Ataki na kierownictwo
Pilny przelew, fałszywe pismo, podrobiony głos, wyłudzenie podpisu i szantaż.
2.1Pilny przelew od „dyrektora” lub „organu prowadzącego”
Zasada. Prośbę o pieniądze sprawdzasz drugim kanałem: dzwonisz na numer, który znasz, a nie na numer z wiadomości.
Co to znaczy. To oszustwo „na szefa”. Wiadomość wygląda tak, jakby pisał dyrektor albo urząd organu prowadzącego. Prosi o pilny, poufny przelew, zwykle w piątek po południu albo w czasie ferii. Wskazówki: adres po „@” obcy, pośpiech, zakaz telefonu, nowy rachunek w załączniku.
| Sygnał | Co oznacza | Co robisz |
|---|---|---|
| Prywatny lub podobny adres | nazwa się zgadza, domena nie | czytasz adres po „@” |
| Pośpiech i poufność | presja ma wyłączyć myślenie | wstrzymujesz |
| Zakaz telefonu | oszust nie chce, byś sprawdził | dzwonisz |
| Nowy rachunek w załączniku | numer konta nie jest w umowie | sprawdzasz w umowie |
- wstrzymujesz przelew i dzwonisz na numer, który znasz — spóźniony przelew da się wykonać, wysłanego nie cofniesz
- przelewy poza planem zatwierdzają dwie osoby — druga osoba widzi to, czego ty nie zauważysz
- nie odpisujesz z pytaniem „czy to ty” — odpowiedź trafia do autora wiadomości
- nie robisz przelewu „tylko tym razem” — jedno wyjątkowe zatwierdzenie wystarczy
Jak to zrobić: prośba o przelew
| Kanał | Co robisz | Zdanie do powiedzenia |
|---|---|---|
| Osobiście: księgowa pokazuje wiadomość „od dyrektora” z prośbą o przelew | Prosisz o wstrzymanie i dzwonisz. | „Wstrzymaj przelew. Zadzwonię pod numer z umowy.” |
| Telefon: ktoś mówi głosem dyrektora i prosi o przelew | Mówisz, że oddzwonisz. | „Oddzwonię za chwilę na numer służbowy.” |
| E-mail: „organ prowadzący” prosi o zmianę rachunku | Nie odpowiadasz. Dzwonisz do urzędu na znany numer. | „Dzwonię do urzędu, żeby potwierdzić.” |
| Osoba trzecia: sekretarka mówi „dyrektor kazał zrobić przelew” | Prosisz o potwierdzenie. | „Potwierdźmy telefonem z dyrektorem.” |
— Rozmówca: Przelej dziś trzydzieści tysięcy na rachunek, który zaraz wyślę. Nikomu nie mów.
— Ty: Oddzwonię za chwilę na numer służbowy.
— Rozmówca: Nie ma czasu!
— Ty: Rozumiem. Oddzwonię w ciągu pięciu minut.
Przy wątpliwości. Nie wiesz, czy prośba jest prawdziwa? Wstrzymujesz i dzwonisz.
Dlaczego? Oszust kontroluje kanał, którym pisze, ale nie kontroluje twojego telefonu. Dlatego numer, który znałeś wcześniej, jest tym, czego atakujący nie ma.
2.2Fałszywe pismo „z kuratorium”
Zasada. Pismo „z kuratorium” z prośbą o dane uczniów lub pilny termin sprawdzasz drugim kanałem przed jakąkolwiek odpowiedzią.
Co to znaczy. Kuratorium, organ prowadzący i inne urzędy piszą na znane adresy, z numerem sprawy i terminem, który pozwala sprawdzić prośbę. Fałszywe pismo jest pilne, poufne i prosi o odpowiedź na inny adres. Dane o orzeczeniach to dane o zdrowiu, więc ich nie wysyłasz bez sprawdzenia.
| Prawdziwe pismo | Fałszywe pismo |
|---|---|
| znany adres nadawcy | domena podobna do prawdziwej |
| numer sprawy i podstawa | ogólny zwrot, brak numeru |
| termin pozwalający sprawdzić | „dziś do 14:00” |
| odpowiedź na znany adres | inny adres do odpowiedzi |
- dzwonisz do urzędu na numer znany z wcześniejszych pism — numer w wiadomości może należeć do oszusta
- zgłaszasz wiadomość na bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów także wtedy, gdy okaże się prawdziwa — zgłoszenie uczy zespół
- nie wysyłasz wykazów uczniów z orzeczeniami, dopóki nie sprawdzisz — dane o zdrowiu wysłane oszustowi są nie do odzyskania
- nie odpowiadasz na „poufne” prośby bez wiedzy organu prowadzącego — tajemnica przed przełożonym to sygnał oszustwa
Jak to zrobić: pismo z prośbą o dane uczniów
| Kanał | Co robisz | Zdanie do powiedzenia |
|---|---|---|
| Osobiście: sekretarka przynosi wydruk „z kuratorium” | Prosisz o niewysyłanie i sprawdzasz. | „Nie wysyłamy. Sprawdzę telefonem w kuratorium.” |
| Telefon: „pracownik kuratorium” prosi o wykaz | Nie podajesz. Oddzwaniasz na znany numer. | „Oddzwonię na numer kuratorium z naszych pism.” |
| E-mail: wykaz pilnie na inny adres | Nie klikasz. Zgłaszasz. | „Zgłaszam wiadomość i sprawdzam telefonem.” |
| Osoba trzecia: wicedyrektor mówi „wyślijmy, to kuratorium” | Prosisz o sprawdzenie. | „Najpierw sprawdźmy.” |
— Wicedyrektor: To pismo z kuratorium, trzeba odpowiedzieć do czternastej.
— Ty: Najpierw dzwonię do kuratorium na numer z naszych pism.
— Wicedyrektor: A jeśli nie zdążymy?
— Ty: Prawdziwy urząd poczeka na odpowiedź kilka minut dłużej.
Przy wątpliwości. Nie wiesz, czy pismo jest prawdziwe? Nie wysyłasz danych do czasu sprawdzenia.
Dlaczego? Dane o zdrowiu uczniów wysłane oszustowi są nie do cofnięcia, a prawdziwy urząd poczeka na sprawdzenie.
2.3Podrobiony głos i hasło kontrolne
Zasada. Głos i twarz nie dowodzą, kto mówi, więc przy poleceniu o pieniądze, kod, dostęp lub podpis pytasz o umówione hasło kontrolne.
Co to znaczy. Podrobiony głos (deepfake) powstaje ze starego nagrania, na przykład z uroczystości szkolnej. Dziś atakujący może pojawić się także na wideorozmowie. Dlatego dyrekcja ustala hasło kontrolne: słowo znane kilku osobom, zmieniane co kwartał i po odejściu osoby, która je znała.
| Krok | Co robisz | Dlaczego |
|---|---|---|
| 1. Ustalenie | wybierasz hasło osobiście | hasło wysłane e-mailem nie jest tajne |
| 2. Krąg osób | zna je dyrekcja, księgowa i sekretariat | im więcej osób, tym większe ryzyko |
| 3. Użycie | pytasz przy poleceniu o pieniądze, kod, dostęp lub podpis | oszust go nie zna |
| 4. Zmiana | co kwartał i po odejściu osoby | stare hasło przestaje chronić |
- ustalasz hasło osobiście, nie e-mailem — hasło w poczcie przestaje być tajne
- zmieniasz hasło po odejściu osoby, która je znała — stare hasło znane komuś spoza zespołu nie chroni
- nie zatwierdzasz niczego w trakcie rozmowy, gdy nie znasz hasła — brzmienie głosu niczego nie dowodzi
- nie wysyłasz hasła w komunikatorze — komunikator można przejąć
Jak to zrobić: używasz hasła kontrolnego
| Kanał | Co robisz | Zdanie do powiedzenia |
|---|---|---|
| Osobiście: wprowadzasz hasło na naradzie | Mówisz osobom z kręgu, bez zapisu. | „To nasze hasło. Nie zapisujemy go.” |
| Telefon: ktoś prosi głosem dyrektora o przelew | Pytasz o hasło. | „Jakie jest nasze hasło?” |
| Wideorozmowa: widzisz znajomą twarz | Kończysz rozmowę i dzwonisz. | „Dokończymy po oddzwonieniu.” |
| Osoba trzecia: ktoś mówi „znam hasło, dyrektor mi powiedział” | Sprawdzasz u dyrektora. | „Potwierdzę z dyrektorem.” |
— Rozmówca (głos dyrektora): Zatwierdź zmianę rachunku, jestem w drodze.
— Ty: Jakie jest nasze hasło?
— Rozmówca: Nie pamiętam, zrób to szybko.
— Ty: Kończę rozmowę i dzwonię na znany numer.
Przy wątpliwości. Nie wiesz, czy rozmówca to dyrektor? Pytasz o hasło i dzwonisz.
Dlaczego? Brzmienie głosu i wygląd twarzy da się podrobić, a hasło znane tylko kilku osobom nie.
2.4Wyłudzenie podpisu
Zasada. Aneksu ani zmiany rachunku nie podpisujesz od razu: dzwonisz do dostawcy na numer z umowy, a zmianę rachunku zatwierdza druga osoba.
Co to znaczy. Twój podpis zmienia rzeczywistość. Aneks zmienia rachunek do płatności, a upoważnienie otwiera dostęp. Dokument przychodzi e-mailem „od dostawcy dziennika” z prośbą o szybki podpis. Sygnały: inna domena, termin „do 14:00”, nowy rachunek w innym banku, brak numeru umowy.
| Dokument | Co sprawdzasz | Kto zatwierdza |
|---|---|---|
| Aneks ze zmianą rachunku | numer umowy i dostawcę telefonem | druga osoba |
| Upoważnienie dla serwisu | tożsamość serwisanta i zakres | dyrektor z koordynatorem SZBI |
| Pismo „o korekcie” umowy | adres i numer sprawy | dyrektor po sprawdzeniu |
| Podpis elektroniczny | czy wchodzisz ze znanej zakładki | ty, po sprawdzeniu |
- dzwonisz do dostawcy na numer z umowy — numer z e-maila może należeć do oszusta
- do portalu podpisu wchodzisz ze znanej zakładki — link w e-mailu może prowadzić do podróbki
- nie podpisujesz „bo termin do 14:00” — termin nie jest powodem do pośpiechu
- nie zatwierdzasz zmiany rachunku sam — druga osoba widzi to, czego ty nie widzisz
Jak to zrobić: aneks do podpisu
| Kanał | Co robisz | Zdanie do powiedzenia |
|---|---|---|
| Osobiście: księgowa kładzie aneks na biurku | Pytasz, kto sprawdził zmianę rachunku. | „Kto zadzwonił do dostawcy?” |
| Telefon: „dostawca” prosi o szybki podpis | Nie podpisujesz. Oddzwaniasz. | „Oddzwonię na numer z umowy.” |
| E-mail: aneks do podpisu z linkiem | Nie klikasz. Wchodzisz ze znanej zakładki. | „Podpiszę po sprawdzeniu w portalu.” |
| Osoba trzecia: sekretarka mówi „dostawca czeka” | Prosisz, by poczekał. | „Niech poczeka, sprawdzamy.” |
— Sekretarka: Dostawca dziennika czeka na podpis aneksu, mówi, że do czternastej.
— Ty: Zadzwonię do niego na numer z umowy.
— Sekretarka: A jeśli się obrazi?
— Ty: Dostawca, który naprawdę nim jest, zrozumie sprawdzenie.
Przy wątpliwości. Nie wiesz, czy dokument jest prawdziwy? Nie podpisujesz. Dzwonisz.
Dlaczego? Raz złożony podpis trudno cofnąć, a sprawdzenie telefonem zajmuje kilka minut.
2.5Szantaż po wycieku
Zasada. Na wiadomość „mamy dane uczniów, zapłać” nie płacisz i nie odpisujesz: zachowujesz ją i zgłaszasz od razu.
Co to znaczy. Szantażysta pisze, że ma dane uczniów lub nauczycieli, i żąda pieniędzy. Zwykle dołącza fragment danych, aby uwiarygodnić groźbę. Płacenie nie daje gwarancji, a odpowiedź potwierdza, że adres działa. Zgłoszenie uruchamia koordynatora SZBI, IOD i organ prowadzący.
| Krok | Co robisz | Czego nie robisz |
|---|---|---|
| 1. Nie odpowiadasz | zostawiasz wiadomość | nie płacisz i nie negocjujesz |
| 2. Zachowujesz | robisz zrzut i zostawiasz wiadomość | nie usuwasz |
| 3. Zgłaszasz | bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów, koordynator SZBI, IOD | nie czekasz na „potwierdzenie” |
| 4. Informujesz | organ prowadzący i właściwe organy według przepisów | nie piszesz do rodziców sam |
- zachowujesz wiadomość jako dowód — ślady są potrzebne do ustalenia, co wyciekło
- zgłaszasz od razu — czas na zgłoszenie naruszenia biegnie od stwierdzenia
- nie płacisz i nie negocjujesz — płatność nie daje gwarancji i zachęca do kolejnych prób
- nie odpisujesz — odpowiedź potwierdza, że adres działa
Jak to zrobić: wiadomość szantażująca
| Kanał | Co robisz | Zdanie do powiedzenia |
|---|---|---|
| Osobiście: sekretarka pokazuje wiadomość „mamy dane uczniów” | Prosisz o niezamykanie wiadomości. | „Zostaw. Dzwonię do koordynatora.” |
| Telefon: szantażysta dzwoni z żądaniem | Kończysz rozmowę i zapisujesz godzinę. | „Kończę rozmowę. Zgłaszam sprawę.” |
| E-mail: wiadomość z załącznikiem „próbką danych” | Nie otwierasz załącznika. | „Nie otwieram. Zgłaszam.” |
| Osoba trzecia: nauczyciel radzi „zapłać, bo się rozniesie” | Odmawiasz. | „Nie płacimy. Zgłaszamy.” |
— Nauczyciel: Może zapłacić, żeby nikt nie wiedział?
— Ty: Nie płacimy. Zgłaszamy.
— Nauczyciel: Ale rodzice się dowiedzą.
— Ty: Dowiedzą się od nas, spokojnie i na naszych zasadach.
Przy wątpliwości. Nie wiesz, czy żądanie jest prawdziwe? Zachowujesz i zgłaszasz. Ocena należy do koordynatora SZBI i IOD.
Dlaczego? Płatność nie daje gwarancji, a ukrywanie zdarzenia zwiększa szkodę. Zgłoszenie daje szkole czas na rozsądne działanie.
- Kto w mojej szkole zatwierdza przelew poza planem i jak to sprawdza?
- Jakim drugim kanałem zespół może potwierdzić moje polecenie?