Zagrożenia cyfrowe w mojej pracy
Ten moduł pokazuje, jak oszuści docierają do lekarzy i gabinetów. Dla każdego zagrożenia dowiesz się, co zrobić w 10 sekund.
2.1Kto atakuje przychodnię i po co
Atakujący chcą dwóch rzeczy: pieniędzy i informacji. Twoje konto otwiera jedno i drugie.
Dane o zdrowiu można sprzedać albo użyć do szantażu. Twoja karta pozwala wystawiać recepty. System można zablokować i żądać okupu. Przychodnia nie może długo przerwać pracy, więc często płaci.
Atakujący rzadko łamią zabezpieczenia. Zwykle proszą człowieka, by sam otworzył drzwi. Dlatego ty jesteś ważniejszy niż najlepszy program.
Rysunek 4 pokazuje, skąd zwykle przychodzi atak.
Prośba o dane, hasło, PIN, kod lub pieniądze to sygnał do sprawdzenia. Dlaczego? Bo atak zaczyna się od prośby, nie od włamania.
2.2Fałszywe e-maile (phishing)
Phishing to wiadomość, która udaje kogoś zaufanego. Chce, żebyś kliknął, otworzył plik albo podał hasło.
Oszuści udają Centrum e-Zdrowia, izbę, laboratorium, szpital, dostawcę systemu i kuriera. Częsty trik to „certyfikat wygasa” albo „wyniki w załączniku”.
Zobacz rysunek 5. Siedem sygnałów pomaga rozpoznać fałszywą wiadomość. Na rysunku widać pięć z nich.
- 1Adres nadawcyDomena zawiera słowo „pilne”. Prawdziwe laboratorium pisze z własnej domeny.
- 2Temat z pośpiechemPośpiech ma sprawić, że nie sprawdzisz wiadomości.
- 3Ogólne powitanie„Szanowny Doktorze” – laboratorium, które cię zna, użyłoby twojego nazwiska.
- 4Link z innym adresemPrzycisk prowadzi na obcą stronę. Portal laboratorium otwierasz z własnych zakładek.
- 5Załącznik .zipArchiwum z „wynikami” to typowy nośnik wirusa. Wyniki odbierasz w systemie.
Siedem sygnałów fałszywej wiadomości
| Nr | Sygnał | Co robisz |
|---|---|---|
| 1 | Obcy adres nadawcy | Nazwa wygląda znajomo, ale adres jest inny niż zwykle. Sprawdź część po znaku @. |
| 2 | Pośpiech i presja | Słowa „pilne”, „dziś”, „wygasa” mają wyłączyć ostrożność. |
| 3 | Ogólne powitanie | „Szanowny Doktorze” zamiast twojego nazwiska. Prawdziwa instytucja zna cię z nazwiska. |
| 4 | Prośba o dane, hasło lub PIN | Prawdziwy serwis nie prosi o hasło ani PIN w wiadomości. |
| 5 | Podejrzany link | Napis na przycisku mówi jedno, adres pod nim drugie. Najedź kursorem i przeczytaj. |
| 6 | Nietypowy załącznik | Plik .exe, .zip lub „wyniki” bez zapowiedzi może zawierać wirusa. |
| 7 | Dziwny styl | Błędy, nietypowe sformułowania, inny ton niż zwykle. Oszuści często piszą w pośpiechu. |
Nie klikasz, nie otwierasz, nie odpisujesz. Zgłaszasz. Dlaczego? Jedno kliknięcie może zablokować system całej przychodni.
Zgłoszenie przekazujesz pod: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Wiadomości nie usuwasz, bo informatyk potrzebuje śladu.
2.3Fałszywe telefony i SMS-y
Telefon jest ważnym narzędziem lekarza. Dlatego oszuści dzwonią do gabinetów, na teleporady i na numery służbowe.
Dzwonią jako prokuratura, ubezpieczyciel, pracodawca pacjenta, syn pacjenta albo lekarz z innej placówki. Każdy ma pilną historię.
Oszust często prosi o drobiazg: „potwierdzę tylko, czy ten pan leczy się u państwa”. Samo „tak” to już informacja o zdrowiu. Nie potwierdzasz.
Zobacz rysunek 6. Tak wygląda SMS, który ma wyłudzić kod do konta.
- 1Nieznany numerIzba nie pisze do lekarzy z numeru komórkowego.
- 2Groźba i „DZIŚ”Straszenie zawieszeniem ma cię zdenerwować.
- 3Link i prośba o kodKod z SMS to klucz do konta. Nikomu go nie podajesz.
- 4Kara za brak wpłatyUczciwa instytucja nie grozi utratą dostępu w SMS-ie.
Przy każdej podejrzanej prośbie stosujesz drugi kanał. Rysunek 7 pokazuje cztery kroki.
Prośba przez telefon? Rozłącz się i oddzwoń na numer, który znasz. Dlaczego? Numer dzwoniącego można podrobić. Numeru z akt nie da się podrobić.
2.4Podszywanie się pod przełożonego i dostawcę
Oszust pisze lub dzwoni jako dyrektor, kierownik, informatyk albo kolega ze szpitala. Prosi o pilną listę pacjentów, hasło lub zdalny dostęp.
- Dyrektor, który „jest na spotkaniu” i prosi o pilny skan dokumentacji.
- Informatyk, który prosi o hasło „do sprawdzenia”.
- Dostawca systemu, który chce zdalnie „naprawić błąd”.
Prawdziwy przełożony nie obrazi się, że sprawdzasz. Zadzwoń na jego znany numer. Informatyk nigdy nie prosi o hasło. W razie wątpliwości dzwonisz: informatyk lub pomoc techniczna jednostki.
2.5Hasła, PIN i karta do podpisu
- Używasz długiego hasła, np. zdania, które pamiętasz.
- Logujesz się wyłącznie na swoje konto.
- Odchodząc, blokujesz ekran i wyjmujesz kartę z czytnika.
- PIN znasz tylko ty.
- Nie zapisujesz hasła ani PIN-u na karteczce.
- Nie podajesz PIN-u i hasła asystentce „na chwilę”.
- Nie zostawiasz zalogowanej sesji i karty w czytniku.
- Nie podajesz kodu z SMS nikomu.
Logowanie dwuetapowe to hasło plus kod z telefonu lub karty. Kod przekazany obcej osobie oddaje jej twoje konto. Gdy kod przychodzi bez logowania, zgłaszasz to od razu.
2.6Załączniki, linki, kody QR i nośniki
Załącznik „wyniki_pacjenta.zip” albo „skierowanie.pdf” może zawierać wirusa. Otwierasz tylko pliki, których się spodziewasz od znanej osoby.
- Link: najedź kursorem i przeczytaj adres. Nie klikaj, jeśli adres jest obcy.
- Kod QR: na ulotce od przedstawiciela może prowadzić na fałszywą stronę. Nie skanujesz nieznanych kodów.
- Płyta lub pendrive od pacjenta: nie wkładasz do komputera w gabinecie. Przekazujesz do sprawdzenia: informatyk lub pomoc techniczna jednostki.
2.7Blokada danych dla okupu (ransomware)
Ransomware to program, który szyfruje pliki i żąda okupu. W przychodni oznacza to brak dostępu do kartotek, recept i grafików.
Zobacz rysunek 8. Ekran z żądaniem okupu wygląda dramatycznie, ale ty robisz tylko cztery rzeczy.
- 1Zaszyfrowane plikiKomunikat mówi, że dokumentacja i recepty są zablokowane.
- 2Licznik czasuOdliczanie ma wywołać panikę i szybką decyzję.
- 3Żądanie zapłatyPłatność w kryptowalucie nie daje gwarancji odzyskania plików.
- 4Zakaz zawiadamianiaOszuści izolują cię od pomocy. Ty zgłaszasz od razu.
- Odłączasz kabel sieciowy lub wyłączasz Wi-Fi.
- Zostawiasz komputer włączony.
- Dzwonisz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i informatyk lub pomoc techniczna jednostki.
- Przechodzisz na pracę awaryjną na papierze.
- Nie wyłączasz komputera.
- Nie płacisz okupu.
- Nie piszesz do oszustów.
2.8Telefon, komunikatory i zdjęcia
Szybka konsultacja z kolegą kusi: zdjęcie EKG, wyniku albo zmiany skórnej z prywatnego telefonu. Taka wiadomość zostaje w telefonie, w chmurze i w kopiach, których podmiot nie kontroluje.
- Konsultujesz kanałem wskazanym przez podmiot.
- Dane pacjenta przesyłasz tylko w systemie i na sprzęcie służbowym.
- Zdjęcia robisz aparatem służbowym, jeśli procedura to dopuszcza.
- Nie wysyłasz zdjęć wyników komunikatorem.
- Nie fotografujesz dokumentacji prywatnym telefonem.
- Nie przesyłasz opisu przypadku na prywatny adres.
2.9Sztuczna inteligencja i podrobiony głos
Publiczne narzędzia AI przyjmują wklejony tekst. Kusi, by streścić wypis albo przetłumaczyć list od pacjenta. Ten tekst opuszcza podmiot i możesz nie wiedzieć, gdzie trafi.
Nie wklejasz do nich danych pacjentów, także bez nazwiska. Wiek, miejscowość i rozpoznanie razem wskazują człowieka.
Technika potrafi też podrobić głos. Telefon głosem „dyrektora” albo „pacjenta” nie dowodzi, kto dzwoni. Zasada jest ta sama: sprawdzasz drugim kanałem.
Nie wklejasz danych pacjenta do publicznych narzędzi AI. Dlaczego? Tego, co wyszło poza podmiot, nie da się cofnąć.
2.10Ekran, stanowisko i praca poza gabinetem
W gabinecie ekran widzi pacjent i osoba towarzysząca. Poza gabinetem prowadzisz teleporadę z domu albo jedziesz na wizytę domową.
- Ekran ustawiasz tak, by nie widziała go osoba towarzysząca.
- Odchodząc od stanowiska, blokujesz ekran.
- Poza przychodnią używasz tylko sprzętu i sieci udostępnionych przez podmiot.
- Nie łączysz się z publicznym Wi-Fi w sprawach pacjentów.
15 fiszek do powtórki
Zakryj odpowiedź i powiedz ją na głos. Na platformie odwracasz karty kliknięciem.
Atakujący proszą, a ty sprawdzasz. Drugi kanał to twoja najlepsza obrona.
- Jaka podejrzana wiadomość lub telefon zdarzyły się ostatnio?
- Na jaki znany numer oddzwonię, gdy ktoś poprosi o dane?