidencji zbiorów, dokumenty nabytków i pocztę. Księgi inwentarzowe są dowodem własności, więc ich kopia leży poza budynkiem.
| Krok | Co robisz | Dlaczego |
|---|---|---|
| 1. Zatrzymaj | Przestajesz klikać. Odłączasz kabel sieciowy, jeśli to możliwe. | Każde kliknięcie może rozszerzyć szkody. |
| 2. Nie wyłączaj i nie usuwaj | Zostawiasz ekran z żądaniem i pliki. Nie płacisz. | To dowód dla osoby, która bada sprawę. |
| 3. Zgłoś | Dzwonisz pod: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i informatyk lub pomoc techniczna jednostki. | Tylko tam zdecydują, co dalej. |
| 4. Pracuj awaryjnie | Ewidencję prowadzisz na papierze według zasad muzeum. | Obiekty i goście nie czekają. |
Jak to zrobić: żądanie okupu na ekranie
| Kanał | Co robisz | Gotowe zdanie |
|---|---|---|
| Komputer w pracowni lub magazynie | 1. Przestań klikać i nie wpisuj żadnych haseł. 2. Odłącz kabel sieciowy, jeśli wiesz, jak. 3. Nie wyłączaj komputera i nie usuwaj plików. 4. Zadzwoń do: informatyk lub pomoc techniczna jednostki i zgłoś do: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. 5. Powiedz, co widzisz na ekranie i kiedy to się zaczęło. | „Na komputerze w pracowni pojawił się ekran z żądaniem okupu. Niczego nie dotykam.” |
| Telefon służbowy | 1. Nie klikaj w komunikat. 2. Wyłącz Wi-Fi, jeśli wiesz jak. 3. Zadzwoń do: informatyk lub pomoc techniczna jednostki. 4. Zaznacz, jakie dane są w telefonie. | „Na telefonie służbowym pojawił się komunikat z żądaniem. Są tam kontakty i poczta muzeum.” |
| Ktoś dzwoni „z pomocy technicznej” | 1. Nie wpuszczaj do komputera zdalnie. 2. Poproś o numer, ale oddzwoń na numer z karty. 3. Zgłoś próbę do: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | „Pomoc techniczna kontaktuje się ze mną przez numer z karty. Oddzwonię.” |
Gdy masz wątpliwość: przestań pracować na tym komputerze, niczego nie usuwaj i zadzwoń do: informatyk lub pomoc techniczna jednostki. Dlaczego? Czas zgłoszenia decyduje o tym, ile danych da się uratować.
Okupu nie płacisz i niczego nie wyłączasz ani nie usuwasz na własną rękę. Najważniejszy jest czas zgłoszenia.
2.6Hasło, konto imienne i drugi składnik
Hasło to klucz do systemu ewidencji, poczty i kasy. Konto jest imienne: każdy loguje się swoim kontem, żeby kierownik widział, kto i po co zajrzał do danych. Wspólne konto na kasie lub w pracowni to ryzyko: nie wiadomo, kto zrobił zwrot albo zmienił opis.
- logujesz się swoim kontem i wylogowujesz się, gdy odchodzisz — bo ślad ma wskazywać ciebie
- używasz drugiego składnika (kod, aplikacja), jeśli system go oferuje — bo samo hasło można podejrzeć
- zgłaszasz od razu, gdy ktoś poznał twoje hasło — bo wtedy hasło można zmienić, zanim ktoś z niego skorzysta
- nie podajesz hasła ani kodu z SMS-a nikomu, także „z pomocy technicznej” — bo prawdziwa pomoc techniczna go nie zna
- nie zapisujesz hasła na karteczce przy monitorze — bo każdy przechodzący je odczyta
- nie logujesz się na kasie kontem koleżanki — bo odpowiedzialność za jej działania spadnie na nią
Gotowe zdanie przy prośbie o hasło: „Hasła nie podaję nikomu. Jeśli to sprawa służbowa, proszę o kontakt z działem IT na numer z karty.”
Gdy masz wątpliwość: hasło masz w głowie, nie na karteczce. Jeśli ktoś prosi o hasło lub kod, rozłącz się i zadzwoń do osoby z karty: informatyk lub pomoc techniczna jednostki.
2.7Nośnik USB, telefon służbowy i darmowe Wi-Fi
Trzy sytuacje wracają w muzeum. Pierwsza to pendrive znaleziony w sali lub dostarczony przez badacza „do pokazania zdjęć”. Druga to telefon służbowy zgubiony w terenie lub w czasie wernisażu. Trzecia to publiczna sieć Wi-Fi na wyjeździe.
- pendrive od badacza lub gościa zostawiasz nietknięty i zgłaszasz do: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów — bo może zawierać szkodnika
- telefon służbowy blokujesz kodem i zgłaszasz zgubienie od razu — bo można go zdalnie zablokować
- przy pracy poza muzeum łączysz się z siecią wskazaną przez jednostkę — bo publiczne Wi-Fi nie chroni danych
- nie wkładasz obcego nośnika do komputera w muzeum — bo wystarczy podłączenie, by zainfekować system
- nie robisz zdjęć obiektów i dokumentów prywatnym telefonem — bo zdjęcia zostają poza kontrolą muzeum
- nie logujesz się do systemu ewidencji przez publiczne Wi-Fi — bo ktoś może podsłuchać połączenie
Gotowe zdanie przy obcym nośniku: „Dziękuję, ale nie podłączamy obcych nośników. Proszę wysłać pliki oficjalnym kanałem.”
Gdy masz wątpliwość: nie podłączaj, nie klikaj i zgłoś. Dlaczego? Jedno błędne kliknięcie może zablokować całą ewidencję zbiorów.
- Którą fałszywą wiadomość lub telefon spotkałeś w pracy?
- Jakiego sygnału ostrzegawczego nie zauważyłbyś wcześniej?