Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz w link albo zmienisz konto „na prośbę lekarza”. Dlatego fałszywa wiadomość wygląda jak zwykła sprawa kadrowa.

2.1. Kto i po co atakuje

W kadrach są PESEL-e, konta i zwolnienia całego personelu. Atakujący chcą pieniędzy, danych i dostępu do systemu. Większość ataków zaczyna się od wiadomości albo telefonu (rysunek 3).

Rysunek 3. Udział sposobów ataku – dane przykładowe, pokazują proporcje, nie są statystyką.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz na numer, który znasz. Dzięki temu oszust nie podszyje się pod nikogo.

Dla zainteresowanych

Takie oszustwo nazywa się phishingiem – od angielskiego „łowienia”. Przy SMS-ach to smishing, przy telefonach vishing.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2. Fałszywe wiadomości e-mail (phishing)

Jak to wygląda. Wiadomość udaje urząd, bank albo dostawcę systemu płac. Temat to często „korekta deklaracji” lub „zmiana rachunku” (rysunek 4).

Rysunek 4. Przykład fałszywego e-maila (fikcyjny) – pięć sygnałów widać na pierwszy rzut oka.

7 sygnałów ostrzegawczych

1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „dziś”, „wypłata zostanie wstrzymana”.
3
Ogólne powitanieKtoś, kto cię zna, pisze po nazwisku lub roli.
4
Link prowadzi gdzie indziejPrzytrzymaj kursor na linku. Adres nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip lub .exe, na który nie czekasz.
6
Prośba o hasło lub kodNikt z twojego podmiotu nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, nietypowa godzina, inny styl.

Co robisz. Nie klikasz i nie otwierasz załącznika. Zgłaszasz wiadomość. Czego nie robisz. Nie odpisujesz z pytaniem „czy to prawda?”. Oszust zawsze potwierdzi.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytaj.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.3. Fałszywe telefony (vishing) i SMS-y (smishing)

Jak to wygląda. Dzwoni „izba lekarska”, „bank”, „urząd” albo „sąd”. Rozmówca mówi pewnie i pogania. Zobacz rysunek 5.

Po czym poznasz.

Prosi o PESEL, konto lekarza, kod z SMS-a albo potwierdzenie zarobków.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie, ale da się go podrobić.

Co robisz. Mówisz: „Oddzwonię”, i kończysz rozmowę. Numer instytucji bierzesz z akt lub z jej oficjalnej strony. Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.

Czego nie robisz. Nie podajesz danych pracownika niesprawdzonej osobie. Nie klikasz linków w SMS-ach o zwrotach i blokadach.

Dlaczego. Podane przez telefon dane mogą posłużyć do kredytu na cudze nazwisko.

Rysunek 5. Fikcyjny SMS. 1 – nieznany nadawca. 2 – prośba o login i kod. 3 – krótki termin. 4 – groźba. 5 – obcy link.

2.4. Podszycie pod lekarza, ordynatora i dostawcę

Jak to wygląda. Wiadomość przychodzi „od lekarza kontraktowego” albo „od ordynatora”. Prosi o zmianę konta do wypłaty, listę personelu albo skany akt. Zobacz rysunek 6.

Rysunek 6. Fikcyjna prośba. 1 – adres z poczty prywatnej. 2 – pośpiech w temacie. 3 – numer konta w treści. 4 – zakaz rozmowy.

Co robisz. Prośbę potwierdzasz telefonem na numer z umowy. Czego nie robisz. Nie zmieniasz konta na podstawie samego maila. Dlaczego. Jedna podrobiona prośba oznacza, że lekarz nie dostanie wypłaty. Schemat pokazuje rysunek 7.

Jak to zrobić: prośba o zmianę numeru konta

Numer do oddzwonienia bierzesz z umowy albo akt — nigdy z wiadomości. Numer z prośby należy do osoby, która prosi. Jeśli to oszust, odbierze oszust.

Kanał	Co robisz	Na co uważasz
E-mail	1. Nie zmieniasz konta po samym mailu. 2. Odpisujesz: „Zmianę przyjmuję po wniosku w ustalonej formie”. 3. Dzwonisz na numer z umowy.	Nie pytasz maila „czy to Pan?” — oszust odpowie „tak”.
Telefon	1. Mówisz: „Oddzwonię”. 2. Rozłączasz się. 3. Dzwonisz na numer z umowy lub akt.	Numer z wyświetlacza da się podrobić.
Osobiście	1. Prosisz o dokument ze zdjęciem. 2. Pracownik składa wniosek na piśmie.	Nie robisz zmiany „na słowo”.
Pismo lub system	1. Porównujesz podpis i dane z aktami. 2. Przy rozbieżności oddzwaniasz na numer z umowy.	Skan podpisu można podrobić.
Osoba trzecia („w imieniu lekarza”)	Nie zmieniasz. Zmianę składa zainteresowany albo osoba z pisemnym upoważnieniem w aktach.	Pytasz kierownika kadr.

Przykład

— Dzień dobry, kadry. Dostałam wiadomość o zmianie rachunku do wypłaty. Chcę potwierdzić, że to Pan.
— Nie wysyłałem nic takiego.
— Dziękuję. Nie zmieniam konta i zgłaszam próbę oszustwa.

Po potwierdzeniu zapisujesz: kto, kiedy i na jakim numerze potwierdził. Masz wątpliwość? Nie zmieniasz konta i zgłaszasz do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Schemat drugiego kanału

Rysunek 7. Zasada drugiego kanału: prośbę sprawdzasz telefonem na znany numer.

2.5. Hasła i logowanie dwuetapowe

Co robisz. Tworzysz hasło z trzech lub czterech przypadkowych słów, np. „kubek-zegar-las-niebo”. Do każdego systemu masz inne hasło. Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz. Czego nie robisz. Nie podajesz hasła ani kodu nikomu, także informatykowi. Nie zapisujesz hasła na kartce. Dlaczego. Hasło do systemu płac otwiera dane całego personelu.

2.6. Kody QR, pendrive’y i pisma „z izby”

Jak to wygląda. Przykłady: naklejony kod QR na piśmie „z izby” (rysunek 8) albo pendrive od kandydata. Co robisz. Adres izby lub urzędu wpisujesz sam. Prawo wykonywania zawodu sprawdzasz w oficjalnym rejestrze. Obcy pendrive oddajesz pomocy IT. Czego nie robisz. Nie skanujesz kodów QR z przypadkowych kartek. Nie podłączasz obcych nośników. Dlaczego. Kod QR to ukryty link, a pendrive może zablokować pracę całego podmiotu.

Rysunek 8. Fikcyjne pismo z naklejonym kodem QR. 1 – kod. 2 – mała opłata. 3 – groźba kary. 4 – brak podpisu i sygnatury. 5 – obcy adres strony.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.7. CV i załączniki od kandydatów

Jak to wygląda. Do skrzynki rekrutacyjnej trafia „CV rezydenta” w pliku z makrem. Mail prosi o „Włącz zawartość” (rysunek 9). Co robisz. Kandydata prosisz o zwykły plik PDF kanałem wskazanym przez podmiot. Wątpliwy plik zgłaszasz do pomocy IT. Czego nie robisz. Nie klikasz „Włącz zawartość”. Nie otwierasz archiwów .zip od nieznanych. Dlaczego. Jeden plik z makrem może zablokować system płac w całym podmiocie.

Rysunek 9. Fikcyjny e-mail „od kandydata”. 1 – obcy adres. 2 – pośpiech w temacie. 3 – ogólne powitanie. 4 – „Włącz zawartość”. 5 – załącznik .docm.

2.8. Blokada danych dla okupu (ransomware)

Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki nie dają się otworzyć. To groźne tuż przed dniem wypłat. Co robisz. Odłączasz sprzęt od sieci i dzwonisz pod numer z karty stanowiskowej. Komputera nie wyłączasz, chyba że każe tak pomoc IT. Czego nie robisz. Nie płacisz i nie piszesz do przestępców. Dlaczego. Szybkie odcięcie sieci chroni dane personelu i ciągłość wypłat.

2.9. Telefon służbowy, komunikatory i zdjęcia

Co robisz. Masz blokadę ekranu z kodem. Dokumenty od pracowników przyjmujesz drogą wskazaną przez podmiot. Czego nie robisz. Nie przyjmujesz zwolnień, badań i szczepień na prywatny komunikator. Nie robisz zdjęć dokumentów prywatnym telefonem. Dlaczego. Zdjęcie w prywatnym telefonie wymyka się spod kontroli podmiotu.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.10. Sztuczna inteligencja i podrobiony głos

Jak to wygląda. Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Wszystko, co wkleisz, trafia do zewnętrznej firmy. Przestępcy podrabiają też głos dyrektora lub ordynatora. Co robisz. Do publicznych czatów wklejasz tylko tekst bez danych ludzi. Nietypową prośbę „szefa” sprawdzasz telefonem na znany numer. Czego nie robisz. Nie wklejasz notatek z rozmów kwalifikacyjnych ani opinii o pracownikach. Dlaczego. Wklejonego tekstu nie da się wycofać z cudzego serwera.

2.11. Praca poza biurem

Co robisz. Pracujesz poza biurem tylko za zgodą kierownika i na sprzęcie służbowym. Czego nie robisz. Nie łączysz sprzętu służbowego z darmowym Wi-Fi. Nie czytasz akt w komunikacji miejskiej ani w kawiarni. Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać połączenie.

Moje notatki z tematu

Którą sztuczkę mogę spotkać najczęściej w kadrach? Skąd wezmę sprawdzony numer telefonu do lekarza i do izby?

Krok 2 · Zrozum

Fałszywe wiadomości, telefony i prośby w kadrach i płacach

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz link albo zmienisz konto „na prośbę lekarza”. Tutaj uczysz się, jak to rozpoznać i co zrobić — krok po kroku, osobno dla e-maila, telefonu i pisma.

AFałszywy e-mail — siedem sygnałów i co robisz

Fałszywa wiadomość wygląda jak zwykła sprawa kadrowa: „korekta deklaracji”, „zmiana rachunku”, „CV rezydenta”. Pomagają Ci sygnały ostrzegawcze. Jeden wystarczy, by się zatrzymać.

Sygnał	Dlaczego to ostrzega
Obcy adres po „@”	nazwę nadawcy da się podrobić, adres trudniej
Pośpiech i groźba („dziś”, „wypłata zostanie wstrzymana”)	pośpiech ma wyłączyć Twoje myślenie
Ogólne powitanie („Szanowny Kliencie”)	ktoś, kto Cię zna, pisze po nazwisku lub roli
Link prowadzi gdzie indziej niż nadawca	po najechaniu kursorem widać prawdziwy adres
Załącznik, na który nie czekasz (.zip, .exe, plik z makrem)	może uruchomić ukryty program
Prośba o hasło lub kod	nikt z Twojego podmiotu nie prosi o hasło e-mailem

Jak to zrobić krok po kroku — podejrzany e-mail

Nie klikaj i nie otwieraj załącznika. Ani „dla sprawdzenia”.
Najedź kursorem na nazwę nadawcy i zobacz adres. Przytrzymaj kursor na linku — porównaj z nadawcą.
Nie odpisuj z pytaniem „czy to prawda?”. Oszust zawsze potwierdzi.
Sprawdź innym kanałem: wejdź do systemu, wpisując jego adres sam, albo zadzwoń do dostawcy na numer z umowy (dostawca usług IT).
Zgłoś wiadomość do informatyk lub pomoc techniczna jednostki. Zostaw ją jako ślad — nie usuwaj.

Dlaczego

Prawdziwy dostawca systemu płac nie każe logować się przez link z wiadomości. Jeśli klikniesz i wpiszesz dane, trafią do przestępców, a oni dostaną dostęp do danych całego personelu.

BZmiana numeru konta — prośba, którą zawsze sprawdzasz

To najczęstszy sposób oszustwa w płacach. Mail „od lekarza kontraktowego”: „Zmieniłem bank. Wypłać na nowy rachunek. Pilnie”. Jeśli zmienisz konto, pieniądze trafią do oszusta, a lekarz nie dostanie wypłaty.

Zasada

Numer do oddzwonienia bierzesz z umowy albo akt — nigdy z wiadomości. Numer podany w prośbie należy do osoby, która prosi. Jeśli to oszust, odbierze oszust.

Jak to zrobić krok po kroku — prośba o zmianę konta

E-mail: nie zmieniasz konta po samym mailu. Odpisujesz tylko tyle: „Zmianę przyjmuję po wniosku w ustalonej formie”. Nie pytasz „czy to Pan?”.
Telefon: jeśli ktoś dzwoni z prośbą — mówisz: „Oddzwonię”. Rozłączasz się i dzwonisz na numer z umowy lub akt.
Osobiście: pracownik przychodzi do kadr i składa wniosek. Sprawdzasz dokument ze zdjęciem. Nie robisz zmiany „na słowo”.
Pismo lub wniosek w systemie: porównujesz podpis i dane z aktami. Przy różnicy — oddzwaniasz na numer z umowy.
Osoba trzecia („dzwonię w imieniu lekarza”): nie zmieniasz. Zmianę składa sam zainteresowany albo osoba z pisemnym upoważnieniem w aktach.
Po potwierdzeniu telefonem zapisujesz: kto, kiedy i na jakim numerze potwierdził. Dopiero wtedy wprowadzasz zmianę.

Przykład rozmowy — oddzwonienie do lekarza

Ty: Dzień dobry, kadry. Dostałam wiadomość o zmianie rachunku do wypłaty. Chciałabym potwierdzić, że to Pan.
Lekarz: Nie wysyłałem nic takiego. Mam ten sam bank co zawsze.
Ty: Dziękuję. Nie zmieniam konta. Zgłaszam wiadomość jako próbę oszustwa.

CTelefon i SMS — „bank”, „izba”, „ZUS”

Oszust dzwoni pewnym głosem i pogania. Podaje się za izbę lekarską, bank albo urząd. Numer na wyświetlaczu da się podrobić — nie dowodzi niczego.

Jak to zrobić krok po kroku — telefon z prośbą o dane lub kod

Nie podawaj PESEL-u, konta, hasła ani kodu z SMS-a. Żadna instytucja nie prosi o kod z SMS-a.
Powiedz: „Oddzwonię”. Nie daj się zatrzymać na linii.
Rozłącz się. Numer instytucji weź z akt lub z jej oficjalnej strony — nie z rozmowy.
Zadzwoń na ten numer i zapytaj, czy ktoś rzeczywiście do Ciebie dzwonił. Pytasz o sprawę, a nie podajesz danych.
Zgłoś próbę do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów, nawet jeśli nic nie podałaś. Ten sam oszust dzwoni zaraz do koleżanki.

Jak to zrobić krok po kroku — SMS „z banku” lub „o nadpłacie”

Nie klikaj linku, nawet bez wpisywania czegokolwiek. Sama strona może pobrać program.
Nie przesyłaj SMS-a dalej koleżance „do oceny” — rozsyłasz próbę oszustwa.
Zgłoś do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Jeśli dotyczy rachunku podmiotu, zadzwoń też do banku na numer z umowy (numer banku z umowy).

Robisz

mówisz „oddzwonię” i dzwonisz na znany numer — tylko wtedy wiesz, z kim rozmawiasz
zgłaszasz próbę, nawet gdy nic nie podałaś — informatyk zbiera próby, by zablokować sprawcę

Nie robisz

nie ufasz numerowi na wyświetlaczu — da się go podrobić
nie podajesz kodu informatykowi ani „pracownikowi banku” — kod to klucz do konta, którego nikt poza Tobą nie powinien znać

DPliki, pendrive i okup

Do skrzynki rekrutacyjnej trafia „CV rezydenta” w pliku z makrem. Prosi: „Włącz zawartość”. Makro to mały program ukryty w dokumencie.

Jak to zrobić krok po kroku — CV, załącznik lub pendrive od kandydata

E-mail z plikiem .docm, .zip lub .exe: nie otwieraj. Poproś kandydata o zwykły PDF kanałem wskazanym przez podmiot. Wątpliwy plik zgłoś do informatyk lub pomoc techniczna jednostki.
Pendrive od kandydata: nie podłączaj. Powiedz: „Poprosimy o plik drogą e-mailową”. Pendrive oddaj informatyk lub pomoc techniczna jednostki.
Kandydat przychodzi z laptopem i prosi o podłączenie: odmów. Nie podłączasz obcego sprzętu do sieci podmiotu.

Jak to zrobić krok po kroku — ekran żąda okupu

Odłącz kabel sieciowy albo wyłącz Wi-Fi. Nie wyłączaj komputera, chyba że każe tak pomoc IT.
Nie płać i nie pisz do przestępców.
Zadzwoń pod numer z karty stanowiskowej (bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów). Powiedz, co widzisz na ekranie.
Zapisz godzinę i co robiłaś przed zablokowaniem.

Zapamiętaj

Okup w dniu wypłat jest szczególnie groźny — lekarze i pielęgniarki nie dostaną pieniędzy. Szybkie odcięcie sieci chroni dane i ciągłość wypłat.

EHasła i kody

Zasada	Dlaczego
Hasło z trzech lub czterech przypadkowych słów (np. „kubek-zegar-las-niebo”)	długie hasło trudniej odgadnąć niż krótkie z cyfrą
Inne hasło do każdego systemu	jedno przecięte hasło otwiera wszystko
Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz	kod podany komuś otwiera konto tej osobie
Hasła nie podajesz nikomu — także informatykowi i przełożonemu	kto zna hasło, działa w systemie jako Ty

FKomunikator, zdjęcie, czat AI i głos „szefa”

Jak to zrobić krok po kroku — zdjęcie zaświadczenia na prywatnym komunikatorze

Odpisz uprzejmie: „Proszę przesłać dokument drogą wskazaną przez podmiot”. Podaj tę drogę.
Nie przekazuj zdjęcia dalej i nie zostawiaj go w telefonie.
Zgłoś do informatyk lub pomoc techniczna jednostki. Zdjęcie usuwasz po ich zgodzie — mogą potrzebować śladu.

Jak to zrobić krok po kroku — czat AI i głos dyrektora

Do publicznych czatów AI wklejasz tylko tekst bez danych ludzi. Usunięcie nazwiska nie wystarcza — szczegóły też wskazują człowieka.
Nietypowa prośba „dyrektora” przez telefon (pilna zaliczka, zmiana konta, lista personelu): powiedz „oddzwonię” i zadzwoń na numer, który znasz.
Głos da się podrobić. Nawet jeśli brzmi znajomo, prośbę sprawdzasz innym kanałem.

Dlaczego

Tekst wklejony do czatu trafia do zewnętrznej firmy i nie da się go wycofać. Podrobiony głos może prosić o przelew — dlatego prośby o pieniądze zawsze sprawdzasz drugim kanałem.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Przeczytaj wiadomość. Kliknij fragmenty, które zdradzają oszustwo.

Od: Obsługa Płac <kontakt@platy-pilne.net> Temat: PILNE — wypłaty zostaną wstrzymane dziś Szanowny Kliencie, w związku z pracami serwisowymi w systemie płac zaloguj się przez link poniżej i potwierdź dane, aby zachować dostęp. Pozdrawiamy, Dział Obsługi.

Ćwiczenie 2. Mail „od lekarza kontraktowego” prosi o zmianę konta. Ułóż kroki.Klikaj kolejno.

Biorę numer lekarza z umowy, nie z wiadomości
Nie zmieniam konta po samym mailu
Oddzwaniam i zapisuję, kto i kiedy potwierdził
Odpisuję, że zmianę przyjmuję po wniosku w ustalonej formie

Ćwiczenie 3. Dzwoni „doradca banku”: „Podejrzana transakcja na rachunku płacowym. Proszę podać kod z SMS-a”. Co robisz?

Podaję kod — mówi, że transakcja jest podejrzana.

Mówię „oddzwonię”, rozłączam się i dzwonię na numer z umowy z bankiem.

Proszę o numer i oddzwaniam na niego.

Ćwiczenie 4. Uzupełnij zdania, które mówisz przez telefon.Wpisz jedno słowo w każdą lukę.

Nie mogę podać danych teraz. … na numer z …. Kodu z SMS-a nie podaję ….

Ćwiczenie 5. Kandydat na lekarza przysyła CV w pliku .docm z prośbą „Włącz zawartość”. Napisz, co robisz.

„Nie otwieram pliku i nie klikam „Włącz zawartość”. Zgłaszam wiadomość do pomocy IT, a kandydata proszę o zwykły plik PDF kanałem wskazanym przez podmiot.” — Zwykłe CV niczego nie każe włączać.