Ataki na kierownictwo
Atak na kierownika wygląda jak zwykła, pilna sprawa służbowa. Różni się jednym: chodzi o pieniądze, podpis lub dostęp.
2.1 Pilny przelew od „prezesa”
To oszustwo „na szefa” (po angielsku CEO fraud). Wiadomość wygląda, jakby pisał prezes. Prosi o pilny, poufny przelew, np. dla dostawcy odczynników. Zwykle trafia w piątek po południu albo w czasie urlopu. Zobacz rysunek 2: numery odpowiadają sygnałom na liście.
- 1Prywatny lub podobny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy albo prywatny.
- 2Pośpiech i poufność„Pilne”, „dziś”, „poufne”. Presja ma wyłączyć myślenie.
- 3Zakaz telefonu„Nie dzwoń.” Oszust nie chce, żebyś sprawdził prośbę.
- 4Przelew poza zwykłą drogąKwota i odbiorca nie pasują do planu płatności.
- 5Nowy rachunek w załącznikuNumer konta jest tylko w pliku od „prezesa”, nie w umowie.
- 6Coś się nie zgadzaInny styl, nietypowa godzina, błędy. Prezes tak nie pisze.
Co robisz. Wstrzymujesz przelew. Dzwonisz do prezesa na numer, który znasz. Przelewy poza planem zatwierdzają dwie osoby. Dlaczego: oszust kontroluje kanał, którym pisze, ale nie kontroluje twojego telefonu.
Czego nie robisz. Nie odpisujesz z pytaniem „czy to ty”. Nie robisz przelewu „tylko tym razem”. Jako prezes nie zlecasz przelewów wiadomością z dopiskiem „nie dzwoń”.
Prośbę o pieniądze sprawdzasz drugim kanałem. Dzwonisz na numer, który znałeś wcześniej. Nie na numer z wiadomości. Dotyczy to też próśb od ciebie samego.
2.2 Podrobiony głos i obraz
Deepfake (czytaj: dipfejk) to nagranie głosu lub obrazu stworzone przez sztuczną inteligencję. Brzmi i wygląda jak prawdziwa osoba. Wystarczy kilka sekund nagrania, np. z konferencji albo filmu promocyjnego przychodni. Dziś oszust może pojawić się nawet na wideorozmowie. Twój głos i twarz są tak samo dostępne jak twoje nazwisko.
Po czym poznasz. Prośba jest pilna i nietypowa. Rozmówca chce kodu, przelewu albo dostępu. Prosi o tajemnicę. Połączenie jest krótkie, obraz się zacina, a oddzwonienie jest „niemożliwe”. Co robisz. Kończysz rozmowę i oddzwaniasz na znany numer. Nic nie zatwierdzasz w trakcie tej rozmowy.
Dlaczego hasło kontrolne. Brzmienie głosu i wygląd twarzy niczego nie dowodzą. Dlatego zarząd ustala umówione słowo. Zna je kilka osób. Zmieniasz je co jakiś czas. Nie wysyłasz go mailem.
2.3 Wyłudzenie podpisu
Twój podpis zmienia rzeczywistość. Aneks zmienia rachunek do płatności. Upoważnienie otwiera dostęp. Dlatego oszust woli twój podpis niż twoje hasło. Dokument przychodzi mailem, np. „od dostawcy systemu gabinetowego” albo „z laboratorium”, z prośbą o szybki podpis i odesłanie skanu. Zobacz rysunek 4.
- 1Adres nadawcyDomena różni się od domeny z umowy.
- 2Termin „do 14:00”Pośpiech odbiera czas na sprawdzenie.
- 3Nowy rachunek w innym bankuBrak numeru umowy, której dotyczy zmiana.
- 4Inny adres zwrotnyOdpowiedź trafiłaby do oszusta, nie do dostawcy.
- 5Wklejony podpis dostawcyWygląda jak obrazek, nie jak prawdziwy podpis.
Co robisz. Nie podpisujesz od razu. Dzwonisz do dostawcy na numer z umowy. Zmianę rachunku zatwierdza druga osoba. Do podpisu elektronicznego logujesz się tylko ze znanej zakładki, nie z linku w mailu. Pisma „z Funduszu” o korekcie umowy sprawdzasz w portalu Funduszu, nie w załączniku. Dlaczego: raz złożony podpis trudno cofnąć.
2.4 Fałszywy organ i szantaż
Telefon „z Funduszu”, „z prokuratury” albo „od właściciela” brzmi poważnie. Prosi o listę pacjentów, dokumentację albo pilną zgodę. Prawdziwy organ nie żąda takich rzeczy przez telefon. Kończysz rozmowę i oddzwaniasz na numer ze strony urzędu lub z akt. Osobna sprawa to szantaż: e-mail „mamy dokumentację waszych pacjentów”. Wtedy nie płacisz i nie odpisujesz. Zachowujesz wiadomość i zgłaszasz od razu (symulacja 2).
2.5 Twoje własne konta
Twoja poczta ma duże uprawnienia. Włamywacz ukrywa w niej czasem regułę, która przekazuje kopie wiadomości na obcy adres. Raz na jakiś czas proś IT o sprawdzenie reguł przekazywania poczty. Token do bankowości i konto do portalu Funduszu należą tylko do ciebie. Sekretariat dostaje dostęp do skrzynki osobną funkcją, nie twoim hasłem. Włącz logowanie dwuetapowe.
2.6 Jak to zrobić: sprawdzenie polecenia lub prośby w każdym kanale
Zasada jest jedna: prośbę sprawdzasz innym kanałem, niż ten, którym przyszła. Odpowiedź na e-mail trafia do autora wiadomości, więc nie pytasz „czy to ty?” w odpowiedzi. Dotyczy to też poleceń, które sam wydajesz zespołowi.
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| E-mail („od prezesa”, „z Funduszu”, „od dostawcy”) | 1. Nie odpowiadasz i nie klikasz linków. 2. Czytasz adres po „@” i porównujesz go z poprzednimi wiadomościami. 3. Dzwonisz do nadawcy na numer, który znasz z umowy lub wykazu. 4. Zgłaszasz wiadomość do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów, także gdy prośba okaże się prawdziwa. | Numer z podpisu wiadomości niczego nie dowodzi. Załącznik z nowym rachunkiem sprawdzasz w umowie. |
| Telefon | 1. Niczego nie zatwierdzasz w trakcie rozmowy. 2. Mówisz: „Oddzwonię za chwilę na numer służbowy.” 3. Kończysz rozmowę i dzwonisz na numer, który znasz. 4. Przy poleceniu o pieniądze, kod, dostęp lub podpis pytasz o umówione hasło kontrolne. | Rozmówca, który nie pozwala oddzwonić, daje kolejny sygnał oszustwa. |
| Wideorozmowa | 1. Nie zatwierdzasz niczego, nawet gdy widzisz znajomą twarz. 2. Mówisz: „Dokończymy po oddzwonieniu.” i kończysz połączenie. 3. Dzwonisz na znany numer. Gdy to prezes, prosisz o hasło kontrolne. | Obraz i głos da się podrobić w czasie rozmowy. Prośba „pokaż dłoń do kamery” nie chroni, bo sprawcy poprawiają fałszywki. |
| SMS lub komunikator | 1. Nie klikasz linku i nie wysyłasz zdjęć dokumentów. 2. Dzwonisz na znany numer. 3. Zgłaszasz wiadomość, jeśli prośba dotyczy pieniędzy lub dostępu. | Zmiana numeru nadawcy („to mój nowy numer”) jest częstym początkiem ataku. |
| Pismo lub aneks do podpisu (papier, portal podpisu) | 1. Nie podpisujesz od razu. 2. Dzwonisz do dostawcy na numer z umowy. 3. Zmianę rachunku zatwierdza druga osoba. 4. Do portalu podpisu wchodzisz ze znanej zakładki, nie z linku. 5. Pismo „z Funduszu” o korekcie umowy sprawdzasz w portalu Funduszu. | Raz złożony podpis trudno cofnąć. Termin „do 14:00” nie jest powodem do pośpiechu. |
| Osoba trzecia („prezes kazał przekazać”) | 1. Mówisz: „Potwierdzę to telefonicznie.” 2. Dzwonisz do prezesa lub jego sekretariatu na znany numer. 3. Dopiero po potwierdzeniu wykonujesz polecenie. | Polecenie z drugiej ręki może być prawdziwe, ale pośrednik nie jest dowodem. |
Jak ustalić i stosować umówione hasło kontrolne
| Krok | Co robisz | Dlaczego |
|---|---|---|
| 1. Ustalenie | Zarząd wybiera słowo lub zdanie na odprawie, osobiście. | Hasło wysłane e-mailem nie jest tajne. |
| 2. Krąg osób | Zna je kilka osób: zarząd, główny księgowy, sekretariat prezesa. | Im więcej osób, tym większe ryzyko wycieku. |
| 3. Użycie | Przy poleceniu o pieniądze, kod, dostęp lub podpis pytasz: „Jakie jest nasze hasło?”. Błędna odpowiedź kończy rozmowę. | Sprawca nie zna hasła, nawet gdy brzmi jak prezes. |
| 4. Zmiana | Zmieniasz je co kwartał oraz po odejściu osoby, która je znała. | Hasło znane byłej osobie przestaje chronić. |
— Mówi prezes. Przelej dziś 85 tysięcy zł zaliczki na rachunek, który zaraz wyślę. Nikomu nie mów.
— Dzień dobry. Oddzwonię za chwilę na pana numer służbowy.
— Nie ma czasu, zrób to teraz!
— Rozumiem. Oddzwonię w ciągu pięciu minut i potwierdzę hasłem.
Gdy masz wątpliwość: wstrzymujesz polecenie i dzwonisz. Spóźniony przelew da się wykonać po sprawdzeniu, a wysłanego nie cofniesz. Dlaczego: oszust kontroluje kanał, którym pisze, ale nie kontroluje twojego telefonu.
Głos, twarz i podpis można podrobić. Numer telefonu, który znasz, podrobić trudniej. Dlatego oddzwaniasz.
- Kto w moim podmiocie zatwierdza przelew poza planem i jak to sprawdza?
- Jakim drugim kanałem zespół może potwierdzić moje polecenie?