Zagrożenia cyfrowe w mediach jednostki
Zagrożenia cyfrowe w mediach jednostki mają trzy twarze: fałszywa wiadomość, przejęte konto i zainfekowany plik. Każdej prośbie o hasło, kod lub plik sprawdzasz źródło drugim kanałem.
2.1Wiadomości „od platformy”
Co to znaczy. Oszuści piszą do osób, które prowadzą strony i konta jednostek. Podszywają się pod serwis społecznościowy: „naruszenie zasad”, „strona zostanie usunięta”, „zweryfikuj konto”. Chcą, żebyś wpisał hasło i kod na fałszywej stronie. Wtedy przejmują konto jednostki.
- 1Podobny adres nadawcy.Domena przypomina znaną, ale różni się literą albo końcówką.
- 2Pośpiech w temacie.PILNE, w ciągu 24 godzin, ostatnie ostrzeżenie.
- 3Prośba o zalogowanie przez link.Prawdziwy serwis pokaże powiadomienie w panelu konta.
- 4Prośba o hasło i kod.Serwis nigdy nie prosi o nie w wiadomości.
- 5Groźba kary lub usunięcia.Strach ma wyłączyć ostrożność.
- 6Zakaz mówienia innym.Oszust nie chce, żebyś sprawdził sprawę drugim kanałem.
Jak to zrobić: przychodzi wiadomość „od platformy” z prośbą o zalogowanie
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| E-mail lub wiadomość w serwisie | 1. Nie klikasz linku i nie odpowiadasz. 2. Wpisujesz znany adres serwisu albo otwierasz zakładkę i sprawdzasz powiadomienia. 3. Wiadomość zostawiasz w skrzynce i zgłaszasz pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Odpowiedź potwierdza oszustowi, że skrzynka działa. |
| Telefon | 1. Nie podajesz hasła ani kodu. 2. Kończysz rozmowę. 3. Sam dzwonisz na numer z umowy albo ze strony serwisu. | Numer, który podał rozmówca, prowadzi do oszusta. |
| SMS lub komunikator | 1. Nie klikasz linku. 2. Sprawdzasz sprawę w panelu konta, otwartym z zakładki. | Skrócony link ukrywa adres. |
| Pismo | 1. Pismo „od serwisu” przekazujesz kierownikowi. 2. Nie wpisujesz adresów z pisma do przeglądarki. | Pieczątka nie dowodzi, że pismo jest prawdziwe. |
| Portal | 1. Logujesz się tylko na stronie otwartej z zakładki. 2. Nie wchodzisz przez link w wyszukiwarce ani w reklamie. | Reklama w wyszukiwarce bywa fałszywą stroną logowania. |
| Osoba trzecia: „informatyk”, „agencja” | 1. Mówisz: „Sprawdzę to u administratora konta”. 2. Nie podajesz hasła ani kodu. 3. Zgłaszasz prośbę pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Znajomo brzmiące imię nie dowodzi, że prośba jest prawdziwa. |
— Dzwonię z pomocy serwisu, proszę podać kod z aplikacji. — Kodu nie podaję. Sam zadzwonię na numer z umowy.
Prośbę „od platformy” o hasło, kod lub zalogowanie sprawdzasz drugim kanałem, zanim cokolwiek klikniesz. Dlaczego: oszust kontroluje wiadomość, ale nie kontroluje strony, którą wpiszesz sam.
Nie wiesz, czy wiadomość jest prawdziwa? Nie klikaj. Zapytaj administratora konta albo pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
2.2Jak przejmują konto jednostki i co daje logowanie dwuetapowe
Konto jednostki to strona i profile, przez które jednostka mówi do mieszkańców. Oszust, który je przejmie, może w jej imieniu oszukiwać tysiące osób. Zwykle nie łamie zabezpieczeń serwisu. Zdobywa hasło od człowieka.
| Droga | Jak to wygląda | Co ją zamyka |
|---|---|---|
| Fałszywa wiadomość lub strona | administrator wpisuje hasło i kod na stronie oszusta | drugi kanał przed kliknięciem |
| To samo hasło w wielu miejscach | hasło z wycieku innego serwisu działa w koncie jednostki | osobne, długie hasło i logowanie dwuetapowe |
| Przejęte prywatne konto administratora | konto jednostki jest powiązane z prywatnym profilem osoby | logowanie dwuetapowe także na koncie prywatnym |
| Dostęp po osobie, która odeszła | była pracownica lub wykonawca nadal jest administratorem | odebranie dostępu w dniu odejścia |
| Fałszywa „prośba o dodanie administratora” | oszust prosi o nadanie uprawnień „agencji” lub „serwisowi” | administratora dodaje tylko osoba wyznaczona, po potwierdzeniu drugim kanałem |
Logowanie dwuetapowe oznacza, że oprócz hasła potrzebny jest drugi element, najlepiej kod z aplikacji uwierzytelniającej. Wtedy samo wyłudzone hasło nie wystarcza do wejścia. To najtańsza i najskuteczniejsza ochrona konta.
Jak to zrobić: ktoś prosi o hasło, kod albo uprawnienia do konta jednostki
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Osobiście | 1. Gdy ktoś prosi o pokazanie kodu z aplikacji, nie pokazujesz go. 2. Odsyłasz do administratora konta. | Kod z aplikacji jest jednorazowy i tajny. |
| Telefon | 1. Nie podajesz hasła ani kodu przez telefon. 2. Kończysz rozmowę i zgłaszasz. | Rozmówca może brzmieć jak administrator serwisu. |
| 1. Nie odpowiadasz na prośbę o kod. 2. Zgłaszasz wiadomość pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Kod wysłany e-mailem może przeczytać każdy z dostępem do skrzynki. | |
| Pismo | 1. Pisma z prośbą o dostęp do konta przekazujesz kierownikowi. | Dostęp przyznaje osoba wyznaczona, a nie pismo. |
| Portal | 1. Uprawnienia nadajesz tylko w panelu serwisu otwartym z zakładki. 2. Nie klikasz „zaproszeń” z wiadomości. | Zaproszenie bywa pułapką. |
| Osoba trzecia: agencja, wolontariusz | 1. Mówisz: „Dostęp nadaje administrator konta po potwierdzeniu u kierownika”. 2. Nie podajesz hasła „do tymczasowego użytku”. | Tymczasowy dostęp często zostaje na stałe. |
Konto jednostki chroni logowanie dwuetapowe i co najmniej dwóch administratorów, a hasła i kodu nie podajesz nikomu. Dlaczego: wyłudzone hasło bez drugiego elementu nie wystarcza do wejścia, a drugi administrator pozwala odzyskać konto, gdy pierwszy go straci.
2.3Pliki „od fotografa” i żądanie okupu
Po wydarzeniu dostajesz zdjęcia od fotografa, drukarni albo uczestników. Oszuści przysyłają „zdjęcia”, które są programem. Plik z końcówką exe, js lub z podwójną końcówką, na przykład zdjecia.jpg.exe, to program, a nie zdjęcie. Uruchomiony może zaszyfrować pliki w komputerze i żądać okupu. Taki program nazywamy ransomware.
Jak to zrobić: dostajesz zdjęcia lub materiały od osoby spoza jednostki
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| 1. Nie otwierasz załącznika, którego nie spodziewasz się od tej osoby. 2. Dzwonisz do nadawcy na numer z umowy. 3. Wiadomość zostawiasz w skrzynce i zgłaszasz. | Adres nadawcy bywa podrobiony. | |
| Link do pobrania zdjęć | 1. Nie pobierasz plików z linku, którego nie ustaliłeś z wykonawcą. 2. Prosisz o przesłanie zdjęć kanałem z umowy. | Link może prowadzić do programu zamiast zdjęć. |
| Telefon | 1. Nie instalujesz nic na prośbę rozmówcy. 2. Dzwonisz na numer z umowy. | Rozmówca może się podszywać pod fotografa. |
| Pismo | 1. Pismo z nośnikiem „do ręki” przekazujesz kierownikowi. 2. Nośnika nie wkładasz do komputera jednostki. | Obcy nośnik bywa zainfekowany. |
| Portal wykonawcy | 1. Pobierasz zdjęcia tylko z serwisu ustalonego w umowie. 2. Sprawdzasz, czy w pliku są zdjęcia, a nie program. | Fałszywy serwis wygląda jak prawdziwy. |
| Osoba trzecia: „kolega fotografa” | 1. Mówisz: „Zdjęcia odbieram od wykonawcy kanałem z umowy”. 2. Nie przyjmujesz nośnika od osoby, której nie znasz. | Dobre intencje nie dowodzą, że plik jest bezpieczny. |
Jak to zrobić: na komputerze pojawia się żądanie okupu
| Sytuacja | Co robisz | Na co uważasz |
|---|---|---|
| Na ekranie żądanie okupu, pliki się nie otwierają | 1. Odłączasz komputer od sieci, ale nie wyłączasz go z prądu. 2. Zapisujesz na kartce, co widzisz, zostawiasz ekran i zgłaszasz pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. 3. Nie płacisz i nie piszesz do przestępców. O okupie decyduje kierownik. | Ekranu nie fotografujesz. Wyłączenie z prądu niszczy ślady. |
Pliku „od fotografa” nie uruchamiasz, dopóki nie sprawdzisz drugim kanałem, że to zdjęcia, a przy żądaniu okupu odłączasz komputer od sieci, zapisujesz na kartce, co widzisz, i zgłaszasz. Dlaczego: program uruchomiony raz nie da się wycofać, a zachowane ślady pozwalają ustalić, co zaszyfrowano.
2.4Fałszywe konta i konkursy „wygrałeś”
Oszuści zakładają profile o nazwie niemal identycznej jak twoja jednostka. Piszą do mieszkańców: „Wygrałeś nagrodę, podaj PESEL i adres”. Mieszkańcy ufają jednostce, więc klikają. Odpowiedzialność za zaufanie do marki jednostki spada na osoby, które prowadzą jej konta.
| Sygnał | Prawdziwe konto jednostki | Fałszywy profil |
|---|---|---|
| Nazwa i adres | znana nazwa, adres ze strony jednostki | podobna nazwa, dopisek lub zmieniona litera |
| Obserwujący i historia | wpisy z lat, zdjęcia z wydarzeń | nowe konto, mało wpisów |
| Prośba o dane | konkursy nie wymagają PESEL ani adresu w wiadomości | PESEL, adres, dane karty w wiadomości |
| Link | prowadzi na stronę jednostki | skrócony lub obcy link |
| Nacisk | brak pośpiechu | „Odbierz do końca dnia” |
Fałszywy profil zgłaszasz w serwisie i w jednostce, a nie odpowiadasz i nie podajesz własnych danych. Dlaczego: odpowiedź potwierdza oszustowi, że konto jest obsługiwane, a zgłoszenie pozwala usunąć profil i ostrzec mieszkańców.
Prowadzisz konkurs? Nie zbieraj PESEL ani adresu w komentarzach. Zasady konkursu uzgodnij z osobą prowadzącą konta: osoba prowadząca stronę i konta jednostki w mediach społecznościowych.
2.5Zdjęcia, ukryte dane i czat AI
Co to znaczy. Zdjęcie z telefonu zawiera ukryte dane, tak zwane metadane: miejsce, datę, godzinę i model urządzenia. Gdy opublikujesz plik bez ich usunięcia, ktoś może je odczytać i na przykład ustalić, gdzie mieszka osoba ze zdjęcia.
- Przed publikacją eksportujesz zdjęcie w wersji bez danych o lokalizacji.
- Samo zmienienie nazwy pliku ukrytych danych nie usuwa.
- Ukryte dane usuwasz też ze zdjęć przysłanych przez uczestników, zanim je opublikujesz.
- Do narzędzi online do poprawiania zdjęć i do czatu AI nie wgrywasz zdjęć z twarzami ani pism z danymi osób.
- Tekst do publikacji piszesz bez danych osobowych, nawet gdy prosisz o pomoc w redakcji.
Przed publikacją usuwasz ze zdjęcia dane o lokalizacji, a zdjęć z twarzami i pism z danymi nie wgrywasz do czatu AI ani do narzędzi online. Dlaczego: wgrany plik trafia do zewnętrznej firmy i nie da się go cofnąć, a ukryte dane zdradzają, gdzie zdjęcie powstało.
Zasady dotyczące danych w narzędziach zewnętrznych wynikają z przepisów o ochronie danych osobowych (RODO). Szczegóły wskazuje procedura jednostki: polityka bezpieczeństwa informacji. W razie wątpliwości pytaj: informatyk lub pomoc techniczna jednostki.
- Które z wiadomości, które ostatnio dostałem, sprawdziłbym drugim kanałem?
- Czy moje konto jednostki ma logowanie dwuetapowe i dwóch administratorów?