Zagrożenia cyfrowe w mojej pracy
Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz link, podasz hasło albo wykonasz przelew. Dlatego ten moduł jest najważniejszy.
2.1 Kto i po co atakuje
Atakujący chcą trzech rzeczy: pieniędzy, danych i dostępu do systemów. Przychodnia jest dla nich łakomym celem. Ma dane o zdrowiu, pieniądze z Funduszu i wielu pracowników, którzy się spieszą.
Ty masz numery kont firm, klucze do gabinetów, kontakty do serwisów i dostęp do poczty. To bardzo cenne informacje. Zobacz rysunek 3: większość ataków zaczyna się od wiadomości lub telefonu.
Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz na numer, który znasz. Oszust liczy na to, że odpowiesz w pośpiechu.
2.2 Fałszywe e-maile (phishing)
Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane lub pieniądze. Mail wygląda jak zwykła sprawa służbowa. Udaje dostawcę, serwis aparatury, laboratorium, bank albo kadry. Często dotyczy faktury, zamówienia, przeglądu lub zmiany konta.
Zobacz rysunek 4. Numery na rysunku odpowiadają numerom sygnałów na liście.
- 1Dziwny adres nadawcyNazwa firmy się zgadza, ale adres po „@” jest obcy.
- 2Pośpiech i groźba„Pilne”, „od dziś”, „zostanie wstrzymane”. Presja ma wyłączyć myślenie.
- 3Ogólne powitanieStały dostawca zna cię z imienia lub nazwiska.
- 4Zmiana numeru kontaTo najczęstszy cel oszustów. Zawsze sprawdzasz ją osobno.
- 5Prośba, by nie dzwonićUczciwa firma nie boi się pytań.
- 6Niespodziewany załącznikPlik .zip, .exe albo „faktura”, na którą nie czekasz.
- 7Coś się nie zgadzaBłędy językowe, dziwna godzina, inny styl niż zwykle.
Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytasz.
2.3 Fałszywe telefony i SMS-y (vishing, smishing)
Vishing to oszustwo przez telefon. Smishing to oszustwo przez SMS. Dzwoni ktoś „z banku”, „z policji”, „z Funduszu”, „od kuriera” albo „od dyrektora”. Zna twoje nazwisko i nazwę przychodni. Mówi pewnie i szybko.
Prosi o kod, hasło, przelew albo wpuszczenie kogoś do budynku. SMS zwykle zawiera link. Zobacz rysunek 5.
- 1Prywatny numerFirma kurierska zwykle nie pisze z numeru komórkowego.
- 2Mała dopłataChodzi o dane karty, nie o kwotę.
- 3Krótki termin„Do jutra” to presja.
- 4Obcy linkAdres nie należy do firmy.
- 5Brak numeru przesyłkiPrawdziwy SMS go podaje.
Prawdziwy czy fałszywy kurier
| Co sprawdzasz | Prawdziwy kurier | Fałszywy kurier |
|---|---|---|
| Dokument | ma list przewozowy i dowód | nie pokazuje dokumentów |
| Wejście do gabinetów | czeka przy wejściu na rejestr | naciska, że „nie ma czasu” |
| Dopłata | nie pobiera jej przez link | żąda małej kwoty przez link |
| Pytania | nie pyta o numery pracowników | pyta o numery i nazwiska |
| Ty robisz | przyjmujesz przy wejściu, wpisujesz do rejestru | sprawdzasz, nie wpuszczasz, zgłaszasz |
Co robisz, gdy ktoś dzwoni „z urzędu”
Rozmówca może podszywać się pod bank, policję, sąd lub Fundusz. Sprawdź go, zanim cokolwiek powiesz.
- Kończysz rozmowę i oddzwaniasz na numer z umowy lub karty.
- Pytasz, kto dzwoni, w jakiej sprawie i do kogo.
- Zgłaszasz próbę osobie z karty stanowiskowej.
- Nie podajesz kodów, haseł ani danych pacjentów i pracowników.
- Nie oddzwaniasz na numer podany przez rozmówcę.
- Nie klikasz linków z SMS-ów od „kuriera”.
Dlaczego: Numer na ekranie można podrobić. Tylko numer, który znasz, jest pewny.
Jak to zrobić: telefon lub SMS „z banku”, „od kuriera”, „z policji, sądu, Funduszu”
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Telefon „z banku” | 1. Kończysz rozmowę. 2. Dzwonisz do banku na numer z umowy. 3. Zgłaszasz próbę do informatyk lub pomoc techniczna jednostki. | Bank nigdy nie prosi o kod z SMS-a. |
| Telefon „z policji, sądu, Funduszu” | 1. Pytasz, kto dzwoni i w jakiej sprawie. 2. Mówisz: „Proszę o pismo”. 3. Oddzwaniasz na numer z karty lub umowy. | Nie podajesz danych pacjentów ani pracowników. |
| SMS „od kuriera” | Nie klikasz. Przesyłki szukasz w rejestrze, nie w linku. | Mała kwota usypia czujność. |
| Osobiście (kurier przy wejściu) | Przyjmujesz przesyłkę przy wejściu i wpisujesz do rejestru. | Prawdziwy kurier ma list przewozowy. |
2.4 Podszywanie się pod przełożonego i dostawcę
Oszust udaje dyrektora, kierownika albo stałego dostawcę. Prosi o pilny przelew lub zmianę numeru konta. Czasem używa podrobionego głosu. W zamówieniach to najgroźniejszy atak, bo pieniądze znikają bez śladu.
Gdy ktoś zmienia numer konta, stosuj cztery kroki z rysunku 6. Kolejność ma znaczenie.
Zmianę konta potwierdzasz telefonem. Dzwonisz na numer, który masz w umowie lub w starych dokumentach. Dzięki temu rozmawiasz z prawdziwą firmą, a nie z oszustem.
Jak to zrobić: prośba o zmianę numeru konta firmy
Numer do sprawdzenia bierzesz z umowy lub ze starych dokumentów, nigdy z wiadomości. Numer z wiadomości należy do osoby, która prosi.
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| 1. Nie zmieniasz numeru po samym mailu. 2. Odpisujesz: „Zmianę przyjmuję po potwierdzeniu telefonicznym”. 3. Dzwonisz na numer z umowy. | Nie pytasz maila „czy to prawda” — oszust potwierdzi. | |
| Telefon | 1. Mówisz: „Oddzwonię”. 2. Dzwonisz na numer z umowy. | Numer z wyświetlacza da się podrobić. |
| Osobiście (handlowiec) | Prosisz o pisemny wniosek i potwierdzasz telefonem na numer z umowy. | Wizytówka nie jest dowodem. |
| Pismo lub portal | Porównujesz podpis i dane z umową; przy rozbieżności dzwonisz na numer z umowy. | Skan podpisu można podrobić. |
| Osoba trzecia („księgowa dostawcy prosi za szefa”) | Nie zmieniasz. Zmianę składa osoba z umowy. | Pytasz kierownika. |
— Dostałem wiadomość o zmianie konta Waszej firmy. Chcę potwierdzić.
— Nic takiego nie wysyłaliśmy.
— Dziękuję. Nie zmieniam numeru i zgłaszam próbę oszustwa.
Po potwierdzeniu: druga osoba zatwierdza zmianę, zapisujesz datę rozmowy i osobę. Przy wątpliwości zgłaszasz do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
2.5 Hasła i logowanie dwuetapowe
Hasło to klucz do poczty, zamówień i bankowości. Dobre hasło to kilka losowych słów, na przykład „kubek-zegar-las-niebo”. Drugi składnik logowania to kod z SMS-a lub aplikacji.
- Telefon od „informatyka” z prośbą o hasło.
- Mail od „banku” z oknem logowania.
- Kod z SMS-a, choć nic nie robisz.
- Masz osobne hasło do każdego konta.
- Kod wpisujesz tylko sam.
- Podejrzaną prośbę zgłaszasz.
- Nie podajesz hasła nikomu.
- Nie zapisujesz go przy monitorze.
- Nie używasz tego samego hasła w pracy i prywatnie.
Dlaczego: Kto zna twoje hasło, działa w przychodni jako ty.
2.6 Załączniki, linki, kody QR i pendrive’y
Złośliwy program wchodzi przez plik, link, kod QR lub nośnik. Kod QR to ukryty link, bo nie widzisz adresu. W zamówieniach dostajesz wiele plików od obcych firm, więc ryzyko rośnie.
- Załącznik .zip lub .exe.
- Faktura bez zamówienia.
- Kod QR na przypadkowej nalepce.
- Pendrive znaleziony na parkingu.
- Najeżdżasz na link i czytasz adres.
- Nadawcę pliku sprawdzasz innym kanałem.
- Pendrive oddajesz pomocy IT.
- Nie skanujesz kodów z przypadkowych kartek.
- Nie podłączasz obcych nośników.
- Nie włączasz makr w pliku od obcej firmy.
Dlaczego: Jeden otwarty plik może zatrzymać rejestrację w całej przychodni.
2.7 Złośliwe oprogramowanie i blokada danych (ransomware)
Ransomware to program, który blokuje pliki i żąda okupu. Na ekranie pojawia się komunikat z licznikiem czasu. Atak może zatrzymać rejestrację i dostęp do dokumentacji pacjentów. Wtedy przychodnia przyjmuje pacjentów na papierze.
- Pliki mają dziwne nazwy i się nie otwierają.
- Na ekranie jest żądanie okupu.
- Odłączasz kabel sieciowy albo Wi-Fi.
- Zostawiasz komputer włączony.
- Dzwonisz pod numer z karty stanowiskowej.
- Nie płacisz okupu.
- Nie próbujesz sam naprawiać.
- Nie podłączasz pendrive’a, żeby ratować pliki.
Dlaczego: Odcięcie sieci chroni inne komputery. Włączony komputer zachowuje ślady dla informatyka.
2.8 Telefon służbowy i prywatny
Telefon jest ważnym narzędziem twojej pracy. Rozmawiasz z firmami, robisz zdjęcia usterek, czytasz pocztę. Tabela 3 pokazuje, co robisz którym telefonem.
| Czynność | Telefon służbowy | Telefon prywatny |
|---|---|---|
| Rozmowa z wykonawcą | tak | nie |
| Zdjęcie usterki | tak, bez widocznych pacjentów i dokumentów | nie |
| Zdjęcie dokumentu z danymi pracownika | tylko gdy konieczne, potem do systemu i usunięcie | nie |
| Zdjęcie dokumentacji pacjenta | nigdy | nigdy |
| Nagranie z monitoringu | nie, udostępnia je przychodnia | nie |
| Komunikator z firmami | tylko zatwierdzony przez jednostkę | nie |
| Publiczne Wi-Fi | nie, używasz internetu z telefonu | nie |
Dlaczego? Dane z prywatnego telefonu trafiają do chmury i kopii zapasowych. Przychodnia nie ma nad nimi kontroli. Zgubiony telefon zgłaszasz od razu.
2.9 Sztuczna inteligencja: czego nie wklejam
Publiczne narzędzia AI należą do zewnętrznych firm. To, co wkleisz, może zostać zapisane. Sztuczna inteligencja potrafi też podrobić głos i obraz. Dyrektor może „zadzwonić” głosem skopiowanym z nagrania.
- Głos brzmi znajomo, ale prośba jest pilna i nietypowa.
- Pytasz AI o ogólne zasady bez danych ludzi i firm.
- Przy prośbie o przelew kończysz rozmowę i dzwonisz na znany numer.
- Opis wypadku piszesz w narzędziu jednostki.
- Nie wklejasz opisów wypadków, umów, numerów kont ani danych pacjentów.
- Nie wysyłasz nagrań z kamer do narzędzi AI.
Dlaczego: Dane o zdrowiu i umowy nie powinny trafiać do firm, których nie znasz.
2.10 Praca poza biurem
Poza biurem pracujesz w samochodzie, w innym budynku, czasem w domu. Wi-Fi w kawiarni jest dostępne dla każdego, a ekran widzą współpasażerowie.
- Używasz internetu z telefonu służbowego.
- Ustawiasz ekran tak, by nikt go nie widział.
- Laptop zabierasz ze sobą.
- Nie zostawiasz laptopa w samochodzie.
- Nie łączysz się z darmowym Wi-Fi.
- Nie czytasz umów w tramwaju na pełnym ekranie.
Dlaczego: Obcy w pociągu może przeczytać, co masz na ekranie.
Wiele zasad z tego modułu wynika z przepisów o ochronie danych i bezpieczeństwie sieci. Opisujemy je na końcu poradnika.