Zagrożenia cyfrowe w mojej pracy
Oszuści nie muszą włamywać się do przychodni. Wystarczy, że ktoś kliknie, poda kod albo powie za dużo. Poznasz najczęstsze sztuczki i sposoby ich rozpoznania.
2.1Kto atakuje dział rozliczeń i po co
Dział rozliczeń ma pełny obraz pacjentów przychodni. To listy deklaracji, rozpoznania, procedury i kwoty. Masz też dostęp do portalu Funduszu, który przyjmuje raporty.
- Chcą pieniędzy: podmieniają numer rachunku albo żądają okupu.
- Chcą danych: sprzedają listy pacjentów lub szantażują nimi.
- Chcą dostępu: twoje konto do portalu otwiera raporty całej przychodni.
- Chcą wykorzystać termin: atak tuż przed terminem raportu działa najlepiej.
- Chcą dokumentacji: podszywają się pod policję, sąd lub audytora.
Zobacz rysunek 3.
2.2Fałszywe e-maile „od Funduszu” i fałszywy portal
Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane albo pieniądze. W rozliczeniach najczęściej udaje Fundusz Zdrowia Przykładowy.
Jak to wygląda. Mail ma temat „PILNE – raport odrzucony”. W środku jest link do „portalu” albo plik z „korektą”. Mail rozbierzesz w symulacji 1 (rysunek 7).
Zobacz rysunek 4. Tak wygląda strona, która kradnie login, hasło, kod z SMS-a i PIN karty. Numery na rysunku to numery sygnałów na liście.
Po czym poznasz: 5 sygnałów
- 1Obcy adres w pasku przeglądarkiAdres tylko przypomina adres Funduszu. Prawdziwy portal otwierasz z zakładki lub wpisujesz ręcznie.
- 2Presja czasu„Konto zostanie zablokowane”. Odliczanie ma wyłączyć myślenie.
- 3Hasło, kod z SMS i PIN karty narazPrawdziwy portal nigdy nie prosi o wszystko w jednym oknie. Każdy z tych kodów jest tylko twój.
- 4Przycisk bez nazwy podmiotuStrona nie zna twojego podmiotu ani numeru umowy. Prawdziwy portal wie, kim jesteś.
- 5Ogólne powitanie„Szanowny Użytkowniku”. Prawdziwy portal zwraca się do konta konkretnego świadczeniodawcy.
- Na portal wchodzisz z zakładki albo wpisujesz adres ręcznie.
- Sprawdzasz adres w pasku przeglądarki, zanim cokolwiek wpiszesz.
- Komunikat o odrzuceniu raportu sprawdzasz w portalu.
- Podejrzaną wiadomość zgłaszasz zgodnie z zasadami podmiotu.
- Nie klikasz linków z nieoczekiwanych wiadomości.
- Nie otwierasz plików .zip i „korekt”, na które nie czekasz.
- Nie wpisujesz hasła, kodu i PIN-u w jednym oknie.
2.3Fałszywe telefony: policja, sąd, „audytor”
Vishing (czytaj: wiszing) to oszustwo przez telefon. Oszust podaje się za policjanta, prokuratora, urzędnika sądu, ubezpieczyciela albo audytora.
Jak to wygląda. Rozmówca zna nazwę przychodni i nazwisko pacjenta. Mówi pewnie i urzędowo. Wywiera presję: „sprawa jest pilna”, „to postępowanie”, „proszę nikomu nie mówić”.
- Prosi o dokumentację lub dane pacjenta przez telefon.
- Pogania i nie pozwala się rozłączyć.
- Każe nikomu nie mówić o rozmowie.
- Numer na wyświetlaczu wygląda wiarygodnie. Ale numer da się podrobić.
- Mówisz: „Oddzwonię”. Kończysz rozmowę.
- Numer organu bierzesz ze strony urzędowej lub z pisma w aktach.
- Próbę wyłudzenia zgłaszasz, nawet jeśli rozmowa niczego nie wyłudziła.
- Nie podajesz dokumentacji przez telefon.
- Nie oddzwaniasz na numer podany przez rozmówcę.
- Nie odsyłasz skanów na adres, który podał rozmówca.
Zobacz rysunek 5. Tak sprawdzasz każdą prośbę o dane przez telefon.
Sprawdzasz innym kanałem. Gdy ktoś prosi o dane, hasło lub dokumentację, dzwonisz na numer, który znasz. Nie na numer z wiadomości. Tak sprawdzisz, kto naprawdę pyta.
2.4Podszywanie się pod kierownika i dostawcę
Oszust pisze jako dyrektor, kierownik albo dostawca systemu. Prosi o coś pilnego i nietypowego. Na przykład o zmianę numeru rachunku do wypłat, imienny wykaz pacjentów lub zdalny dostęp.
Jak to wygląda. Wiadomość przychodzi z adresu podobnego do służbowego. Prośba jest „poufna”. Nadawca pisze: „jestem na spotkaniu, nie dzwoń, zrób to teraz”.
- Nietypowa prośba poza zwykłą drogą.
- Adres różni się jedną literą albo domeną.
- Zakaz dzwonienia i presja czasu.
- Potwierdzasz prośbę telefonicznie, na znany ci numer.
- Zmiany numeru rachunku zgłaszasz osobie, która za to odpowiada.
- Wykaz imienny przygotowujesz dopiero po sprawdzeniu prośby i celu.
- Nie wysyłasz danych pacjentów na adresy poza podmiotem, nawet przełożonego.
- Nie zmieniasz numeru rachunku na podstawie samego maila.
2.5Hasła, konto do portalu Funduszu i karta
Hasło to klucz do raportów i danych pacjentów. Logowanie dwuetapowe to drugi zamek: kod z SMS-a lub z aplikacji. Karta kryptograficzna z PIN-em pozwala podpisywać dokumenty twoim nazwiskiem.
Jak to wygląda. W biurze jedno konto do portalu ma cały dział. Hasło leży w zeszycie przy komputerze. Przy urlopie koleżanki ktoś loguje się jej kontem.
- Masz własne konto do portalu i własną kartę.
- Tworzysz hasło z trzech, czterech przypadkowych słów, np. „kubek-zegar-las-niebo”.
- Zmieniasz hasło od razu, gdy ktoś mógł je poznać.
- Kartę wyjmujesz z czytnika, gdy odchodzisz.
- Kod z SMS-a wpisujesz tylko wtedy, gdy logujesz się ty.
- Nie podajesz hasła, PIN-u ani kodu nikomu. Także informatykowi i przełożonemu.
- Nie zapisujesz hasła w zeszycie ani na kartce przy komputerze.
- Nie używasz cudzego konta, nawet za zgodą kierownika.
- Nie pożyczasz karty „na chwilę”.
Hasła, PIN-u i kodu z SMS-a nie podajesz nikomu. Nikt uczciwy o nie nie prosi.
2.6Eksporty, arkusze, pendrive i chmura
Eksport to plik z danymi wielu pacjentów naraz. Powstaje w sekundę, a ginie jeszcze szybciej. Leży na pulpicie, w poczcie, na pendrivie albo w prywatnej chmurze.
Jak to wygląda. Przed terminem raportu zapisujesz arkusz „na szybko”. Potem kopiujesz go na pendrive, żeby dokończyć w domu. Plik zostaje w trzech miejscach, a ty pamiętasz o jednym.
- Eksport zapisujesz w folderze podmiotu z dostępem dla zespołu rozliczeń.
- Plik z danymi pacjentów chronisz hasłem lub szyfrowaniem.
- Bierzesz tylko kolumny, które są potrzebne.
- Po pracy usuwasz kopie robocze.
- Nie zostawiasz eksportu na pulpicie.
- Nie zapisujesz danych na pendrivie ani w prywatnej chmurze.
- Nie wysyłasz arkusza z danymi zwykłym mailem.
- Nie podłączasz obcego pendrive’a do sprzętu służbowego.
2.7Blokada danych dla okupu (ransomware) przed terminem raportu
Ransomware (czytaj: rensomłer) to program, który szyfruje pliki. Potem przestępca żąda okupu za ich odblokowanie. Zobacz rysunek 6.
Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki rozliczeń są niedostępne, a termin raportu zbliża się. Presja terminu ma cię skłonić do pochopnych decyzji.
- Odłączasz sprzęt od internetu: wyłączasz Wi-Fi albo wyjmujesz kabel.
- Nie wyłączasz komputera, chyba że każe tak pomoc IT.
- Od razu dzwonisz pod numer z karty stanowiskowej.
- Sprawę terminu raportu zostawiasz kierownikowi.
- Nie płacisz i nie piszesz do przestępców.
- Nie kopiujesz danych na pendrive, żeby „ratować raport”.
- Nie kończysz raportu na prywatnym komputerze.
2.8Praca zdalna: Wi-Fi, laptop i telefon
Czasem pracujesz poza biurem. Domowa sieć i prywatny komputer nie mają zabezpieczeń podmiotu. Telefon służbowy masz przy sobie, a w nim pocztę i kontakty.
Jak to wygląda. Dokańczasz zestawienie wieczorem. Przenosisz eksport na prywatny laptop. W domu ktoś zagląda ci przez ramię albo korzysta z tego samego komputera.
- Pracujesz na sprzęcie służbowym.
- Łączysz się przez połączenie zatwierdzone przez podmiot.
- Blokujesz ekran, gdy odchodzisz, także w domu.
- Ustawiasz ekran tak, by domownicy go nie widzieli.
- Nie łączysz sprzętu służbowego z publicznym Wi-Fi.
- Nie przenosisz eksportu na prywatny komputer.
- Nie wysyłasz danych pacjentów prywatnymi komunikatorami.
- Nie drukujesz danych pacjentów w domu.
2.9Sztuczna inteligencja i podrobiony głos
Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Ale wszystko, co do nich wkleisz, trafia do zewnętrznej firmy. Przestępcy używają też AI do podrabiania głosu.
- Dzwoni głos „kierownika” albo „dyrektora”, ale prośba jest nietypowa.
- Nagranie wideo „z Funduszu” pogania i prosi o dane.
- Do publicznych czatów AI nie wklejasz zestawień ani wykazów.
- Korzystasz z narzędzi AI zatwierdzonych przez podmiot.
- Nietypową prośbę „szefa” sprawdzasz, dzwoniąc na znany numer.
- Nie wklejasz do czatów AI zestawień z rozpoznaniami, nazwiskami ani PESEL-ami.
- Usunięcie nazwiska nie wystarcza. Wiek, miejscowość i choroba też wskazują człowieka.
Dane pacjentów nie trafiają do czatu AI. Do publicznych czatów AI nie wklejasz niczego, co dotyczy pacjentów. Raz wysłanego tekstu nie da się cofnąć.
2.10Zdalny dostęp: fałszywy informatyk i „audytor”
Oszust dzwoni jako informatyk, serwis systemu gabinetowego albo audytor. Prosi o zainstalowanie programu do zdalnego dostępu. Wtedy widzi twój ekran i otwiera foldery z eksportami.
Jak to wygląda. Rozmówca zna nazwę przychodni i system. Mówi o „pilnej aktualizacji portalu” lub „weryfikacji zgodności”. Prosi o numer z ekranu albo kod z SMS-a.
- Zdalny dostęp daje tylko pracownik informatyk lub pomoc techniczna jednostki i tylko na twoją prośbę.
- Nieznanego rozmówcę prosisz o oddzwonienie. Sprawdzasz go w informatyk lub pomoc techniczna jednostki.
- Gdy dostęp został już dany, od razu odłączasz sieć i zgłaszasz.
- Nie instalujesz programu zdalnego na prośbę z telefonu.
- Nie podajesz numeru z ekranu ani kodu z SMS-a.
- Nie zostawiasz rozmówcy samego na zdalnym połączeniu.
Fiszki: pojęcia z modułu 2
Zakryj opis i spróbuj powiedzieć go na głos. Na platformie odwracasz fiszki kliknięciem.
- Która z fałszywych wiadomości mogłaby dotrzeć do mnie?
- Komu zgłoszę podejrzaną wiadomość?