Zagrożenia cyfrowe w mojej pracy
Ten moduł pokazuje, jak oszuści docierają do rejestracji. Dla każdego zagrożenia dowiesz się, co zrobić w 10 sekund.
2.1Kto atakuje przychodnię i po co
Atakujący chcą dwóch rzeczy: pieniędzy i informacji. Przychodnia ma jedno i drugie.
Dane o zdrowiu można sprzedać albo użyć do szantażu. System można zablokować i żądać okupu. Przychodnia nie może długo przerwać pracy, więc często płaci. Dlatego jest atrakcyjnym celem.
Atakujący rzadko łamią zabezpieczenia. Zwykle proszą człowieka, by sam otworzył drzwi. Dlatego ty jesteś ważniejsza lub ważniejszy niż najlepszy program.
Rysunek 4 pokazuje, skąd zwykle przychodzi atak.
Prośba o dane, hasło, kod lub pieniądze to sygnał do sprawdzenia. Dlaczego? Bo atak zaczyna się od prośby, nie od włamania.
2.2Fałszywe e-maile (phishing)
Phishing to wiadomość, która udaje kogoś zaufanego. Chce, żebyś kliknęła, otworzyła plik albo podała hasło.
Oszuści udają Fundusz, Centrum e-Zdrowia, dostawcę systemu, laboratorium, kuriera albo pacjenta. Podrabiają też strony e-rejestracji.
Zobacz rysunek 5. Siedem sygnałów pomaga rozpoznać fałszywą wiadomość. Na rysunku widać pięć z nich.
- 1Adres nadawcyDomena zawiera słowo „pilne”. Prawdziwy dostawca pisze z własnej domeny.
- 2Temat „PILNE”Pośpiech ma sprawić, że nie sprawdzisz wiadomości.
- 3Ogólne powitanie„Szanowny Kliencie” – dostawca, który cię zna, użyłby nazwy podmiotu.
- 4Link z innym adresemPrzycisk i adres pod nim prowadzą na obcą stronę.
- 5Załącznik .exePlik wykonywalny w poczcie to prawie zawsze wirus.
Siedem sygnałów fałszywej wiadomości
| Nr | Sygnał | Co robisz |
|---|---|---|
| 1 | Obcy adres nadawcy | Nazwa wygląda znajomo, ale adres jest inny niż zwykle. Sprawdź część po znaku @. |
| 2 | Pośpiech i presja | Słowa „pilne”, „dziś”, „ostatnia szansa” mają wyłączyć ostrożność. |
| 3 | Ogólne powitanie | „Szanowny Kliencie” zamiast twojego nazwiska. Prawdziwy dostawca zna cię z imienia. |
| 4 | Prośba o dane lub hasło | Prawdziwy serwis nie prosi o hasło w wiadomości. |
| 5 | Podejrzany link | Napis na przycisku mówi jedno, adres pod nim drugie. Najedź kursorem i przeczytaj. |
| 6 | Nietypowy załącznik | Plik .exe, .zip lub „faktura” bez zapowiedzi może zawierać wirusa. |
| 7 | Dziwny styl | Błędy, nietypowe sformułowania, inny ton niż zwykle. Oszuści często piszą w pośpiechu. |
Nie klikasz, nie otwierasz, nie odpisujesz. Zgłaszasz. Dlaczego? Jedno kliknięcie może zablokować rejestrację całej przychodni.
Zgłoszenie przekazujesz pod: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Wiadomości nie usuwasz, bo informatyk potrzebuje śladu.
2.3Fałszywe telefony i SMS-y
Telefon jest twoim głównym narzędziem. Dlatego oszuści najczęściej dzwonią do rejestracji.
Dzwonią jako córka, mąż, lekarz z innej placówki, policja, prokuratura, ubezpieczyciel albo pracodawca pacjenta. Każdy ma pilną historię.
Oszust często prosi o drobiazg: „potwierdzę tylko, czy pani Anna jest u was pacjentką”. Samo „tak” to już informacja o zdrowiu. Nie potwierdzasz.
Zobacz rysunek 6. Tak wygląda SMS, który ma wyłudzić kod do konta.
- 1Nieznany numerFundusz nie pisze do pacjentów z numeru komórkowego.
- 2Groźba i „DZIŚ”Straszenie blokadą konta ma cię zdenerwować.
- 3Link i prośba o kodKod z SMS to klucz do konta. Nikomu go nie podajesz.
- 4Kara za brak odpowiedziNaciskają, bo uczciwa instytucja nie grozi w SMS-ie.
Przy każdej podejrzanej prośbie stosujesz drugi kanał. Rysunek 7 pokazuje cztery kroki.
Prośba przez telefon? Rozłącz się i oddzwoń na numer, który znasz. Dlaczego? Numer dzwoniącego można podrobić. Numeru z akt nie da się podrobić.
2.4Podszywanie się pod przełożonego i dostawcę
Oszust pisze lub dzwoni jako dyrektor, kierownik albo informatyk. Prosi o pilny przelew, hasło lub zdalny dostęp do komputera.
- Dyrektor, który „jest na spotkaniu” i prosi o pilną zmianę numeru konta.
- Informatyk, który prosi o hasło „do sprawdzenia”.
- Dostawca systemu, który chce zdalnie „naprawić błąd”.
Prawdziwy przełożony nie obrazi się, że sprawdzasz. Zadzwoń na jego znany numer. Informatyk nigdy nie prosi o hasło. W razie wątpliwości dzwonisz: informatyk lub pomoc techniczna jednostki.
2.5Hasła i logowanie dwuetapowe
- Używasz długiego hasła, np. zdania, które pamiętasz.
- Logujesz się wyłącznie na swoje konto.
- Blokujesz ekran, gdy odchodzisz od stanowiska.
- Nie zapisujesz hasła na karteczce przy monitorze.
- Nie logujesz się na koncie koleżanki.
- Nie podajesz kodu z SMS ani hasła nikomu.
Logowanie dwuetapowe to hasło plus kod z telefonu lub karty. Kod przekazany obcej osobie oddaje jej twoje konto. Gdy kod przychodzi bez logowania, zgłaszasz to od razu.
2.6Załączniki, linki, kody QR i pendrive’y
Załącznik z wiadomości o nazwie „wyniki_badan.zip” albo „skierowanie.pdf” może zawierać wirusa. Otwierasz tylko pliki, których się spodziewasz od znanej osoby.
- Link: najedź kursorem i przeczytaj adres. Nie klikaj, jeśli adres jest obcy.
- Kod QR: na ulotce w poczekalni może prowadzić na fałszywą stronę. Nie skanujesz nieznanych kodów.
- Pendrive lub płyta od pacjenta: nie wkładasz do komputera w rejestracji. Przekazujesz do sprawdzenia: informatyk lub pomoc techniczna jednostki.
2.7Blokada danych dla okupu (ransomware)
Ransomware to program, który szyfruje pliki i żąda okupu. W przychodni oznacza to brak dostępu do rejestracji, grafików i dokumentacji.
Zobacz rysunek 8. Ekran z żądaniem okupu wygląda dramatycznie, ale ty robisz tylko cztery rzeczy.
- 1Zaszyfrowane plikiKomunikat mówi, że dokumentacja i rejestracja są zablokowane.
- 2Licznik czasuOdliczanie ma wywołać panikę i szybką decyzję.
- 3Żądanie zapłatyPłatność w kryptowalucie nie daje gwarancji odzyskania plików.
- 4Zakaz zawiadamianiaOszuści izolują cię od pomocy. Ty zgłaszasz od razu.
- Odłączasz kabel sieciowy lub wyłączasz Wi-Fi.
- Zostawiasz komputer włączony.
- Dzwonisz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i informatyk lub pomoc techniczna jednostki.
- Przechodzisz na pracę awaryjną na papierze.
- Nie wyłączasz komputera.
- Nie płacisz okupu.
- Nie piszesz do oszustów.
2.8Telefon służbowy, komunikatory i zdjęcia
Dane pacjentów trzymasz tylko w systemie i na sprzęcie służbowym. Prywatny telefon i komunikator zostawiają kopie w miejscach, których podmiot nie kontroluje.
- Wyniki wydajesz zgodnie z regulamin udostępniania dokumentacji medycznej.
- Pacjentowi, który prosi o wynik w wiadomości, wskazujesz dozwolony sposób odbioru.
- Zdjęcia dokumentów robisz tylko aparatem służbowym, jeśli procedura to dopuszcza.
- Nie wysyłasz zdjęć wyników komunikatorem.
- Nie fotografujesz dokumentacji prywatnym telefonem.
- Nie wysyłasz skanów na prywatny adres pacjenta bez procedury.
2.9Sztuczna inteligencja i podrobiony głos
Publiczne narzędzia AI przyjmują wklejony tekst. Ten tekst opuszcza podmiot i możesz nie wiedzieć, gdzie trafi.
Nie wklejasz do nich danych pacjentów, także bez nazwiska. Wiek, miejscowość i rozpoznanie razem wskazują człowieka.
Technika potrafi też podrobić głos. Telefon głosem „dyrektora” albo „pacjenta” nie dowodzi, kto dzwoni. Zasada jest ta sama: sprawdzasz drugim kanałem.
Nie wklejasz danych pacjenta do publicznych narzędzi AI. Dlaczego? Tego, co wyszło poza podmiot, nie da się cofnąć.
2.10Ekran, stanowisko i praca poza biurem
Rejestracja jest na widoku. Ekran widzą pacjenci w kolejce, a rozmowę słyszą ludzie w poczekalni.
- Ekran ustawiasz tak, by nie widziała go kolejka, lub zakładasz filtr prywatności.
- Odchodząc od stanowiska, blokujesz ekran.
- Pracujesz z domu lub na zastępstwie? Używasz tylko sprzętu i sieci udostępnionych przez podmiot.
- Nie łączysz się z publicznym Wi-Fi w sprawach pacjentów.
15 fiszek do powtórki
Zakryj odpowiedź i powiedz ją na głos. Na platformie odwracasz karty kliknięciem.
Atakujący proszą, a ty sprawdzasz. Drugi kanał to twoja najlepsza obrona.
- Jaka podejrzana wiadomość lub telefon zdarzyły się ostatnio?
- Na jaki znany numer oddzwonię, gdy ktoś poprosi o dane?