OZ-09 · Poradnik stanowiskowy · ochrona zdrowia · Twoja jednostka · wersja data wersjiOpracowanie: BEZPIECZNE DANE sp. z o.o.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ok. 30 min
Zagrożenia cyfrowe w mojej pracy
Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz w link albo wykonasz „pilne polecenie prezesa”. Dlatego fałszywa wiadomość wygląda jak zwykła korespondencja.
2.1. Kto i po co atakuje
Do sekretariatu trafia najwięcej poczty, więc atakujący zaczynają tutaj. Chcą pieniędzy, danych i dostępu do systemu. Sekretariat bywa celem oszustwa „na prezesa”. Większość ataków zaczyna się od wiadomości albo telefonu (rysunek 3).
Rysunek 3. Udział sposobów ataku – dane przykładowe, pokazują proporcje, nie są statystyką.
Zasada
Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz na numer, który znasz. Dzięki temu oszust nie podszyje się pod nikogo.
Dla zainteresowanych
Takie oszustwo nazywa się phishingiem – od angielskiego „łowienia”. Przy SMS-ach to smishing, przy telefonach vishing. Oszustwo „na prezesa” to phishing wymierzony w sekretariat.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
2.2. Fałszywe wiadomości e-mail (phishing)
Jak to wygląda. Wiadomość udaje Fundusz, sąd lub kancelarię. Często zawiera „wezwanie” do otwarcia (rysunek 4).
Rysunek 4. Przykład fałszywego e-maila (fikcyjny) – pięć sygnałów widać na pierwszy rzut oka.
7 sygnałów ostrzegawczych
1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „dziś”, „uznane za niedoręczone”.
3
Ogólne powitanieKtoś, kto cię zna, pisze po nazwisku lub roli.
4
Link prowadzi gdzie indziejPrzytrzymaj kursor na linku. Adres nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip lub .exe, na który nie czekasz.
6
Prośba o hasło lub kodNikt z twojego podmiotu nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, nietypowa godzina, inny styl.
Co robisz. Nie klikasz i nie otwierasz załącznika. Zgłaszasz wiadomość. Czego nie robisz. Nie odpisujesz z pytaniem „czy to prawda?”. Oszust zawsze potwierdzi.
Zapamiętaj
Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytaj.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
2.3. Fałszywe telefony (vishing) i SMS-y (smishing)
Jak to wygląda. Dzwoni „kancelaria”, „bank”, „policja” albo „Fundusz”. Rozmówca mówi pewnie i pogania. Zobacz rysunek 5.
Po czym poznasz.
Prosi o adres pacjenta, status pisma, kod z SMS-a albo pilny przelew.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie, ale da się go podrobić.
Co robisz. Mówisz: „Oddzwonię” albo „Proszę o pismo”. Numer instytucji bierzesz z akt lub z jej oficjalnej strony. Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.
Czego nie robisz. Nie podajesz adresów ani statusu pism niesprawdzonej osobie. Nie klikasz linków w SMS-ach o blokadzie konta.
Dlaczego. Adres podany przez telefon może posłużyć do nękania człowieka.
Rysunek 5. Fikcyjny SMS. 1 – nieznany nadawca. 2 – prośba o login i kod. 3 – krótki termin. 4 – groźba. 5 – obcy link.
2.4. Podszycie pod prezesa i dyrektora
Jak to wygląda. Wiadomość przychodzi „od prezesa” z adresu podobnego do służbowego. Prosi o pilny przelew, przesłanie skanów albo zmianę numeru konta. Zobacz rysunek 6.
Rysunek 6. Fikcyjna prośba. 1 – adres podobny do służbowego. 2 – pośpiech w temacie. 3 – pilny przelew. 4 – zakaz rozmowy.
Co robisz. Prośbę potwierdzasz telefonem na znany numer prezesa. Czego nie robisz. Nie robisz przelewu na podstawie samego maila. Dlaczego. Pieniądze wysłane oszustowi rzadko wracają. Schemat pokazuje rysunek 7.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Schemat drugiego kanału
Rysunek 7. Zasada drugiego kanału: prośbę sprawdzasz telefonem na znany numer.
Jak to zrobić: drugi kanał
Kanał, w którym przychodzi prośba
Co robisz
Dlaczego
E-mail z prośbą o dane, przelew albo zmianę numeru konta
1. Nie odpowiadasz na wiadomość. 2. Dzwonisz do nadawcy na numer, który znasz z akt, z umowy albo od przełożonego. 3. Pytasz: „Czy wysłał Pan dziś taką prośbę?”. 4. Wiadomość zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie usuwasz jej.
Odpowiedź trafia do oszusta. Numer z wiadomości też należy do niego.
Telefon od „kancelarii”, „policji”, „banku”, „Funduszu”
1. Mówisz: „Oddzwonię” albo „Proszę o pismo”. 2. Kończysz rozmowę, także gdy rozmówca się spieszy. 3. Numer instytucji bierzesz z akt albo z oficjalnej strony. 4. Oddzwaniasz i pytasz o sprawę.
Numer na wyświetlaczu da się podrobić. Prawdziwa instytucja poczeka na oddzwonienie.
SMS z linkiem („konto wygasa”, „zaległe pismo”)
1. Nie klikasz. 2. Stronę Funduszu lub banku wpisujesz sam w przeglądarce albo dzwonisz na znany numer. 3. SMS zgłaszasz i nie przesyłasz dalej.
Link prowadzi na fałszywą stronę, która kradnie hasło.
Faktura ze zmianą numeru konta
1. Nie klikasz „Pobierz fakturę”. 2. Dzwonisz do dostawcy na numer z umowy. 3. Do księgowości przekazujesz dopiero po potwierdzeniu.
Oszust odpowie z tego samego fałszywego adresu.
Osoba przy drzwiach („z serwisu”, „z urzędu”)
1. Nie zostawiasz jej samej. 2. Dzwonisz do przełożonego albo informatyk lub pomoc techniczna jednostki na znany numer i pytasz, czy ktoś zlecił wizytę. 3. Wpuszczasz tylko osobę, którą ktoś potwierdził.
Oszust zna nazwę firmy, ale nie ma zlecenia.
Prośba o zdalny dostęp do komputera („informatyk”)
1. Odmawiasz. 2. Dzwonisz do informatyk lub pomoc techniczna jednostki na znany numer. 3. Dostęp daje tylko pracownik pomocy IT i tylko na twoją prośbę.
Zdalny dostęp daje pełną kontrolę nad komputerem i rejestrem.
Przykład — e-mail „od prezesa”
„Pilny przelew, nie dzwoń, jestem na spotkaniu” → nie odpisujesz. Dzwonisz do prezesa na znany numer i mówisz: „Przyszła prośba o przelew z poczty. Czy to Pan?”. Do potwierdzenia niczego nie robisz.
Masz wątpliwość, czy prośba jest prawdziwa? Nie wykonujesz jej. Mówisz osobie, która czeka: „Sprawdzę i dam znać”. Pytasz bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Dlaczego? Zwłoka kosztuje godzinę. Przelew na konto oszusta rzadko wraca.
2.5. Hasła i logowanie dwuetapowe
Co robisz. Tworzysz hasło z trzech lub czterech przypadkowych słów, np. „kubek-zegar-las-niebo”. Do każdego systemu masz inne hasło. Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz. Czego nie robisz. Nie podajesz hasła ani kodu nikomu, także informatykowi. Nie zapisujesz hasła na kartce. Dlaczego. Kto zna twoje hasło, działa w systemie jako ty.
2.6. Załączniki, linki, kody QR i pendrive’y
Jak to wygląda. Przykłady: archiwum .zip od nieznanego nadawcy, naklejony kod QR (rysunek 8), pendrive od pacjenta. Co robisz. Adres strony Funduszu lub banku wpisujesz sam. Obcy pendrive oddajesz pomocy IT. Czego nie robisz. Nie skanujesz kodów QR z przypadkowych kartek. Nie podłączasz obcych nośników. Dlaczego. Kod QR to ukryty link, a pendrive może zablokować pracę całego podmiotu.
Rysunek 8. Fikcyjne pismo z naklejonym kodem QR. 1 – kod. 2 – mała opłata. 3 – groźba kary. 4 – brak podpisu i sygnatury. 5 – obcy adres strony.Moduł 2 · Zagrożenia cyfrowe w mojej pracy
2.7. Faktury i zmiana numeru konta
Jak to wygląda. Do sekretariatu trafia faktura „od dostawcy”. Mówi o zmianie numeru konta i pogania do zapłaty (rysunek 9). Co robisz. Zmianę konta potwierdzasz telefonem na numer z umowy. Wiadomość przekazujesz do księgowości dopiero po sprawdzeniu. Czego nie robisz. Nie klikasz „Pobierz fakturę”. Nie pytasz mailem, czy zmiana jest prawdziwa. Dlaczego. Oszust odpowie z tego samego fałszywego adresu.
Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki nie dają się otworzyć. Co robisz. Odłączasz sprzęt od sieci i dzwonisz pod numer z karty stanowiskowej. Komputera nie wyłączasz, chyba że każe tak pomoc IT. Czego nie robisz. Nie płacisz i nie piszesz do przestępców. Dlaczego. Szybkie odcięcie sieci chroni rejestr korespondencji i dokumentację pacjentów.
2.9. Telefon służbowy, komunikatory i skanery
Co robisz. Masz blokadę ekranu z kodem. Skaner masz ustawiony na stałe adresy w podmiocie. Czego nie robisz. Nie wysyłasz skanów na adresy prywatne. Nie robisz zdjęć pism prywatnym telefonem. Nie przesyłasz pism przez komunikatory. Dlaczego. Skan na złym adresie to wyciek danych.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
2.10. Sztuczna inteligencja i podrobiony głos
Jak to wygląda. Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Wszystko, co wkleisz, trafia do zewnętrznej firmy. Przestępcy podrabiają też głos prezesa. Co robisz. Do publicznych czatów wklejasz tylko tekst bez danych ludzi. Nietypową prośbę „prezesa” sprawdzasz telefonem na znany numer. Czego nie robisz. Nie wklejasz treści skarg ani nazwisk. Dlaczego. Wklejonego tekstu nie da się wycofać z cudzego serwera.
2.11. Praca poza biurem
Co robisz. Pracujesz poza biurem tylko za zgodą kierownika i na sprzęcie służbowym. Czego nie robisz. Nie łączysz sprzętu służbowego z darmowym Wi-Fi. Nie czytasz pism w miejscach publicznych. Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać połączenie.
Moje notatki z tematu
Którą sztuczkę mogę spotkać najczęściej przy moim stanowisku? Komu powiem o zasadzie drugiego kanału?
Krok 2 · Zrozum
Zagrożenia cyfrowe w sekretariacie: e-mail, telefon, SMS, nośniki
Poradnik pokazuje, jak wyglądają oszustwa. Tutaj zobaczysz, jak zareagować krok po kroku — i dlaczego. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.
AE-mail: fałszywe „wezwanie” w załączniku
Oszust nie musi włamywać się do systemu. Wystarczy, że ktoś kliknie w link albo otworzy załącznik. Wiadomość udaje Fundusz, sąd lub kancelarię.
Sygnał
Co to znaczy
Pośpiech i groźba w temacie („pilne”, „dziś”, „uznane za niedoręczone”)
pośpiech to narzędzie oszusta
Adres nadawcy z obcej domeny (nazwa się zgadza, adres po „@” nie)
adres da się podrobić
Prośba o hasło lub kod
nikt z podmiotu nie prosi o hasło mailem
Niespodziewany załącznik .zip lub .exe
jeden plik może zablokować pracę całego podmiotu
Wiadomość od znanej osoby, z jej adresu, o terminie spotkania
zwykła korespondencja — nie jest sygnałem fałszu
Na skrzynkę ogólną przychodzi „wezwanie” z załącznikiem .zip od nieznanego nadawcy — jak to zrobić krok po kroku
Nie otwieraj załącznika i nie klikaj linków.
Nie odpisuj z pytaniem „czy to prawda?” Oszust zawsze potwierdzi.
Zgłoś wiadomość pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i jej nie usuwaj — to ślad dla informatyka.
Nie przekazuj jej koleżance do oceny. Każda kolejna osoba może kliknąć.
BPodszycie pod prezesa i dyrektora
E-mail „od prezesa” z prywatnego adresu żąda pilnego przelewu i zakazuje dzwonić — jak to zrobić krok po kroku
Nie odpisuj i nie przygotowuj przelewu — nawet „na próbę” i nawet w połowie kwoty.
Zadzwoń do prezesa na numer, który znasz. Powiedz: „Przyszła prośba o przelew z poczty. Czy to Pan?”.
Do potwierdzenia nic nie robisz. Zakaz rozmowy to znany trik.
Wiadomość zgłoś pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Robisz
sprawdzasz prośbę telefonem na znany numer — odpowiedź na ten sam mail trafia do oszusta
pamiętasz, że adres podobny do służbowego może być podrobiony — jedna literka różnicy wystarczy
Nie robisz
nie robisz przelewu na podstawie samego maila — pieniądze wysłane oszustowi rzadko wracają
nie odpisujesz „czy to na pewno Pan?” — oszust odpowie, że tak
CFaktura i zmiana numeru konta
Dostawca zmienił numer konta i prosi o zapłatę faktury na nowe konto — jak to zrobić krok po kroku
Nie klikaj „Pobierz fakturę”.
Zadzwoń do dostawcy na numer z umowy, nie z tej samej wiadomości. Numer z wiadomości należy do oszusta.
Potwierdź zmianę konta telefonicznie. Mailem nie pytasz — oszust odpowie z tego samego fałszywego adresu.
Do księgowości przekaż dopiero po potwierdzeniu. Numeru w systemie nie zmieniasz na podstawie maila.
DSMS i telefon: „konto wygasa”, „dział bezpieczeństwa banku”
SMS „Konto wygasa, potwierdź login i kod do 20:00” — jak to zrobić krok po kroku
Nie klikaj linku. Samo wejście na obcą stronę może pobrać złośliwy plik, nawet jeśli niczego nie wpiszesz.
Nie odpisuj „STOP”. Odpowiedź potwierdza, że numer działa.
Nie przesyłaj SMS-a koledze z pytaniem, czy też go dostał. Rozsyłanie zwiększa liczbę osób, które mogą kliknąć.
Zgłoś SMS pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Dzwoni „dział bezpieczeństwa banku” i prosi o kod z SMS-a — jak to zrobić krok po kroku
Nie podawaj kodu. Kod otwiera oszustowi dostęp do konta.
Rozłącz się. Nie oddzwaniaj na numer z wyświetlacza — da się go podrobić.
Zadzwoń do banku na numer z karty lub z oficjalnej strony, jeśli chcesz sprawdzić sprawę.
Rozmowę zgłoś. Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie zostało podane.
EHasło, kod i „informatyk”
Robisz
układasz hasło z trzech lub czterech przypadkowych słów — długie, losowe hasło jest trudne do odgadnięcia
do każdego systemu masz inne hasło — jedno hasło do wszystkiego otwiera wszystkie drzwi naraz
Nie robisz
nie używasz imienia dziecka i roku urodzenia — łatwo je odgadnąć
nie podajesz hasła ani kodu nikomu, także informatykowi — prawdziwy informatyk ich nie potrzebuje
Zapamiętaj
Kto zna Twoje hasło, działa w systemie jako Ty. Kodu z SMS-a, hasła i PIN-u nie podajesz nikomu.
FKod QR na piśmie i obcy pendrive
Na piśmie „z Funduszu” jest naklejony kod QR i opłata 1,50 zł — jak to zrobić krok po kroku
Nie skanuj kodu — to ukryty link, który może prowadzić na fałszywą stronę.
Pismo zachowaj i oddaj przełożonemu. Powiedz, skąd je masz i kiedy przyszło.
Nie wyrzucaj pisma. To ślad do zgłoszenia.
Nie skanuj też prywatnym telefonem. Mała kwota to znany trik oszustów.
Pacjent daje pendrive „z wynikami dla lekarza” — jak to zrobić krok po kroku
Nie podłączaj go do żadnego komputera, także do starego, który „nie jest w sieci”.
Oddaj pendrive pomocy IT: informatyk lub pomoc techniczna jednostki. Decyzję podejmuje pomoc IT.
Pacjentowi powiedz, że wyniki odbierze się w inny sposób. Nie wyrzucasz pendrive’a — nie Twoja decyzja.
GOkup za dane (ransomware)
Ekran pokazuje żądanie okupu i licznik czasu — jak to zrobić krok po kroku
Nie płać i nie pisz do przestępców.
Odłącz sprzęt od sieci, ale go nie wyłączaj i nie uruchamiaj ponownie — chyba że każe tak informatyk lub pomoc techniczna jednostki.
Zadzwoń pod numer z karty stanowiskowej. Zgłaszasz od razu.
Odcięcie sieci chroni rejestr korespondencji i dokumentację pacjentów.
HCzat AI i praca poza biurem
Robisz
nie wklejasz skargi do publicznego czatu AI — tekstu nie da się wycofać z cudzego serwera
pracę poza biurem wykonujesz za zgodą kierownika i na sprzęcie służbowym — tylko wtedy podmiot ma nad nią kontrolę
Nie robisz
nie usuwasz nazwiska i nie wklejasz reszty — wiek, miejscowość i choroba też wskazują człowieka
nie łączysz sprzętu służbowego z darmowym Wi-Fi i nie czytasz pism w kawiarni — każdy może zobaczyć ekran albo podsłuchać połączenie
nie wysyłasz pisma na prywatną pocztę, by czytać je w telefonie — to dane poza kontrolą podmiotu
Krok 3 · Ćwicz
Sprawdź, czy już wiesz
Ćwiczenie 1. Na skrzynkę ogólną przychodzi „wezwanie” z załącznikiem .zip od nieznanego nadawcy. Co robisz?
Otwieram załącznik, żeby sprawdzić, czego dotyczy.
Nie otwieram niczego i zgłaszam wiadomość.
Odpisuję z pytaniem, czy wiadomość jest prawdziwa.
Ćwiczenie 2. Którą zasadę stosujesz?Przy każdej pozycji wybierz jedną odpowiedź.
„Prezes” prosi mailem o pilny przelew
SMS „konto wygasa, kliknij”
„Informatyk” prosi o kod z SMS-a
Kolega radzi wkleić skargę do czatu AI
Ćwiczenie 3. Uzupełnij zasady.Wpisz jedno słowo w każdą lukę.
Zmianę numeru konta dostawcy potwierdzam telefonem na numer z …. Ekran z żądaniem okupu: odłączam sprzęt od … i nie ….
Ćwiczenie 4. Koleżanka opisuje swój dzień. Kliknij błędy.
Wiadomość od prezesa z prywatnego adresu realizuję od ręki.Obcy pendrive od pacjenta oddaję pomocy IT.Kod QR z pisma skanuję, bo kwota jest mała.Hasło do rejestru mam inne niż do poczty.Skargę wklejam do czatu AI, by szybciej odpisać.
