Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 38 min

Zagrożenia cyfrowe w mojej pracy

Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz w link albo wykonasz „pilne polecenie dyrektora”. Sekretariat wie wszystko i pracuje pod presją czasu, więc atakujący zaczynają tutaj.

2.1Kto i po co atakuje szkołę

Atakujący chcą trzech rzeczy: pieniędzy, danych i dostępu do systemu. Szkoła ma wszystkie trzy: wpłaty i faktury, dane dzieci i rodziców oraz dostęp do dziennika. Większość ataków zaczyna się od wiadomości albo telefonu. Rysunek 3 pokazuje zwykłą drogę ataku. Zawsze ma te same kroki: kontakt, nacisk, prośba i skutek.

Rysunek 3. Droga ataku: oszust nawiązuje kontakt, wywiera presję i prosi o dane, kod lub przelew.

Sztuczka	Jak wygląda w sekretariacie	Twoja pierwsza reakcja
E-mail „od dyrektora”	pilny przelew, karty podarunkowe, lista uczniów z adresami	Nie robisz nic. Dzwonisz do dyrektora na znany numer.
Faktura z nowym rachunkiem	zmiana konta „od dziś”, nacisk na termin	Nie płacisz. Przekazujesz osobie od płatności.
E-mail „z kuratorium”, „SIO”, „dostawcy dziennika”	zaloguj się, zaktualizuj konto, w 24 godziny	Nie klikasz. Wchodzisz do systemu z własnej zakładki.
Telefon „z komisariatu”, „z kuratorium”, „od dziadka”	prośba o potwierdzenie ucznia i adresu	Mówisz zdanie odmowy. Prosisz o pismo.
SMS z kodem „serwisu dziennika”	prośba o podanie kodu pracownikowi serwisu	Kod zostaje u ciebie. Zgłaszasz próbę.
Pendrive od rodzica	nośnik „z dokumentami do rekrutacji”	Nie wkładasz. Wskazujesz papier lub skrzynkę.
Pismo z kodem QR	naklejony kod i groźba kary	Nie skanujesz. Oddajesz dyrektorowi.

Tabela 4. Siedem sztuczek, które spotkasz najczęściej, i pierwsza reakcja na każdą.

Zasada

Sprawdzasz drugim kanałem. Dlaczego: gdy wiadomość prosi o kliknięcie, dane lub pieniądze, dzwonisz do nadawcy na numer, który znasz. Oszust kontroluje wiadomość, ale nie kontroluje numeru, który ty znasz.

Co to znaczy. Drugi kanał to niezależny sposób potwierdzenia prośby. Rysunek 4 pokazuje cztery kroki. Numer bierzesz z akt, z wykazu albo ze strony szkoły, nigdy z wiadomości.

Rysunek 4. Zasada drugiego kanału: prośbę sprawdzasz telefonem na znany numer, zanim cokolwiek zrobisz.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Prośba e-mailem	1. Nie klikasz i nie odpisujesz. 2. Dzwonisz do nadawcy na numer z akt lub wykazu. 3. Prośbę wykonujesz dopiero po rozmowie.	Numer z wiadomości prowadzi do oszusta.
Prośba telefoniczna	1. Mówisz: „Oddzwonię”. 2. Znajdujesz numer instytucji na jej oficjalnej stronie. 3. Oddzwaniasz samodzielnie.	Numer na wyświetlaczu można podrobić.
SMS lub komunikator	1. Nie klikasz linku. 2. Dzwonisz do nadawcy na znany numer.	Wiadomość z „nowego numeru” dyrektora wymaga potwierdzenia.
Osoba „od dyrektora” przy okienku	1. Prosisz o chwilę cierpliwości. 2. Dzwonisz do dyrektora lub zastępcy.	Kartka z podpisem niczego nie dowodzi.

Dla zainteresowanych

Takie oszustwo nazywa się phishingiem, od angielskiego „łowienia”. Przy SMS-ach to smishing, przy telefonach vishing. Oszustwo „na dyrektora” to phishing wymierzony w sekretariat.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.2E-mail „od dyrektora”: przelew, karty, lista uczniów

Wiadomość z rysunku 5 nie zawiera niczego, co filtr poczty uznałby za groźne. To czysty tekst z podpisem dyrektora. Dlatego żaden program jej nie zatrzyma. Jedyną obroną jest twój nawyk potwierdzania.

Rysunek 5. E-mail „od dyrektora” z sześcioma sygnałami oszustwa.

1
Adres „prawie jak służbowy”Nazwa wygląda jak dyrektor, ale domena po znaku „@” jest podobna, nie ta sama.
2
Pilne i bez możliwości rozmowyPośpiech i „nie mogę rozmawiać” mają odebrać ci czas na sprawdzenie.
3
Przelew na nowy rachunekProśba o płatność w wiadomości to nie jest zlecenie. Zlecenia idą inną drogą.
4
Karty podarunkoweKody kart to gotówka dla oszusta. Dyrektor tego nie zamawia e-mailem.
5
Lista uczniów z adresamiDane dzieci to cel sam w sobie. Nikt nie zbiera ich w ten sposób.
6
Zakaz rozmowyProśba o milczenie to najmocniejszy sygnał oszustwa.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
E-mail z prośbą o przelew, kody kart lub listę uczniów	1. Nie odpowiadaj i niczego nie wykonuj. 2. Zadzwoń do dyrektora na numer z wykazu lub z karty stanowiskowej. 3. Wiadomość zostaw jako ślad i zgłoś: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Odpowiedź w tym samym e-mailu da oszust i potwierdzi, że to on.
Ta sama prośba przez komunikator lub SMS „z nowego numeru”	1. Nie wykonuj. 2. Zadzwoń na znany numer dyrektora.	Dyrektor nie zmienia numeru bez uprzedzenia.
Ta sama prośba „głosem dyrektora” w telefonie	1. Powiedz: „Oddzwonię”. 2. Zadzwoń na znany numer.	Głos można podrobić programem. Znany numer jest pewniejszy niż głos.

Przykład: gotowe zdanie

„Nie robię przelewów na podstawie wiadomości. Oddzwonię do Pana Dyrektora na numer z wykazu.”

Gdy masz wątpliwość

Przelew już wyszedł albo kody kart już poszły? Informujesz od razu dyrektora i księgowość, a pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów zgłaszasz zdarzenie. Szybka reakcja tego samego dnia czasem pozwala zatrzymać pieniądze.

2.3E-mail „z kuratorium”, „SIO”, „dostawcy dziennika”

To druga najczęstsza wiadomość w sekretariacie. Prosi o zalogowanie, potwierdzenie konta albo aktualizację danych „do jutra”. Link prowadzi na stronę, która wygląda jak prawdziwa, ale zapisuje twoje hasło.

Sygnał	Jak wygląda	Co robisz
Link zamiast zakładki	„Kliknij tutaj, aby zalogować się do SIO”	Wchodzisz do systemu z własnej zakładki albo ze strony, którą znasz.
Termin „do jutra”	konto zostanie zablokowane za 24 godziny	Prawdziwy system nie blokuje konta bez ostrzeżenia w samym systemie.
Adres nadawcy różny o jedną literę	kuratorium-przyklad zamiast kuratorium-przykladowo	Przytrzymujesz kursor, patrzysz na adres po znaku „@”.
Brak imienia i nazwiska	„Szanowny użytkowniku”	Prawdziwa instytucja pisze do konkretnej szkoły i podaje znak sprawy.
Załącznik .zip lub plik z makrem	„Wzór sprawozdania w załączniku”	Nie otwierasz. Zgłaszasz.

Tabela 5. Pięć sygnałów fałszywej wiadomości od instytucji lub dostawcy dziennika.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
E-mail z prośbą o logowanie	1. Nie klikaj w link. 2. Otwórz system z własnej zakładki i sprawdź, czy tam jest komunikat. 3. Jeśli nie ma, zgłoś wiadomość: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Hasło wpisane na fałszywej stronie jest stracone.
Telefon „wsparcie techniczne dziennika”	1. Powiedz: „Oddzwonię na numer z umowy”. 2. Nie podawaj kodu i nie instaluj programu do zdalnego dostępu. 3. Zgłoś próbę: informatyk lub pomoc techniczna jednostki.	Zdalny dostęp daje oszustowi całą szkołę.
ePUAP lub e-Doręczenia: „aktualizacja skrzynki”	1. Nie klikaj w link z wiadomości. 2. Wejdź do skrzynki z zakładki.	Prawdziwe powiadomienie widać też w samej skrzynce.

W innej jednostce

W bibliotece taki e-mail udaje wydawcę lub dostawcę systemu bibliotecznego. W urzędzie udaje sąd lub urząd wojewódzki. W przychodni udaje NFZ. Zasada jest ta sama.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.4Telefon i SMS: kod „serwisu dziennika”

Numer, który widzisz na wyświetlaczu, można podrobić. Kod z SMS-a to hasło jednorazowe do twojego konta. Oszust dzwoni, mówi, że „serwis dziennika blokuje konto”, i prosi o podanie kodu, który właśnie dotarł.

Co mówi oszust	Dlaczego to nie działa	Co mówisz ty
„Dzwonię z serwisu dziennika, podaj kod z SMS-a”	Serwis nigdy nie prosi o kod. Kod jest tylko dla ciebie.	„Kodów nie podaję nikomu. Oddzwonię na numer z umowy.”
„Muszę zdalnie zalogować się na komputer”	Zdalny dostęp zlecają osoby wyznaczone w szkole.	„Proszę o kontakt z dyrektorem lub pomocą informatyczną.”
„Za chwilę przyjdzie SMS, proszę go przeczytać”	To ten sam kod. Oszust właśnie zalogował się na twoje konto.	„Kończę rozmowę.”
„Pani konto zostanie usunięte, jeśli teraz nie…”	Groźba i pośpiech to technika nacisku.	„Zgłaszam tę rozmowę. Dziękuję.”

Tabela 6. Cztery zdania oszusta i twoja odpowiedź na każde.

Rysunek 6 pokazuje SMS, który dociera w trakcie takiej rozmowy.

Rysunek 6. SMS z kodem do konta w dzienniku i pięć sygnałów oszustwa.

1
Nadawca bez nazwy szkoły i dostawcySMS ma tylko skrót nazwy. Nie ma nazwy szkoły ani danych konta.
2
Kod, którego nie zamawiaszKod przychodzi, bo ktoś próbuje zalogować się na twoje konto. To ty jesteś jego ostatnią barierą.
3
Polecenie: „podaj kod”Kod jest tylko dla ciebie. Nikt z serwisu nie ma prawa o niego prosić.
4
Presja czasuPięć minut ma sprawić, że nie zdążysz pomyśleć.
5
Skrócony linkNie widać, dokąd prowadzi. Nie klikasz.

Zasada

Kodu z SMS-a nie podajesz nikomu. Dlaczego: kod jest hasłem jednorazowym do twojego konta. Kto go zna, działa w dzienniku jako ty.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Telefon z prośbą o kod	1. Powiedz: „Kodów nie podaję”. 2. Zakończ rozmowę. 3. Zgłoś próbę pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Nie sprawdzaj „kto to był”. Nie oddzwaniaj na numer z wyświetlacza.
SMS z kodem, który przyszedł bez twojej prośby	1. Nie klikaj w link. 2. Nie podawaj kodu nikomu. 3. Zgłoś: ktoś próbuje wejść na konto.	Kod bez twojego logowania oznacza, że ktoś zna twój login.
Osoba przy okienku prosi, żebyś „podała kod” z jej telefonu	1. Odmów. 2. Zaproponuj kontakt z pomocą informatyczną.	Kod na jej telefonie jest jej kodem, nie twoim.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.5Faktura z nowym rachunkiem i „pilny przelew”

W tym kursie uczysz się rozpoznawać fałszywą fakturę i przekazywać ją dalej. Procedurę płatności, listę kontrahentów i zasadę dwóch osób opisuje kurs dla osób, które płacą faktury: AW-03.

Sygnał w fakturze lub wiadomości	Co to znaczy	Co robisz
„Zmienił się numer konta”	oszust podmienia rachunek w prawdziwej fakturze	Nie płacisz. Przekazujesz osobie od płatności, która oddzwoni pod numer z umowy.
„Pilne, nie dzwoń, jestem na zebraniu”	prośba o brak kontaktu to ostrzeżenie	Dzwonisz. Pośpiech nie jest powodem do pominięcia sprawdzenia.
Faktura za usługę, której nikt nie zamawiał	oszust liczy na to, że ktoś zapłaci z rozpędu	Pytasz osobę, która zamawia usługi w szkole.
Załącznik .zip, .iso lub plik z makrem	wirus ukryty w „fakturze”	Nie otwierasz. Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Tabela 7. Cztery sygnały fałszywej faktury i pierwsza reakcja sekretariatu.

Zasada

Fakturę z nowym rachunkiem rozpoznajesz i przekazujesz. Nie płacisz i nie potwierdzasz samodzielnie. Dlaczego: decyzja o płatności należy do osoby od płatności, a zasada dwóch osób chroni także ciebie.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Faktura przychodzi e-mailem	1. Nie otwieraj załączników z niecodziennych adresów. 2. Przekaż wiadomość osobie od płatności bez usuwania jej. 3. Zapisz, kto ją dostał i o której.	Usunięcie wiadomości niszczy ślad.
Faktura przychodzi papierem z dopiskiem „nowe konto”	1. Zarejestruj wpływ jak każde pismo. 2. Zaznacz fakt zmiany rachunku i przekaż osobie od płatności.	Sekretariat nie zmienia numeru konta kontrahenta.
Telefon: „proszę zmienić konto w systemie”	1. Powiedz: „Proszę o pismo”. 2. Poinformuj osobę od płatności.	Przez telefon nie ustalisz, kto dzwoni.

Jeśli płacisz faktury

Przelewy, listę kontrahentów, próg kwotowy i potwierdzanie zmiany rachunku opisuje AW-03. Tu zapamiętaj jedno: przy fakturze z nowym rachunkiem zatrzymujesz sprawę i przekazujesz ją dalej.

2.6e-Doręczenia, ePUAP, załączniki i kod QR na piśmie

Sekretariat otwiera najwięcej załączników w szkole. Oszuści wiedzą, że pismo „z sądu” albo „z urzędu” zostanie otwarte. Dlatego fałszywe pisma wyglądają jak urzędowe.

Załącznik lub znak	Dlaczego ryzykowny	Co robisz
Archiwum .zip lub .rar od nieznanego nadawcy	może ukrywać program	Nie otwierasz. Zgłaszasz.
Plik z makrem (Word, Excel z pytaniem „włącz zawartość”)	makro uruchamia program po włączeniu	Nie włączasz makr w pliku od obcych.
PDF z przyciskiem „zaloguj się, aby odczytać”	to strona zbierająca hasło	Nie logujesz się z pliku.
Pismo papierowe z naklejonym kodem QR	kod prowadzi na stronę płatności lub zbierającą dane	Nie skanujesz. Oddajesz dyrektorowi.
Powiadomienie „masz pismo w e-Doręczeniach”, ale link w e-mailu	prawdziwe pismo czeka w skrzynce do doręczeń	Wchodzisz do skrzynki z zakładki.

Tabela 8. Pięć załączników i znaków, których nie otwierasz bez sprawdzenia.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Skrzynka podawcza ePUAP lub e-Doręczenia	1. Odbierz pismo w systemie, nie przez link z e-maila. 2. Sprawdź, czy nadawca i temat się zgadzają. 3. Rejestruj i przekaż dalej. Wątpliwy plik zgłoś.	Prawdziwe pismo ma znak sprawy i znanego nadawcę.
Papier z kodem QR	1. Nie skanuj telefonem. 2. Oddaj pismo dyrektorowi i powiedz, skąd je masz.	Naklejka z kodem na piśmie urzędowym jest zawsze podejrzana.
Załącznik od rodzica przysłany na adres szkoły	1. Otwieraj tylko oczekiwany plik. 2. Gdy plik jest nieoczekiwany, zgłoś go.	Konto rodzica też może być przejęte.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.7Hasła i logowanie dwuetapowe

Przez twoje konta przechodzą dziennik, SIO, poczta, ePUAP i system kancelaryjny. Jedno hasło, które wycieknie, otwiera wszystkie drzwi naraz. Logowanie dwuetapowe to drugi zamek: kod z SMS-a albo z aplikacji.

Zasada	Jak wygląda w praktyce	Dlaczego
Własne konto	każdy loguje się swoim loginem, także w sekretariacie	Ślad w systemie pokazuje, kto co zrobił. Wspólne konto zaciera odpowiedzialność.
Hasło długie i inne niż prywatne	co najmniej 12 znaków, osobne do każdej ważnej usługi	Wyciek prywatnego hasła nie otwiera szkoły.
Drugi składnik	kod z SMS-a lub aplikacji przy logowaniu do ważnych systemów	Samo hasło to za mało, gdy ktoś je zna.
Hasło nie jest na kartce	w notesie, pod klawiaturą ani na monitorze	Kto zobaczy kartkę, działa jako ty.
Nikomu hasła ani kodu	także informatykowi i dyrektorowi	Prawdziwy informatyk nie potrzebuje twojego hasła.

Tabela 9. Pięć zasad hasła i konta.

Zasada

Nikomu nie podajesz hasła ani kodu. Także informatykowi i dyrektorowi. Dlaczego: kto zna twoje hasło, może wysyłać pisma i zmieniać oceny jako ty. Za jego działania nadal odpowiadasz ty.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Dyrektor prosi o hasło do swojej skrzynki „na chwilę”	1. Powiedz: „Zgłoszę prośbę o dostęp do skrzynki dla Pana Dyrektora i pani zastępcy”. 2. Zgłoś do pomocy informatycznej: informatyk lub pomoc techniczna jednostki. 3. Dostęp dostaje osoba na własne konto.	Wspólne hasło oznacza brak śladu, kto co zrobił.
Informatyk dzwoni i prosi o hasło	1. Powiedz: „Hasła nie podaję. Oddzwonię na numer z wykazu”. 2. Sprawdź, czy ktoś z pomocy informatycznej faktycznie dzwonił.	Prawdziwa pomoc informatyczna resetuje hasło bez poznania go.
Koleżanka z zastępstwa prosi o twoje konto	1. Odmów. 2. Powiedz, że poprosisz dyrektora o dostęp dla niej.	Zastępstwo załatwia się uprawnieniem, nie hasłem.
Strona logowania, która prosi o hasło po kliknięciu w e-mail	1. Zamknij stronę. 2. Zgłoś wiadomość. 3. Jeśli hasło zostało wpisane, zmień je i zgłoś od razu.	Czas zgłoszenia niezwłocznie, najpóźniej w ciągu 1 godziny dotyczy także takiej pomyłki.

2.8Pendrive od rodzica i okup za dane

Rodzic przychodzi z pendrive’em „z dokumentami do rekrutacji”. Nośnik wygląda niewinnie, ale może zawierać program, który zablokuje cały sekretariat. Okup to program, który szyfruje pliki i żąda zapłaty. Najczęściej wchodzi przez kliknięty link, załącznik albo włożony nośnik.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Rodzic podaje pendrive przy okienku	1. Powiedz: „Nośników nie przyjmuję”. 2. Wskaż drogę: wydruk w okienku, skrzynka podawcza albo adres e-mail, który szkoła podała w ogłoszeniu. 3. Pendrive oddaj.	Nie wkładaj do żadnego komputera, także „na chwilę”.
Pendrive leży na biurku lub w drzwiach	1. Nie wkładaj. 2. Oddaj pomocy informatycznej i zgłoś: informatyk lub pomoc techniczna jednostki.	Stary komputer też bywa w sieci.
Na ekranie żądanie okupu	1. Odłącz kabel sieci lub Wi-Fi. 2. Nie wyłączaj komputera. 3. Zgłoś pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i nie płać.	Okup nie gwarantuje odzyskania plików.

Przykład: gotowe zdanie

„Nośników nie przyjmuję. Proszę o wydruk albo o wysłanie dokumentów na adres szkoły z ogłoszenia.”

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ciąg dalszy

2.9Prywatny telefon, komunikatory, prywatna poczta, praca w domu

To najwygodniejsze drogi i największa pokusa w sekretariacie. Zdjęcie listy telefonem, skan wysłany na prywatny adres albo dokumenty zabrane do domu wydają się niewinne. Wyciek zaczyna się właśnie tak.

Pokusa	Skutek	Co robisz zamiast tego
Zdjęcie dokumentu lub listy prywatnym telefonem	zdjęcie zostaje w telefonie, w chmurze i w komunikatorze	Skan na skanerze szkoły z adresem zapisanym na stałe.
Rozmowa z rodzicami na prywatnym komunikatorze	dane dzieci w prywatnym koncie, bez śladu w szkole	Dziennik elektroniczny albo poczta służbowa.
Skan wysłany na prywatną pocztę, „bo w domu dokończę”	dane wychodzą poza szkołę bez kontroli	Praca w szkole albo zgoda dyrektora i narzędzia szkoły.
Dokumenty i listy zabrane do domu	teczka zgubiona w autobusie	Wpis do ewidencji i zgoda dyrektora (moduł 5).

Tabela 10. Cztery pokusy i bezpieczna alternatywa.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Rodzic pisze do ciebie na prywatnym komunikatorze	1. Nie odpowiadaj treściowo. 2. Napisz: „Proszę o kontakt przez dziennik albo na adres szkoły”.	Wiadomość zostaw, ale dane dziecka nie idą tą drogą.
Chcesz dokończyć pracę w domu	1. Poproś dyrektora o zgodę. 2. Jeśli się zgodzi, wpisz dokumenty do ewidencji i pracuj tylko na sprzęcie szkoły.	Własny komputer nie ma zabezpieczeń szkoły.
Skaner prosi o adres e-mail do wysyłki	1. Wybierz adres zapisany w skanerze szkoły. 2. Nigdy nie wpisuj adresu prywatnego.	Literówka w adresie wysyła skan obcej osobie.

2.10Sztuczna inteligencja i podrobiony głos

Czat AI pisze teksty na polecenie. To, co do niego wkleisz, trafia do zewnętrznej firmy. Wniosek rodzica, opinia o uczniu albo lista z adresami nie wracają. Czasem czat wygląda jak pomocnik, który „skróci pismo” albo „poprawi opinię”.

Jak to zrobić

Kanał	Co robisz	Na co uważasz
Chcesz, żeby czat AI poprawił pismo lub opinię	1. Nie wklejaj nazwisk, adresów, PESEL ani danych o zdrowiu. 2. Jeśli szkoła dopuszcza narzędzie (polityka bezpieczeństwa informacji), wklej tylko tekst ogólny bez danych. 3. W razie wątpliwości zapytaj dyrektora.	Dane wklejone do czatu opuszczają szkołę.
Dostajesz „nagranie głosowe od dyrektora” z prośbą o przelew	1. Nie wykonuj. 2. Zadzwoń na znany numer.	Głos można podrobić. Znany numer jest pewniejszy.

Zasada

Do czatu AI nie wklejasz danych osób. Dlaczego: to, co wkleisz, opuszcza szkołę i nie wraca. Skutek dotyka dzieci i rodziców, którzy o tym nie wiedzą.

W innej jednostce

W urzędzie do czatu trafiają decyzje i skargi. W przychodni wyniki badań. W szkole opinie o uczniach i wnioski rodziców. Zasada jest ta sama.

2.11Fiszki: zagrożenia w sekretariacie

Zasłoń prawą kolumnę i odpowiedz na pytanie. Potem sprawdź odpowiedź.

E-mail „od dyrektora”: pilny przelew, nikomu nie mów. Co robisz?Dzwonię do dyrektora na znany numer. Nic nie robię do czasu rozmowy.

Faktura z nowym numerem konta. Co robisz?Nie płacę. Przekazuję osobie od płatności, która oddzwoni pod numer z umowy.

Ktoś prosi o kod z SMS-a „do weryfikacji”. Co mówię?Kodów nie podaję nikomu. Kończę rozmowę i zgłaszam próbę.

E-mail „SIO – zaloguj się w 24 godziny”. Co robię?Nie klikam. Wchodzę do systemu z własnej zakładki albo zgłaszam wiadomość.

Rodzic podaje pendrive’a z dokumentami. Co mówię?Nośników nie przyjmuję. Proszę o wydruk albo wysłanie na adres szkoły.

Pismo z naklejonym kodem QR. Co robię?Nie skanuję. Oddaję dyrektorowi i mówię, skąd je mam.

Na ekranie żądanie okupu. Pierwszy krok?Odłączam sieć, nie wyłączam komputera, zgłaszam.

Dyrektor prosi o swoje hasło. Co robię?Nie podaję. Zgłaszam prośbę o dostęp do pomocy informatycznej.

Rodzic pisze na prywatnym komunikatorze o dziecku. Co robię?Odsyłam do dziennika albo adresu szkoły. Danych nie podaję.

Czy wolno wkleić opinię o uczniu do czatu AI?Nie. Dane osób nie trafiają do czatu.

Co jest znakiem fałszywego e-maila?Obcy adres, pośpiech, groźba, link, zakaz rozmowy.

Skąd biorę numer, pod który oddzwaniam?Z akt, z wykazu albo z oficjalnej strony. Nigdy z wiadomości.

Niespodziewany plik .zip. Co robię?Nie otwieram. Zgłaszam wiadomość i zostawiam ją jako ślad.

Link kliknięty, hasło wpisane. Co robię?Odłączam sieć, zmieniam hasło po poleceniu i zgłaszam od razu.

Nie wiem, czy wiadomość jest prawdziwa. Co robię?Zgłaszam. Lepiej zgłosić zbędnie niż przemilczeć raz.

Moje notatki z tematu · moduł 2

Którą z tych sztuczek znam z własnego sekretariatu?
Jakie jedno zdanie wyuczę się na pamięć?

Krok 2 · Zrozum

Zagrożenia cyfrowe w sekretariacie: wiadomości, telefony, hasła

Poradnik pokazuje tabele sztuczek. Tutaj zobaczysz, jak reagujesz w każdym kanale i dlaczego. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.

AKto i po co atakuje oraz drugi kanał

Atakujący chcą pieniędzy, danych i dostępu do systemu. Szkoła ma wszystko trzy. Większość ataków zaczyna się od wiadomości albo telefonu i ma te same kroki: kontakt, nacisk, prośba, skutek.

Zasada

Prośbę o kliknięcie, dane, kod lub pieniądze sprawdzasz drugim kanałem.

Drugi kanał to niezależny sposób potwierdzenia: dzwonisz do nadawcy na numer, który znasz. Numer bierzesz z akt, z wykazu albo z oficjalnej strony, nigdy z wiadomości ani z wyświetlacza.

Skąd numer	Czy można mu ufać	Dlaczego
z akt, wykazu lub karty stanowiskowej	tak	Zapisano go, zanim ktoś próbował cię oszukać.
z oficjalnej strony instytucji	tak	Stronę znasz albo wpisujesz ją samodzielnie.
z wiadomości lub podpisu w e-mailu	nie	Oszust sam wpisał ten numer.
z wyświetlacza telefonu	nie	Numer można podrobić.

Jak to zrobić krok po kroku — prośba e-mailem o przelew lub dane

Nie klikaj i nie odpowiadaj. Odpowiedź da oszust.
Zadzwoń na znany numer. Rozmowa rozstrzyga w minutę.
Wykonaj prośbę dopiero po rozmowie. Wiadomość zostaw jako ślad.

Dlaczego

Oszust kontroluje wiadomość, ale nie kontroluje numeru, który znasz.

BFałszywy e-mail: dyrektor, kuratorium, SIO, dostawca dziennika

Fałszywa wiadomość często udaje przełożonego albo instytucję. Nie zawiera niczego, co zatrzyma filtr poczty. Dlatego chroni cię nawyk sprawdzania, a nie program.

Sygnał	Co to znaczy	Co robisz
Adres nadawcy podobny, ale nie ten sam	domena po znaku @ jest podróbką	Przytrzymaj kursor, patrz na adres po @.
Pilne, tajne, „nie mogę rozmawiać”	oszust odbiera ci czas na sprawdzenie	Zadzwoń do nadawcy na znany numer.
Link do logowania	strona zbiera hasło	Wejdź do systemu z własnej zakładki.
Termin „do jutra” i groźba blokady	nacisk czasu	Prawdziwy system ostrzega w samym systemie.
Załącznik .zip lub plik z makrem	program ukryty w „formularzu”	Nie otwieraj, zgłoś.
Karty podarunkowe, lista uczniów z adresami	żądanie dyrektora, którego nie złoży e-mailem	Nie wykonuj, zgłoś.

Jak to zrobić krok po kroku — e-mail „z SIO” prosi o zalogowanie w 24 godziny

Nie klikaj w link. Link prowadzi na stronę zbierającą hasło.
Wejdź do systemu z własnej zakładki. Jeśli tam nie ma komunikatu, wiadomość jest fałszywa.
Zgłoś wiadomość. Numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Jak to zrobić krok po kroku — e-mail „od dostawcy dziennika” z plikiem .zip do uzupełnienia

Nie otwieraj pliku. Archiwum może ukrywać program.
Sprawdź u dostawcy na numer z umowy. Nie na numer z wiadomości.
Zgłoś wiadomość. Zostaw ją jako ślad.

Dlaczego

Prawdziwa instytucja pisze do konkretnej szkoły, podaje znak sprawy i nie wymusza logowania przez link.

CTelefon i SMS z kodem

Numer na wyświetlaczu można podrobić. Kod z SMS-a to hasło jednorazowe do twojego konta. Oszust dzwoni, mówi, że „serwis dziennika blokuje konto”, i prosi o podanie kodu, który właśnie dotarł.

Co mówi oszust	Dlaczego to nie działa	Co mówisz
„Podaj kod z SMS-a”	Serwis nigdy nie prosi o kod.	„Kodów nie podaję nikomu.”
„Muszę zdalnie zalogować się na komputer”	Zdalny dostęp zleca dyrektor lub pomoc informatyczna.	„Proszę o kontakt z dyrektorem.”
„Za chwilę przyjdzie SMS, proszę go przeczytać”	To ten sam kod, oszust właśnie loguje się na twoje konto.	„Kończę rozmowę.”

Zasada

Kodu z SMS-a nie podajesz nikomu.

Gdy coś poszło nie tak

Kod, który przyszedł bez twojej prośby, oznacza, że ktoś próbuje zalogować się na twoje konto. Kod zostaje u ciebie, a próbę zgłaszasz pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Dlaczego

Kto zna kod, działa w dzienniku jako ty.

DFaktura z nowym rachunkiem i pilny przelew

Sekretariat rozpoznaje fałszywą fakturę i przekazuje ją dalej. Płatności i zasadę dwóch osób opisuje kurs AW-03.

Sygnał	Co robisz
„Zmienił się numer konta od dziś”	Nie płacisz. Przekazujesz osobie od płatności.
„Pilne, nie dzwoń”	Dzwonisz. Pośpiech nie jest powodem do pominięcia sprawdzenia.
Faktura za usługę, której nikt nie zamawiał	Pytasz osobę, która zamawia usługi.

Jak to zrobić krok po kroku — faktura z dopiskiem „nowe konto” przychodzi telefonem lub e-mailem

Nie zmieniaj niczego. Sekretariat nie zmienia numeru konta kontrahenta.
Przekaż osobie od płatności. Ona oddzwoni pod numer z umowy.
Zapisz, kto i kiedy dostał fakturę. Nie usuwaj wiadomości.

Dlaczego

Przez telefon nie ustalisz, kto dzwoni. Decyzja o płatności należy do osoby od płatności.

EZałączniki, e-Doręczenia, kod QR i nośniki

Sekretariat otwiera najwięcej załączników w szkole. Fałszywe pisma wyglądają jak urzędowe, bo oszuści wiedzą, że pismo „z sądu” zostanie otwarte.

Znak	Dlaczego ryzykowny	Co robisz
Pismo papierowe z naklejonym kodem QR	kod prowadzi na stronę płatności lub zbierającą dane	Nie skanujesz. Oddajesz dyrektorowi.
Powiadomienie o piśmie w e-Doręczeniach z linkiem w e-mailu	prawdziwe pismo czeka w skrzynce do doręczeń	Wchodzisz do skrzynki z zakładki.
Pendrive od rodzica	może zawierać program blokujący sekretariat	Nośników nie przyjmujesz. Prosisz o wydruk albo e-mail szkoły.
Plik .zip lub z makrem od obcego	ukryty program	Nie otwierasz, zgłaszasz.

Jak to zrobić krok po kroku — pismo ma naklejony kod QR i groźbę kary

Nie skanuj telefonem. Kod może prowadzić do fałszywej płatności.
Oddaj pismo dyrektorowi. Powiedz, skąd je masz.

Jak to zrobić krok po kroku — e-mail „masz pismo w e-Doręczeniach”

Nie klikaj w link. Link może prowadzić na fałszywą stronę.
Wejdź do skrzynki z zakładki. Prawdziwe pismo jest widoczne w skrzynce.

Dlaczego

Prawdziwy urząd nie nakleja kodów QR na pismo z groźbą kary.

FHasła i logowanie dwuetapowe

Przez twoje konta przechodzą dziennik, SIO, poczta i system kancelaryjny. Jedno hasło, które wycieknie, otwiera wszystkie drzwi. Logowanie dwuetapowe to drugi zamek: kod z SMS-a lub aplikacji.

Zasada	Dlaczego
Własne konto, nie wspólne	Ślad pokazuje, kto co zrobił.
Hasło długie, inne niż prywatne	Wyciek prywatnego hasła nie otwiera szkoły.
Hasło nie leży na kartce	Kto zobaczy kartkę, działa jako ty.
Nikomu hasła ani kodu	Prawdziwa pomoc informatyczna nie potrzebuje twojego hasła.

Jak to zrobić krok po kroku — dyrektor prosi o hasło do swojej skrzynki „na chwilę”

Nie podawaj hasła. Także dyrektorowi.
Zgłoś prośbę o dostęp. Do pomocy informatycznej: informatyk lub pomoc techniczna jednostki.
Dostęp dostaje osoba na własne konto. Zastępstwo załatwia się uprawnieniem, nie hasłem.

Dlaczego

Kto zna twoje hasło, może wysyłać pisma jako ty, a odpowiadasz ty.

GPrywatny telefon, komunikatory, poczta i praca w domu

To najwygodniejsze drogi i największa pokusa. Zdjęcie listy telefonem albo skan wysłany na prywatną pocztę wydają się niewinne. Wyciek zaczyna się właśnie tak.

Pokusa	Zamiast tego
Zdjęcie dokumentu prywatnym telefonem	skan na skanerze szkoły
Rozmowa z rodzicem na prywatnym komunikatorze	dziennik elektroniczny lub poczta służbowa
Skan na prywatną pocztę, „bo w domu dokończę”	praca w szkole albo zgoda dyrektora

Jak to zrobić krok po kroku — rodzic pisze do ciebie na prywatnym komunikatorze o dziecku

Nie odpowiadaj treściowo. Dane dziecka nie idą tą drogą.
Napisz jedno zdanie. „Proszę o kontakt przez dziennik albo na adres szkoły”.

Dlaczego

Dane w prywatnym koncie nie zostawiają śladu w szkole i nie podlegają jej zabezpieczeniom.

HCzat AI i okup za dane

Czat AI pisze teksty na polecenie. To, co do niego wkleisz, trafia do zewnętrznej firmy. Okup to program, który szyfruje pliki i żąda zapłaty. Wchodzi przez kliknięty link, załącznik albo włożony nośnik.

Zasada

Do czatu AI nie wklejasz danych osób.

Jak to zrobić krok po kroku — na ekranie jest żądanie okupu

Odłącz kabel sieciowy lub Wi-Fi. Atak nie rozprzestrzeni się na inne komputery.
Nie wyłączaj komputera. Włączony zachowuje ślady.
Zgłoś pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i nie płać. Zapłata nie gwarantuje odzyskania plików.

Dlaczego

Szybka reakcja w pierwszych minutach często decyduje o skali szkody.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Czy to bezpieczna, czy niebezpieczna droga?Przy każdej pozycji wybierz jedną odpowiedź.

Wejście do SIO z własnej zakładki

Klik w link z e-maila „SIO, 24 godziny”

Oddzwonienie na numer z wykazu

Podanie kodu z SMS-a technikowi

Ćwiczenie 2. E-mail „od dyrektora” prosi o pilny przelew i dodaje: „nikomu nie mów”. Co robisz?

Odpisujesz z pytaniem, czy to na pewno dyrektor.

Dzwonisz do dyrektora na znany numer.

Wykonujesz przelew, bo prośba jest pilna.

Ćwiczenie 3. Zaznacz fragmenty, które zdradzają fałszywy e-mail.

Od: sio-pomoc@oswiata-konta.example Szanowny użytkowniku, Dziękujemy za współpracę. Zaloguj się w ciągu 24 godzin, inaczej konto zostanie zablokowane.

Ćwiczenie 4. Uzupełnij zdania.

Prośbę o pieniądze sprawdzam …. Kodu z SMS-a nie podaję …. Pendrive’a od rodzica nie wkładam do ….

Ćwiczenie 5. Ktoś dzwoni „z serwisu dziennika” i prosi o kod z SMS-a. Napisz, co powiesz.

„Kodów nie podaję nikomu.” — kod jest hasłem do mojego konta, a serwis nigdy o niego nie prosi.