Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

To najważniejszy moduł. W finansach atak zwykle oznacza jedno: ktoś chce wyprowadzić pieniądze. Oszust nie musi włamywać się do systemu. Wystarczy, że klikniesz, podasz kod albo zatwierdzisz przelew.

Każdy podrozdział ma cztery części. To: jak wygląda sytuacja, po czym ją poznasz, co robisz i czego nie robisz.

2.1 Kto atakuje dział finansowy i po co

Dział finansowy to najkrótsza droga do pieniędzy. Przestępcy mają cztery cele:

Pieniądze: wyłudzają przelew albo okup za odblokowanie danych.
Dane: sprzedają dane pacjentów i listy dłużników albo szantażują ludzi.
Dostęp: twój token i hasło otwierają konto całej przychodni.
Człowieka: ktoś szuka adresu pacjenta albo osoby ukrywającej się przed sprawcą przemocy.

Atakują wtedy, gdy pracujesz szybko. Najczęściej w piątek po południu, przed terminem przelewów i rozliczeń z Funduszem albo w czasie urlopów. Zobacz rysunek 3.

Rysunek 3. Udział sposobów ataku – dane przykładowe, pokazują proporcje, nie są statystyką.

Zapamiętaj

W finansach pośpiech to główne narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytasz.

Zasada

Sprawdzasz innym kanałem. Gdy ktoś prosi o pieniądze, kod albo zmianę rachunku, dzwonisz na numer, który znasz. Nie na numer z wiadomości.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2 Fałszywe e-maile (phishing)

Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane albo pieniądze. Jak to wygląda. Wiadomość udaje bank, Fundusz, laboratorium, kuriera albo kolegę z pracy. Pisze o fakturze, o błędzie w rachunku, o blokadzie wypłat.

Zobacz rysunek 4. Numery na rysunku są numerami sygnałów z listy.

Rysunek 4. Przykład fałszywego e-maila (fikcyjny) – pięć sygnałów widać na pierwszy rzut oka.

Po czym poznasz: 7 sygnałów

1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „do 15:00”, „płatności zostaną wstrzymane”. Presja ma wyłączyć myślenie.
3
Ogólne powitanieKto cię zna, pisze po imieniu, nie „Szanowny Użytkowniku”.
4
Link prowadzi gdzie indziejPrzytrzymaj palec lub kursor na linku. Adres strony nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip, .exe albo „faktura”, na którą nie czekasz.
6
Prośba o hasło lub kodNikt z twojego podmiotu nie poprosi o hasło e-mailem.
7
Coś się nie zgadzaBłędy językowe, nietypowa godzina, inny styl niż zwykle.

Co robisz

Sprawdzasz pełny adres nadawcy.
Przy prośbie o dane lub pieniądze dzwonisz na znany numer.
Podejrzaną wiadomość zgłaszasz do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Czego nie robisz

Nie klikasz linków z niespodziewanych wiadomości.
Nie otwierasz plików .zip i „faktur”, na które nie czekasz.
Nie odpisujesz z pytaniem, czy to prawda.

DlaczegoJedno kliknięcie może otworzyć oszustowi pocztę z danymi wielu pacjentów.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.3 Fałszywa faktura i zmiana numeru konta dostawcy

To najczęstsze oszustwo w finansach. Nazywa się oszustwem „na fakturę”. Jak to wygląda. Dostajesz e-mail od znanego dostawcy. Pisze, że zmienił bank. Prosi o płacenie na nowy rachunek. Czasem rzeczywiście ktoś włamał się do jego poczty. Wtedy wiadomość przychodzi z jego prawdziwego adresu.

Pieniądze trafiają do oszusta. Prawdziwy dostawca nie dostaje zapłaty i dzwoni po kilku tygodniach. Zobacz rysunek 5.

Rysunek 5. Fałszywa faktura (fikcyjna) – sześć sygnałów, które wystarczy zauważyć.

Po czym poznasz

1
Nowy rachunek „od dziś”Zmiana rachunku w samej fakturze to klasyczny sygnał.
2
Termin „dziś do 14:00”Presja ma ci odebrać czas na sprawdzenie.
3
Brak numeru zamówienia lub umowyPrawdziwa faktura się do nich odwołuje.
4
Nabywca bez pełnej nazwy i NIPDostawca zna dane twojego podmiotu.
5
Dopisek „nie potwierdzać telefonicznie”Oszust nie chce, żebyś zadzwonił.
6
Adres e-mail w obcej domeniePorównaj go z adresem z umowy.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Jak sprawdzasz zmianę rachunku

Jest jedna pewna metoda. Nie zależy od tego, jak wiarygodnie wygląda wiadomość. Zobacz rysunek 6.

Rysunek 6. Zmiana numeru konta dostawcy – pięć kroków. Kroki 3 i 4 nie podlegają negocjacjom.

Co robisz

Dzwonisz na numer z umowy lub z zatwierdzonych danych.
Pytasz o zmianę rachunku i o ostatnie zamówienie.
Drugą osobę prosisz o zatwierdzenie zmiany.
Zapisujesz datę rozmowy i osobę.

Czego nie robisz

Nie dzwonisz na numer z e-maila lub faktury.
Nie odpisujesz na wiadomość z pytaniem „czy to prawda”.
Nie zmieniasz rachunku sam, bo „dostawca naciska”.

DlaczegoOdzyskanie pieniędzy po przelewie na obcy rachunek jest bardzo trudne.

Prawdziwa a fałszywa prośba o zmianę rachunku

Cecha	Prawdziwa prośba	Fałszywa prośba
Czas	Daje kilka dni i nie ponagla.	„Dziś”, „natychmiast”, „inaczej wstrzymamy dostawy”.
Kanał	Zgadza się z kontaktem z umowy.	Nowy adres, nowy numer, „piszemy z innej skrzynki”.
Weryfikacja	Chętnie czeka na telefon.	Odradza telefon albo „nie odbiera”.
Szczegóły	Podaje numer umowy i zamówienia.	Pisze ogólnie: „Twoja faktura”.
Konto	Rachunek w tym samym kraju i banku firmy.	Obcy rachunek, osoba prywatna, inny kraj.

Tabela 2. Jak odróżnić prawdziwą prośbę o zmianę rachunku od fałszywej.

Zasada

Nowy rachunek zatwierdzają dwie osoby po telefonie na znany numer. Dzięki temu jeden błąd nie kosztuje przychodni pieniędzy.

Jak to zrobić: prośba o zmianę numeru konta dostawcy

Numer do sprawdzenia bierzesz z umowy lub z zatwierdzonych danych, nigdy z wiadomości. Numer z wiadomości należy do osoby, która prosi.

Kanał	Co robisz	Na co uważasz
E-mail	1. Nie zmieniasz rachunku po samym mailu. 2. Odpisujesz: „Zmianę przyjmuję po potwierdzeniu telefonicznym”. 3. Dzwonisz na numer z umowy.	Nie pytasz maila „czy to prawda” — oszust potwierdzi.
Telefon	1. Mówisz: „Oddzwonię”. 2. Dzwonisz na numer z umowy.	Numer z wyświetlacza da się podrobić.
Osobiście	Prosisz o dokument ze zdjęciem i pisemny wniosek, potem potwierdzasz telefonem na numer z umowy.	Nie zmieniasz „na słowo”.
Pismo lub portal dostawcy	Porównujesz podpis i dane z umową; przy rozbieżności dzwonisz na numer z umowy.	Skan podpisu można podrobić.
Osoba trzecia („księgowa dostawcy prosi za szefa”)	Nie zmieniasz. Zmianę składa osoba z umowy lub z upoważnieniem w aktach.	Pytasz kierownika.

Przykład

— Dostałem wiadomość o zmianie rachunku dla Waszej hurtowni. Chcę potwierdzić.
— Nie wysyłaliśmy nic takiego.
— Dziękuję. Nie zmieniam rachunku i zgłaszam próbę oszustwa.

Po potwierdzeniu: druga osoba zatwierdza zmianę, zapisujesz datę rozmowy, numer i osobę. Przy wątpliwości zgłaszasz do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.4 „Pilny przelew od prezesa” i podszycie pod domenę

To oszustwo „na prezesa”. Jak to wygląda. Przychodzi e-mail, SMS lub wiadomość w komunikatorze. Nadawca podpisuje się jako prezes zarządu, główny księgowy albo ktoś ważny z Funduszu. Prosi o pilny przelew i o dyskrecję. Często dzieje się to tuż przed podpisaniem umowy z Funduszem albo w piątek po południu. Zobacz rysunek 7.

Rysunek 7. Fałszywa wiadomość „od prezesa” (fikcyjna) – pięć sygnałów.

1
Prywatny lub obcy adresNazwa „Prezes” nic nie dowodzi. Liczy się adres.
2
Pilne i poufneOszust chce, żebyś nikogo nie zapytał.
3
Nowy odbiorca i rachunek w wiadomościPrawdziwe przelewy mają dokument w obiegu.
4
„Nie dzwoń”To najsilniejszy sygnał. Zawsze dzwonisz.
5
„Pomiń zwykłą akceptację”Procedura obowiązuje także prezesa.

Podszycie pod domenę podmiotu

Oszust może pisać z adresu bardzo podobnego do adresu przychodni. Zmienia jedną literę albo dopisuje coś na końcu. Zobacz rysunek 8. Wiadomość „od kolegi z przychodni” też może być fałszywa.

Rysunek 8. Trzy sztuczki z adresem nadawcy – przykłady fikcyjne.

Zasada

Nikt nie zleca przelewu poza procedurą, także prezes. Polecenie sprawdzasz telefonem na znany numer i dokumentem w obiegu. Dlaczego? Bo prawdziwy prezes zawsze to zrozumie.

Jak to zrobić: „pilny przelew od prezesa”

Kanał	Co robisz	Na co uważasz
E-mail, SMS, komunikator	1. Nie odpisujesz na tę wiadomość. 2. Dzwonisz do prezesa na znany numer. 3. Żądasz dokumentu w obiegu.	„Nie dzwoń” to najsilniejszy sygnał oszustwa.
Telefon	Mówisz: „Oddzwonię” i dzwonisz na numer z książki telefonicznej podmiotu.	Głos można podrobić.
Osobiście (na korytarzu)	Mówisz: „Zrobię po dokumencie w obiegu”.	Ustne polecenie nie zastępuje obiegu.
Osoba trzecia („prezes prosił przekazać”)	Nic nie robisz. Dzwonisz do prezesa na znany numer.	Pośrednik może być oszukany.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.5 Fałszywa strona banku, token i hasło

Jak to wygląda. E-mail lub SMS prosi o „aktualizację danych” albo „weryfikację konta”. Link prowadzi na stronę, która wygląda jak strona banku. Ty wpisujesz login, hasło i kod z tokena. Oszust przejmuje twoje konto i zleca przelew. Zobacz rysunek 9.

Rysunek 9. Fałszywa strona logowania (fikcyjna) – pięć sygnałów.

1
Inny adres stronyDopiski typu „-logowanie” i obca końcówka. Kłódka nie dowodzi, że strona jest prawdziwa.
2
Groźba z terminemBank nie blokuje konta za brak kliknięcia.
3
Login, hasło i kod narazKod z tokena jest do zleceń, nie do logowania.
4
Prośba o instalację plikuBank nie każe pobierać programów.
5
Błędy językoweBrakuje polskich znaków albo są literówki.

Co robisz

Do banku wchodzisz z adresu, który sam wpisałeś lub zapisałeś.
Przed kodem czytasz kwotę i odbiorcę na ekranie banku.
Token masz przy sobie, a hasło w pamięci.

Czego nie robisz

Nie logujesz się z linku w wiadomości.
Nie zapisujesz hasła na kartce w szufladzie.
Nie pożyczasz tokena i nie używasz cudzego.

DlaczegoToken i hasło to twój podpis pod każdym przelewem. Pożyczony podpis jest jak pożyczony długopis do czeku.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.6 Fałszywe telefony i SMS-y

Vishing (czytaj: wiszing) to oszustwo przez telefon. Smishing to oszustwo przez SMS. Rozmówca podaje się za bank, Fundusz, ubezpieczyciela, komornika, kuriera albo prezesa. Jak to wygląda. Zna twoje imię i nazwę przychodni. Mówi pewnie i fachowo. Wywiera presję: „konto zostanie zablokowane”, „sędzia czeka”.

Numer na wyświetlaczu można podrobić. Wygląda wtedy jak numer banku albo prezesa. Zobacz rysunek 10.

1
Strach i pośpiech„Zablokuj konto w 15 minut.” Presja ma cię zatrzymać przy telefonie.
2
Link z obcą domenąAdres z dopiskiem „blokada” nie jest adresem banku.
3
Brak szczegółówNie ma nazwy konta ani twojego imienia.
4
Prośba o dane lub kodBank nigdy nie prosi o login, hasło czy kod.

Rysunek 10. Fikcyjny SMS „z banku” – cztery sygnały.

Co robisz

Mówisz: „Oddzwonię”. Kończysz rozmowę.
Numer bierzesz z umowy lub z oficjalnej strony.
Próbę oszustwa zgłaszasz, nawet jeśli nic nie podałeś.

Czego nie robisz

Nie podajesz danych osobie, której nie sprawdziłeś.
Nie oddzwaniasz na numer podany przez rozmówcę.
Nie klikasz linków w SMS-ach o blokadach i dopłatach.

DlaczegoPrawdziwy bank nie prosi o kod. Rozłączenie się nie jest nieuprzejme, jest ostrożne.

Zapamiętaj

Gdy ktoś każe ci nikomu nie mówić o rozmowie, to prawie pewne oszustwo.

Jak to zrobić: telefon lub SMS „z banku”

Kanał	Co robisz	Na co uważasz
Telefon „z banku”	1. Mówisz: „Oddzwonię” i kończysz rozmowę. 2. Dzwonisz na numer z umowy. 3. Zgłaszasz próbę do informatyk lub pomoc techniczna jednostki.	Bank nigdy nie prosi o login, hasło ani kod.
SMS o blokadzie lub dopłacie	Nie klikasz i nie odpisujesz; zgłaszasz do informatyk lub pomoc techniczna jednostki.	Mała kwota usypia czujność.
E-mail „z banku”	Wchodzisz do banku z adresu wpisanego samodzielnie.	Link prowadzi na kopię strony.
Osobiście („opiekun banku”)	Potwierdzasz telefonem na numer z umowy.	Wizytówka nie jest dowodem.
Osoba trzecia	Odmawiasz. Kodu nie podajesz nikomu.	Kod jest tylko Twój.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.7 Załączniki, linki, kody QR i pendrive’y

Jak to wygląda. Faktura w pliku .zip. Arkusz z prośbą o włączenie makr. Plik PDF z linkiem do „pobrania dokumentu”. Pismo „z Funduszu” z żądaniem zwrotu środków w 24 godziny i kodem QR. Kod QR na plakacie albo parkometrze. Pendrive z napisem „Oferta dla księgowości”.

Co robisz

Plik, na który nie czekasz, sprawdzasz u nadawcy telefonem.
Adres strony banku wpisujesz sam. Wezwanie do zwrotu środków sprawdzasz telefonem na znany numer.
Obcy pendrive oddajesz osobie z pomocy IT.

Czego nie robisz

Nie włączasz makr w arkuszu od nieznanej osoby.
Nie skanujesz kodów QR z przypadkowych kartek.
Nie podłączasz obcych pendrive’ów do komputera.

DlaczegoZłośliwy program z jednego pliku może zablokować system księgowy i gabinetowy.

2.8 Blokada danych dla okupu (ransomware)

Ransomware (czytaj: rensomłer) szyfruje pliki, a potem żąda okupu za ich odblokowanie. Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki mają dziwne nazwy. W finansach możesz nie mieć dostępu do systemu księgowego ani do listy wypłat. Bez systemu gabinetowego staje rejestracja i wystawianie e-recept.

Co robisz

Odłączasz sprzęt od internetu: wyjmujesz kabel albo wyłączasz Wi-Fi.
Nie wyłączasz komputera, chyba że tak każe pomoc IT.
Od razu dzwonisz do informatyk lub pomoc techniczna jednostki i bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Czego nie robisz

Nie płacisz okupu i nie piszesz do przestępców.
Nie próbujesz sam „naprawić” komputera.
Nie ukrywasz problemu, żeby nie robić zamieszania.

DlaczegoSzybkie odcięcie sieci chroni dane innych pracowników i pacjentów.

Zasada

Zgłaszasz od razu. Przy blokadzie systemu najpierw odłączasz sieć, potem dzwonisz. Podmiot ma krótkie terminy zgłoszeń poważnych incydentów, więc liczą się minuty. Kierownik wie, jak uruchomić plan awaryjny płatności. Więcej w module 6.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.9 Sztuczna inteligencja: czat i podrobiony głos

Czaty AI. Publiczne czaty AI (programy, które piszą teksty na polecenie) są wygodne. Ale wszystko, co do nich wkleisz, trafia do zewnętrznej firmy. Ty nie możesz tego wycofać.

Co robisz

Do publicznego czatu AI wklejasz tylko tekst bez danych ludzi.
Korzystasz z narzędzia AI zatwierdzonego przez podmiot.
Ogólne pytania o wzór pisma są w porządku.

Czego nie robisz

Nie wklejasz list dłużników, wypłat, rachunków, planu finansowego ani opisów leczenia z rozliczeń.
Nie wklejasz wiadomości od pacjentów.
Nie wierzysz, że usunięcie nazwiska wystarczy.

DlaczegoKwota, rozpoznanie i adres też wskazują konkretnego człowieka.

Podrobiony głos i obraz (deepfake). Przestępcy kopiują głos prezesa z kilku sekund nagrania. Potem dzwonią i proszą o przelew. Czasem pokazują nawet krótkie wideo. Głos i twarz nie są dowodem. Ważne polecenie zawsze sprawdzasz innym kanałem i dokumentem. Jeśli podmiot ma hasło kontrolne, używasz go.

2.10 Telefon, komunikatory i praca poza biurem

Telefon służbowy ma pocztę, kontakty i zdjęcia. Zgubiony lub źle użyty zdradza dane wielu osób. Jak to wygląda. Kolega prosi o zdjęcie wyciągu lub faktury przez komunikator. Pracujesz na laptopie w pociągu. Wi-Fi w kawiarni jest darmowe.

Co robisz

Dane służbowe przesyłasz tylko kanałami podmiotu.
Ekran blokujesz kodem i trzymasz tak, by nikt go nie widział.
Laptop i token masz przy sobie, nie w aucie.

Czego nie robisz

Nie wysyłasz rachunków i wyciągów prywatnym komunikatorem.
Nie łączysz sprzętu służbowego z publicznym Wi-Fi.
Nie fotografujesz dokumentów prywatnym telefonem.

DlaczegoZdjęcie na prywatnym telefonie trafia do chmury i do galerii znajomych.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Podsumowanie modułu 2

E-mailAdres, pośpiech, link, załącznik. Dzwonisz na znany numer.

FakturaNowy rachunek potwierdza telefon i druga osoba.

SzefNikt nie zleca przelewu poza procedurą.

BankAdres wpisujesz sam. Kod czytasz razem z kwotą.

Zapamiętaj

Oszust ma trzy narzędzia: pośpiech, tajność i autorytet. Ty masz jedno: sprawdzenie innym kanałem.

Moje notatki z tematu

Z którego z opisanych oszustw mógłbyś paść ofiarą w swojej pracy? Dlaczego?

Jak sprawdzisz następną prośbę o zmianę numeru konta?

Krok 2 · Zrozum

Zagrożenia cyfrowe: faktury, przelewy, banki

Oszuści atakują pieniądze, nie komputery. Poznasz osiem sposobów ataku i dla każdego — jak to zrobić przy okienku, przez telefon, e-mailem i pismem.

AFałszywa faktura: sześć sygnałów

To najczęstsze oszustwo w finansach. Dostajesz e-mail od znanego dostawcy z fakturą na nowy rachunek. Czasem ktoś naprawdę włamał się do jego poczty — wtedy wiadomość przychodzi z prawdziwego adresu. Pieniądze trafiają do oszusta, a prawdziwy dostawca dzwoni po kilku tygodniach.

Sygnał	Dlaczego to ostrzeżenie
nowy rachunek „od dziś”	zmiana rachunku w samej fakturze to klasyka oszustwa
termin „dziś do 14:00”	presja ma odebrać czas na sprawdzenie
brak numeru zamówienia lub umowy	prawdziwa faktura się do nich odwołuje
nabywca bez pełnej nazwy i NIP	dostawca zna dane Twojego podmiotu
dopisek „nie potwierdzać telefonicznie”	oszust nie chce, żebyś zadzwonił
adres w podobnej, ale innej domenie	np. dopisek „-faktury” do nazwy hurtowni — porównaj z adresem z umowy

Zapamiętaj

Podobna domena to podszycie. Prawdziwa firma pisze z domeny z umowy.

BProśba o zmianę numeru konta

Jest jedna pewna metoda: numer do sprawdzenia bierzesz z umowy lub z zatwierdzonych danych — nigdy z wiadomości. Numer z wiadomości należy do osoby, która prosi. Jeśli to oszust, odbierze oszust.

Cecha	Prawdziwa prośba	Fałszywa prośba
czas	daje kilka dni	„dziś”, „natychmiast”, „wstrzymamy dostawy”
kanał	zgadza się z kontaktem z umowy	nowy adres, „piszemy z innej skrzynki”
weryfikacja	chętnie czeka na telefon	odradza telefon
konto	ten sam kraj i bank firmy	osoba prywatna, inny kraj

Jak to zrobić: zmiana numeru konta dostawcy

Kanał	Co robisz	Na co uważasz
E-mail	1. Nie zmieniasz rachunku po samym mailu. 2. Odpisujesz: „Zmianę przyjmuję po potwierdzeniu telefonicznym”. 3. Dzwonisz na numer z umowy.	Nie pytasz maila „czy to prawda” — oszust potwierdzi.
Telefon	1. Mówisz: „Oddzwonię”. 2. Kończysz rozmowę. 3. Dzwonisz na numer z umowy lub z zatwierdzonych danych.	Numer z wyświetlacza da się podrobić.
Osobiście (przedstawiciel dostawcy)	1. Prosisz o dokument ze zdjęciem i pisemny wniosek. 2. Nadal dzwonisz na numer z umowy.	Nie zmieniasz „na słowo”.
Pismo lub system dostawcy	Porównujesz podpis, dane i rachunek z umową. Przy rozbieżności dzwonisz na numer z umowy.	Skan podpisu można podrobić.
Osoba trzecia („księgowa dostawcy prosi za szefa”)	Nie zmieniasz. Zmianę składa osoba z umowy lub z upoważnieniem w aktach.	Pytasz kierownika działu.

Przykład

— Dzień dobry, dostałem wiadomość o zmianie rachunku do wpłat dla Waszej hurtowni. Chcę potwierdzić.
— Nie wysyłaliśmy nic takiego.
— Dziękuję. Nie zmieniam rachunku i zgłaszam próbę oszustwa.

Jak to zrobić krok po kroku — po potwierdzeniu telefonem

Poproś drugą osobę o zatwierdzenie zmiany — dwie osoby, nie jedna.
Zapisz datę rozmowy, numer, na który dzwoniłeś, i osobę, która potwierdziła.
Zmień rachunek w systemie dopiero teraz.
Przy wątpliwości nie zmieniasz i zgłaszasz do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Zasada

Nowy rachunek zatwierdzają dwie osoby po telefonie na znany numer. Dzięki temu jeden błąd nie kosztuje przychodni pieniędzy.

C„Pilny przelew od prezesa”

Nadawca podpisuje się jako prezes, główny księgowy albo ktoś ważny z Funduszu i prosi o pilny przelew oraz dyskrecję. Najczęściej w piątek po południu. Nazwa „Prezes” nic nie dowodzi, liczy się adres — a adres da się podrobić jedną literą.

Kanał	Co robisz	Na co uważasz
E-mail lub komunikator	1. Nie odpisujesz na tę wiadomość. 2. Dzwonisz do prezesa na znany numer. 3. Żądasz dokumentu w obiegu.	„Nie dzwoń” to najsilniejszy sygnał oszustwa.
SMS	Tak jak przy e-mailu: dzwonisz na znany numer.	Numer nadawcy można podrobić.
Telefon	1. Mówisz: „Oddzwonię”. 2. Dzwonisz na numer z książki telefonicznej podmiotu.	Głos nie jest dowodem (sekcja H).
Osobiście	Rozmowa na korytarzu to polecenie bez dokumentu — szczegóły w temacie 4, sekcja A.	Procedura obowiązuje także prezesa.

Zasada

Nikt nie zleca przelewu poza procedurą, także prezes. Polecenie sprawdzasz telefonem na znany numer i dokumentem w obiegu. Dlaczego? Bo prawdziwy prezes zawsze to zrozumie.

DStrona banku, token i logowanie dwuetapowe

E-mail lub SMS prosi o „aktualizację danych”. Link prowadzi na stronę, która wygląda jak strona banku. Wpisujesz login, hasło i kod z tokena, a oszust zleca przelew z Twojego konta.

Sygnał	Co o nim wiesz
inny adres strony, np. dopisek „-logowanie”	kłódka nie dowodzi, że strona jest prawdziwa
groźba z terminem	bank nie blokuje konta za brak kliknięcia
login, hasło i kod naraz	kod z tokena służy do zleceń, nie do logowania
prośba o instalację pliku	bank nie każe pobierać programów

Logowanie dwuetapowe (hasło + kod z tokena lub aplikacji) chroni nawet wtedy, gdy ktoś zna hasło — ale tylko dopóki drugi składnik zna wyłącznie Twoja osoba. Kod podany dzwoniącemu „z banku” niweczy jego sens.

Jak to zrobić krok po kroku — wejście do banku

Wpisz adres banku sam albo użyj zapisanej zakładki.
Przed wpisaniem kodu przeczytaj kwotę i odbiorcę na ekranie banku.
Token zostaje przy Tobie, a hasło w pamięci.
Link z wiadomości zgłaszasz do informatyk lub pomoc techniczna jednostki, nie klikasz.

ETelefony i SMS-y „z banku”, Funduszu, kuriera

Vishing to oszustwo przez telefon, smishing — przez SMS. Rozmówca zna Twoje imię i nazwę przychodni, mówi pewnie i buduje presję: „konto zostanie zablokowane”. Numer na wyświetlaczu wygląda jak numer banku, ale podrobić go może każdy.

Kanał	Co robisz	Na co uważasz
Telefon „z banku”	1. Mówisz: „Oddzwonię”. 2. Kończysz rozmowę. 3. Dzwonisz na numer z umowy lub z oficjalnej strony. 4. Zgłaszasz próbę, nawet jeśli nic nie podałeś.	Bank nigdy nie prosi o login, hasło ani kod.
SMS o blokadzie lub dopłacie	Nie klikasz, nie odpisujesz, usuwasz wiadomość i zgłaszasz do informatyk lub pomoc techniczna jednostki.	Mała kwota usypia czujność, a samo kliknięcie może otworzyć drogę oszustowi.
E-mail „z banku”	Nie klikasz. Wchodzisz do banku z własnego adresu.	Link z wiadomości prowadzi na kopię strony.
Osobiście lub pismem („opiekun banku”)	Sprawdzasz tożsamość tak, jak przy umowie: telefonem na numer z umowy.	Wizytówka i logo nie są dowodem.
Osoba trzecia („kolega z banku prosi o kod”)	Odmawiasz. Kodu nie podajesz nikomu.	Kod jest tylko Twój.

Przykład

— Dzwonię z działu bezpieczeństwa banku. Widzimy podejrzany przelew. Proszę podać kod z SMS-a.
— Nie podaję kodów. Oddzwonię na numer z umowy.

Zapamiętaj

Gdy ktoś każe Ci nikomu nie mówić o rozmowie, to prawie pewne oszustwo.

FPliki, kody QR, pendrive’y

Faktura w pliku .zip, arkusz z prośbą o włączenie makr, pismo „z Funduszu” z kodem QR i żądaniem zwrotu środków w 24 godziny, pendrive „Oferta dla księgowości”. Kod QR to ukryty link.

Kanał	Co robisz	Na co uważasz
Plik w e-mailu	Nie otwierasz. Dzwonisz do nadawcy na znany numer i pytasz, czy wysłał.	Samo otwarcie może uruchomić złośliwy program.
Kod QR na piśmie	Nie skanujesz. Sprawdzasz pismo telefonem na znany numer.	Kod QR prowadzi tam, gdzie chce oszust.
Pendrive przy kasie lub w poczcie	1. Nie wkładasz go do komputera. 2. Oddajesz osobie z pomocy IT. 3. Zapisujesz, od kogo.	Pendrive może zawierać złośliwy program.
Osoba trzecia („pacjent zostawia pendrive z wynikami”)	Mówisz: „Wyniki przesyłamy innym kanałem”. Pendrive trafia do pomocy IT.	Wyniki nie wracają do rozliczenia z pendrive’a.

GBlokada danych dla okupu i „pomoc techniczna”

Ransomware szyfruje pliki i żąda okupu. Ekran zmienia kolor, pojawia się licznik czasu. W finansach tracisz dostęp do systemu księgowego i listy wypłat, a bez systemu gabinetowego staje rejestracja.

Jak to zrobić krok po kroku — ekran żąda okupu

Odłącz sprzęt od internetu — wyjmij kabel albo wyłącz Wi-Fi.
Nie wyłączaj komputera, chyba że tak każe pomoc IT.
Zadzwoń od razu do informatyk lub pomoc techniczna jednostki i bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Nie płać i nie pisz do przestępców. Decyzje podejmuje podmiot po zgłoszeniu.

Jak to zrobić: ktoś dzwoni „z pomocy technicznej” i prosi o zdalny dostęp

Kanał	Co robisz	Na co uważasz
Telefon	1. Odmawiasz zdalnego podłączenia. 2. Mówisz: „Zgłoszę to przez pomoc IT”. 3. Zgłaszasz do informatyk lub pomoc techniczna jednostki.	Zdalny dostęp daje oszustowi pełną kontrolę.
E-mail lub okno na ekranie	Nie klikasz „połącz” ani „zainstaluj”. Zgłaszasz do pomocy IT.	Prawdziwe IT nie żąda tego przez okno z internetu.
Osobiście („technik z firmy”)	Nie dajesz hasła ani dostępu bez zapowiedzi i wpisu w ewidencji (temat 5, sekcja D).	Obca osoba przy komputerze z bankiem to ryzyko przelewu.

HSztuczna inteligencja: podrobiony głos

Przestępcy kopiują głos prezesa z kilku sekund nagrania i proszą o przelew. Czasem pokazują nawet krótkie wideo. Głos i twarz nie są dowodem. Ważne polecenie sprawdzasz innym kanałem i dokumentem. Jeśli podmiot ma hasło kontrolne, używasz go.

Robisz

używasz umówionego hasła kontrolnego — zna je tylko prawdziwa osoba
oddzwaniasz na znany numer — rozmówca nie może ukryć się za podrobionym głosem

Nie robisz

nie uznajesz głosu za dowód — sztuczna inteligencja podrobi go po kilku sekundach nagrania
nie wykonujesz przelewu „bo szef brzmi znajomo” — zaufanie do głosu to właśnie cel oszusta

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. E-mail „od dostawcy”: „Od dziś płacisz na nowy rachunek”. Co robisz?

Dzwonię na numer z umowy i pytam o zmianę.

Odpisuję: „Czy to na pewno Wy?”.

Płacę na nowy rachunek, bo faktura wygląda poprawnie.

Ćwiczenie 2. Do którego oszustwa pasuje sygnał?Przy każdej pozycji wybierz jedną odpowiedź.

adres w podobnej domenie z dopiskiem „-faktury”

„Nie dzwoń, jestem na spotkaniu”

„Konto zostanie zablokowane za 15 minut”

Ćwiczenie 3. Przeczytaj SMS. Kliknij trzy fragmenty, które świadczą o oszustwie.

SMS: „Paczka wstrzymana. Dopłać 1,50 zł w ciągu 15 minut, wejdź: kurier-doplata.example i podaj kod z banku”.

Ćwiczenie 4. Uzupełnij zasadę sprawdzania.Wpisz jedno słowo w każdą lukę.

Numer do sprawdzenia biorę z …, nie z …. Nowy rachunek zatwierdzają … osoby.

Ćwiczenie 5. Dzwoni osoba „z banku”: „Widzimy podejrzany przelew, proszę o kod z SMS-a”. Napisz, co mówisz i co robisz potem.

„Nie podaję kodów. Oddzwonię na numer z umowy.” Potem dzwonię do banku na numer z umowy i zgłaszam próbę do osoby od incydentów. — Bank nigdy nie prosi o kod.