Zagrożenia cyfrowe w mojej pracy
Oszuści nie muszą włamywać się do przychodni. Wystarczy, że ktoś kliknie, poda kod albo powie za dużo. Poznasz najczęstsze sztuczki i sposoby ich rozpoznania.
2.1Kto atakuje przychodnię i po co
Przychodnia ma dane, które są cenne dla przestępców. To rozpoznania, numery PESEL, wyniki i recepty. Masz też dostęp do systemu, w którym te dane są.
- Chcą pieniędzy: wyłudzają przelew albo okup za odblokowanie danych.
- Chcą danych: sprzedają je albo szantażują nimi pacjentów.
- Chcą dostępu: twoje hasło otwiera system z danymi tysięcy osób.
- Chcą recept i leków: podszywają się pod lekarza lub pacjenta.
- Chcą znaleźć człowieka: sprawca przemocy szuka adresu ofiary.
Zobacz rysunek 3.
2.2Fałszywe wiadomości e-mail (phishing)
Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane albo pieniądze. Często wygląda jak zwykła sprawa służbowa.
Jak to wygląda. Wiadomość udaje Fundusz Zdrowia, Centrum e-Zdrowia, laboratorium albo dostawcę systemu gabinetowego. Ma temat „PILNE” albo „wyniki badań”. Czytasz ją na telefonie, między wizytami. Wtedy najłatwiej się pomylić.
Zobacz rysunek 4. Numery na rysunku to numery sygnałów na liście.
Po czym poznasz: 7 sygnałów
- 1Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
- 2Pośpiech i groźba„Pilne”, „dziś”, „wstrzymamy wypłatę”. Presja ma wyłączyć myślenie.
- 3Ogólne powitanieKtoś, kto cię zna, pisze po nazwisku i podaje numer sprawy.
- 4Link prowadzi gdzie indziejAdres strony nie pasuje do nadawcy.
- 5Niespodziewany załącznikPlik „wyniki badań.zip”, „skierowanie.pdf” albo „faktura”, na który nie czekasz.
- 6Prośba o hasło lub kodNikt z twojego podmiotu nie poprosi o hasło mailem.
- 7Coś się nie zgadzaBłędy językowe, dziwna godzina, inny styl niż zwykle.
- Sprawdzasz adres nadawcy, nie tylko nazwę.
- Przytrzymujesz palec na linku i czytasz adres strony.
- Przy prośbie o dane lub pieniądze dzwonisz do nadawcy na znany numer.
- Podejrzaną wiadomość zgłaszasz zgodnie z zasadami podmiotu.
- Nie klikasz linków z nieoczekiwanych wiadomości.
- Nie otwierasz plików .zip, .exe i „faktur”, na które nie czekasz.
- Nie odpisujesz z pytaniem, czy wiadomość jest prawdziwa.
2.3Fałszywe telefony i SMS-y
Vishing (czytaj: wiszing) to oszustwo przez telefon. Smishing to oszustwo przez SMS. Oszust podaje się za pacjenta, rodzinę, lekarza, policję, sąd, ubezpieczyciela albo kuriera.
Jak to wygląda. Rozmówca zna twoje nazwisko i nazwisko pacjenta. Mówi pewnie i fachowo. Wywiera presję: „sprawa jest pilna”, „sędzia czeka”, „dziecko jest w niebezpieczeństwie”.
- Prosi o dane pacjenta, PESEL, adres albo kod z SMS-a.
- Pogania i nie pozwala się rozłączyć.
- Każe nikomu nie mówić o rozmowie.
- Numer na wyświetlaczu wygląda wiarygodnie. Ale numer da się podrobić.
- Mówisz: „Oddzwonię”. Kończysz rozmowę.
- Numer instytucji bierzesz z akt, z oficjalnej strony albo od przełożonego.
- Próbę wyłudzenia zgłaszasz, nawet jeśli rozmowa niczego nie wyłudziła.
- Nie podajesz danych osobie, której tożsamości nie potwierdzisz.
- Nie oddzwaniasz na numer podany przez rozmówcę.
- Nie klikasz linków w SMS-ach o dostawach, dopłatach i blokadach.
Zobacz rysunek 5. Tak sprawdzasz każdą prośbę o dane przez telefon.
Sprawdzasz innym kanałem. Gdy ktoś prosi o dane, hasło albo pieniądze, dzwonisz na numer, który znasz. Nie na numer z wiadomości. Tak sprawdzisz, kto naprawdę pyta.
Jak to zrobić: drugi kanał
| Kanał, w którym przychodzi prośba | Co robisz | Dlaczego |
|---|---|---|
| E-mail z prośbą o dane, pieniądze albo zmianę numeru konta | 1. Nie odpowiadasz na wiadomość. 2. Dzwonisz do nadawcy na numer, który znasz z akt, z umowy albo od przełożonego. 3. Pytasz: „Czy wysłał Pan dziś taką prośbę?”. 4. Wiadomość zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie usuwasz jej. | Odpowiedź trafia do oszusta. Numer z wiadomości też należy do niego. |
| Telefon od „sądu”, „policji”, „Funduszu”, „lekarza” | 1. Mówisz: „Oddzwonię”. 2. Kończysz rozmowę, także gdy rozmówca się spieszy. 3. Numer instytucji bierzesz z akt albo z oficjalnej strony. 4. Oddzwaniasz i pytasz o sprawę. | Numer na wyświetlaczu da się podrobić. Prawdziwa instytucja poczeka na oddzwonienie. |
| SMS z linkiem („alarm lodówki”, „dostawa”) | 1. Nie klikasz. 2. Aplikację otwierasz z listy aplikacji w telefonie albo wpisujesz adres strony ręcznie. 3. Sprawę sprawdzasz w tym miejscu, na przykład odczyt na czujniku przy lodówce. 4. SMS zgłaszasz. | Link prowadzi na fałszywą stronę, która kradnie hasło. |
| Osoba przy drzwiach lub w gabinecie („z serwisu”, „z laboratorium”) | 1. Nie zostawiasz jej samej. 2. Dzwonisz do przełożonego albo informatyk lub pomoc techniczna jednostki na znany numer i pytasz, czy ktoś zlecił wizytę. 3. Wpuszczasz tylko osobę, którą ktoś potwierdził. | Oszust zna nazwę firmy, ale nie ma zlecenia. |
| Prośba o zdalny dostęp do komputera („informatyk”) | 1. Odmawiasz. 2. Dzwonisz do informatyk lub pomoc techniczna jednostki na znany numer. 3. Dostęp daje tylko pracownik pomocy IT i tylko na twoją prośbę. | Zdalny dostęp daje pełną kontrolę nad komputerem i systemem. |
— Dzień dobry, dzwonię z sądu rodzinnego. Pilnie potrzebuję adresu noworodka.
— Rozumiem. Oddzwonię na numer sądu z naszych akt.
— Nie ma czasu!
— Wolę oddzwonić za pięć minut, niż podać adres osobie, której nie sprawdzę.
Masz wątpliwość, czy prośba jest prawdziwa? Nie wykonujesz jej. Mówisz osobie, która czeka: „Sprawdzę i dam znać”. Pytasz bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Dlaczego? Zwłoka kosztuje godzinę. Błąd może kosztować bezpieczeństwo pacjenta.
2.4Podszywanie się pod przełożonego i dostawcę
Oszust pisze jako twój kierownik, dyrektor albo stały dostawca. Prosi o coś pilnego i nietypowego. Na przykład o listę pacjentów, zmianę numeru konta albo zdalny dostęp do komputera.
Jak to wygląda. Wiadomość przychodzi z prywatnego adresu albo z adresu podobnego do służbowego. Prośba jest pilna i „poufna”. Fałszywy „informatyk” dzwoni i prosi o zdalne połączenie z twoim komputerem.
- Nietypowa prośba poza zwykłą drogą.
- Adres różni się jedną literą albo domeną.
- „Jestem na spotkaniu, nie dzwoń, zrób to teraz”.
- Potwierdzasz prośbę telefonicznie, na znany ci numer.
- Zdalny dostęp dajesz tylko pracownikowi informatyk lub pomoc techniczna jednostki i tylko na twoją prośbę.
- Zmiany numeru konta zgłaszasz osobie, która za to odpowiada.
- Nie wysyłasz danych pacjentów na prywatne adresy, nawet przełożonego.
- Nie instalujesz programu do zdalnego dostępu na prośbę z telefonu.
2.5Hasła, logowanie dwuetapowe i karta kryptograficzna
Hasło to klucz do danych wszystkich pacjentów w systemie. Logowanie dwuetapowe to drugi zamek: kod z SMS-a lub z aplikacji. Karta kryptograficzna z PIN-em pozwala podpisywać e-recepty i dokumenty twoim nazwiskiem.
- Tworzysz hasło z trzech, czterech przypadkowych słów, np. „kubek-zegar-las-niebo”.
- Do każdego systemu masz inne hasło.
- Zmieniasz hasło od razu, gdy ktoś mógł je poznać.
- Kartę kryptograficzną wyjmujesz z czytnika, gdy odchodzisz.
- Kod z SMS-a wpisujesz tylko wtedy, gdy logujesz się ty.
- Nie podajesz hasła, PIN-u ani kodu nikomu. Także informatykowi i przełożonemu.
- Nie zapisujesz hasła na kartce przy komputerze ani na tablecie.
- Nie pożyczasz karty koleżance „na chwilę”.
- Nie używasz hasła służbowego w prywatnych serwisach.
Hasła, PIN-u i kodu z SMS-a nie podajesz nikomu. Nikt uczciwy o nie nie prosi.
2.6Załączniki, linki, kody QR, pendrive’y i płyty od pacjentów
Każdy z nich może przenieść złośliwy program. Kod QR to ukryty link. Nie widzisz, dokąd prowadzi. Pendrive lub płyta z badaniami od pacjenta wygląda niewinnie, a może zawierać wirusa.
- Załącznik, na który nie czekasz, zwłaszcza .zip, .exe, .js.
- Kod QR naklejony na ulotkę, pismo albo plakat.
- Pendrive lub płyta „z wynikami” od pacjenta albo rodziny.
- Adres strony Funduszu lub laboratorium wpisujesz ręcznie.
- Nośnik od pacjenta oddajesz osobie z informatyk lub pomoc techniczna jednostki albo prosisz o wyniki na papierze.
- Nie skanujesz kodów QR z przypadkowych kartek.
- Nie podłączasz obcych pendrive’ów ani płyt do sprzętu służbowego.
- Nie podłączasz ich też do komputera prywatnego.
2.7Blokada danych dla okupu (ransomware)
Ransomware (czytaj: rensomłer) to program, który szyfruje pliki. Potem przestępca żąda okupu za ich odblokowanie. Zobacz rysunek 6.
Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. System gabinetowy nie działa. Nie wystawisz e-recepty ani nie wpiszesz szczepienia.
- Odłączasz sprzęt od internetu: wyłączasz Wi-Fi, wyjmujesz kabel albo włączasz tryb samolotowy.
- Nie wyłączasz komputera, chyba że każe tak pomoc IT.
- Od razu dzwonisz pod numer z karty stanowiskowej.
- Pacjentów wpisujesz na formularzu awaryjnym według procedura zgłaszania incydentów.
- Nie płacisz i nie piszesz do przestępców.
- Nie próbujesz „naprawiać” komputera na własną rękę.
- Nie zapisujesz danych pacjentów na luźnych kartkach ani w telefonie.
2.8Telefon służbowy, komunikatory i zdjęcia
Telefon służbowy masz przy sobie cały dzień. Jest w nim poczta, kontakty i zdjęcia. Zgubiony lub źle używany zdradza dane wielu pacjentów.
Jak to wygląda. Rodzina pacjenta prosi o twój prywatny numer. Chce przysłać zdjęcie rany, recepty albo wyniku na komunikatorze. To wygodne. Ale zdjęcie trafia do galerii i do chmury poza kontrolą podmiotu.
- Masz włączoną blokadę ekranu z kodem.
- Zdjęcia robisz tylko telefonem służbowym i tylko, gdy to konieczne.
- Zdjęcia przenosisz do dokumentacji i usuwasz z telefonu najpóźniej następnego dnia roboczego.
- Rodzinie podajesz numer służbowy albo numer podmiotu.
- Nie wysyłasz danych pacjentów prywatnymi komunikatorami.
- Nie podajesz rodzinom prywatnego numeru.
- Nie zostawiasz w SMS-ach i na poczcie głosowej opisu choroby.
2.9Sztuczna inteligencja i podrobiony głos
Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Ale wszystko, co do nich wkleisz, trafia do zewnętrznej firmy. Przestępcy używają też AI do podrabiania głosu i obrazu.
- Ktoś dzwoni głosem lekarza albo pacjenta, ale prośba jest nietypowa.
- Nagranie wideo „z Funduszu” pogania i prosi o dane.
- Do publicznych czatów AI wklejasz tylko tekst bez danych ludzi.
- Korzystasz tylko z narzędzi AI zatwierdzonych przez podmiot.
- Nietypową prośbę „lekarza” albo „szefa” sprawdzasz, dzwoniąc na znany numer.
- Nie wklejasz do czatów AI opisu przypadku, wyników, skierowań ani nazwisk.
- Usunięcie nazwiska nie wystarcza. Wiek, miejscowość i choroba też wskazują człowieka.
Dane pacjentów nie trafiają do czatu AI. Do publicznych czatów AI nie wklejasz niczego, co dotyczy pacjentów. Raz wysłanego tekstu nie da się cofnąć.
2.10Praca poza gabinetem: Wi-Fi, ekran, torba w drodze
W terenie pracujesz w miejscach, których nie kontrolujesz. Dom pacjenta, szkoła, samochód i klatka schodowa to takie miejsca. Każdy może tam zobaczyć ekran albo podsłuchać rozmowę.
- Korzystasz z internetu w telefonie lub tablecie służbowym.
- Ekran trzymasz tak, by nikt obcy go nie widział.
- Blokujesz tablet, gdy odkładasz go choćby na chwilę.
- Teleporadę prowadzisz w pokoju, w którym nikt cię nie słyszy.
- Nie łączysz sprzętu służbowego z publicznym Wi-Fi.
- Nie czytasz dokumentacji w autobusie ani w kawiarni.
- Nie zostawiasz torby, tabletu ani próbek w samochodzie.
- Nie uzupełniasz dokumentacji wieczorem na prywatnym komputerze.
Fiszki: pojęcia z modułu 2
Zakryj opis i spróbuj powiedzieć go na głos. Na platformie odwracasz fiszki kliknięciem.
- Która z fałszywych wiadomości mogłaby dotrzeć do mnie?
- Komu zgłoszę podejrzaną wiadomość?