Ataki na kierownictwo
Oszuści atakują kierownictwo, bo jedno twoje słowo uruchamia pieniądze, podpisy i dostępy. Prośbę o pieniądze, podpis lub hasło sprawdzasz drugim kanałem, a nie jej treścią.
2.1Pilny przelew „od wójta”
Oszust pisze do skarbnika albo do księgowej z adresu, który wygląda jak adres kierownika. Najczęściej jest to adres prywatny albo podobna domena. Prosi o pilny, poufny przelew na nowy rachunek. Dopisuje: „jestem na spotkaniu, nie dzwoń”. Ta metoda nazywa się oszustwem „na prezesa”, a u nas „na wójta” albo „na burmistrza”. Drugi wariant: „wykonawca zmienił numer rachunku”.
| Sygnał | Dlaczego niepokoi |
|---|---|
| Prywatny adres lub podobna domena | Prawdziwe polecenia idą z poczty służbowej lub z systemu obiegu dokumentów. |
| „Pilne” i „poufne” | Pośpiech i tajemnica mają odciąć cię od sprawdzenia. |
| „Nie dzwoń, jestem na spotkaniu” | Zakaz rozmowy jest najsilniejszym sygnałem oszustwa. |
| Nowy rachunek lub nowy odbiorca | Pieniądze trafiają tam, gdzie wcześniej nie trafiały. |
| Kwota tuż poniżej progu | Oszust zna zasady i chce ominąć dodatkową zgodę. |
Jak to zrobić: nietypowe polecenie przelewu
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| E-mail: „wójt” prosi o przelew | 1. Nie robisz przelewu i nie odpowiadasz na wiadomość. 2. Dzwonisz do kierownika na numer, który znasz, a nie na numer z wiadomości. 3. Wiadomość zostawiasz w skrzynce jako dowód i zgłaszasz pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Odpowiedź na wiadomość trafia do oszusta. |
| Telefon: „wójt” dzwoni z nieznanego numeru | 1. Mówisz: „Oddzwonię za chwilę” i kończysz rozmowę. 2. Oddzwaniasz na numer, który znasz. 3. Dopiero po potwierdzeniu zaczynasz przygotowanie przelewu. | Znany głos nie jest dowodem, bo głos można sklonować. |
| SMS lub komunikator | 1. Traktujesz wiadomość jak e-mail. 2. Nie klikasz linków ani nie otwierasz załączników. 3. Potwierdzasz telefonicznie na znany numer. | Konto komunikatora mogło zostać przejęte. |
| Osobiście: ktoś mówi „wójt prosi o przelew” | 1. Pytasz: „Czy mogę dostać to na piśmie z obiegu dokumentów?”. 2. Dzwonisz do kierownika, zanim zaczniesz. | Polecenie ustne przekazane przez trzecią osobę trudno sprawdzić. |
| Pismo: wykonawca zmienia numer rachunku | 1. Nie zmieniasz rachunku na podstawie pisma ani e-maila. 2. Dzwonisz do wykonawcy na numer z umowy i prosisz o potwierdzenie. 3. Zmianę zatwierdzają dwie osoby. | Oszuści podrabiają pisma wykonawców. |
| Portal bankowości | 1. Przelew wprowadza jedna osoba, a zatwierdza druga. 2. Zatwierdzająca osoba sprawdza odbiorcę i kwotę, a nie tylko wciska „akceptuj”. | Dwie osoby to dwa momenty na zauważenie błędu. |
Skarbnik do kierownika: „Dostałem wiadomość z poleceniem przelewu na nowy rachunek. Pisze, że to pilne i poufne. Czy to od pana?” Kierownik: „Nie. Dziękuję za sprawdzenie. Wstrzymaj przelew i przekaż wiadomość koordynatorowi.”
Nietypowe polecenie przelewu potwierdzasz drugim kanałem, na numer, który znasz, zanim cokolwiek zrobisz. Dlaczego: oszust kontroluje wiadomość, ale nie kontroluje twojego telefonu do znanej osoby. Rozmowa trwa minutę, a utracone pieniądze często nie wracają.
Zmianę numeru rachunku wykonawcy potwierdzasz oddzwonieniem na numer z umowy i zatwierdzają ją dwie osoby. Dlaczego: numer z wiadomości prowadzi do oszusta, a numer z umowy do prawdziwego wykonawcy. Druga osoba zauważa to, co pierwsza przeoczy.
Co ustalasz ty jako kierownik
- Polecenia przelewu nie wydajesz e-mailem z prywatnego adresu ani komunikatorem.
- Ustalasz ze skarbnikiem słowo lub pytanie kontrolne, o które pyta, gdy ma wątpliwość.
- Dziękujesz osobie, która sprawdza twoje polecenie. Nagroda za sprawdzanie jest ważniejsza niż uraza za „brak zaufania”.
Masz wątpliwość, czy przelew jest prawdziwy? Wstrzymaj go i zadzwoń do kierownika na znany numer. Zgłoszenie: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
2.2Podrobiony głos i obraz
Oszust może nagrać twój głos z transmisji sesji i skleić z niego wypowiedź. Potrafi też stworzyć fałszywy obraz w rozmowie wideo. Dla skarbnika, sekretarza lub dyrektora jednostki taki telefon brzmi jak prawdziwy rozkaz.
- telefon z nieznanego numeru, głos jak twój, prośba o przelew albo dane
- rozmowa wideo, w której „kierownik” prosi o pilną decyzję
- wiadomość głosowa w komunikatorze z poleceniem „zrób to dziś, nie pytaj”
Jak to zrobić: gdy głos lub obraz mogą być podrobione
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Telefon | 1. Mówisz: „Oddzwonię za chwilę”. 2. Oddzwaniasz na numer, który znasz. 3. Zadajesz pytanie kontrolne ustalone wcześniej. | Pośpiech i tajemnica to sygnały oszustwa. |
| Rozmowa wideo | 1. Prosisz o zadzwonienie drugim kanałem. 2. Zadajesz pytanie kontrolne. 3. Decyzje finansowe odkładasz do potwierdzenia na piśmie z obiegu dokumentów. | Obraz i głos można podrobić, a pytania znane tylko wam dwojgu nie. |
| Wiadomość głosowa lub komunikator | 1. Nie wykonujesz polecenia tylko na podstawie nagrania. 2. Potwierdzasz telefonicznie na znany numer. 3. Nagranie zostawiasz jako dowód i zgłaszasz. | Nagranie łatwo sfałszować. |
| Osoba trzecia: „kierownik prosił, żebym przekazał” | 1. Nie wykonujesz polecenia bez potwierdzenia od kierownika. 2. Pytasz, czy może to dostać na piśmie. | Polecenie przekazane przez trzecią osobę łatwo przekręcić. |
Głos i obraz nie są dowodem tożsamości. Ustalasz pytanie kontrolne i oddzwaniasz na znany numer. Dlaczego: dzisiaj fałszywy głos kosztuje oszusta kilka minut pracy, a pytanie kontrolne zna tylko prawdziwa osoba.
— Mówi wójt, przelej dziś trzydzieści tysięcy, to sprawa poufna. — Oddzwonię za chwilę na pana numer. — Nie ma czasu. — Wiem. Właśnie dlatego oddzwonię.
Podejrzewasz, że ktoś używa twojego głosu? Zgłoś: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nagranie i numer zostaw jako dowód.
2.3Wyłudzenie podpisu elektronicznego
Podpis kwalifikowany, profil zaufany i podpis w systemie obiegu dokumentów są równie ważne jak podpis własnoręczny. Oszust chce, żebyś podpisał dokument, którego nie przeczytałeś, albo zdradził kod lub PIN. Zwykle dopisuje „to formalność, termin mija dziś”.
Jak to zrobić: dokument do podpisu elektronicznego
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Pismo i system obiegu dokumentów | 1. Czytasz dokument w całości, także załączniki. 2. Sprawdzasz, kto go przygotował i czy jest w rejestrze spraw. 3. Dopiero wtedy podpisujesz. | Dokument „do podpisu na już” z pominięciem obiegu jest podejrzany. |
| E-mail z załącznikiem „do podpisu” | 1. Nie podpisujesz pliku otrzymanego z zewnątrz bez sprawdzenia nadawcy. 2. Dzwonisz do nadawcy na znany numer. 3. Plik zgłaszasz, gdy wygląda na fałszywy. | Oszust przysyła dokument wyglądający na urzędowy, w którym zmienia jedno zdanie. |
| Telefon: „proszę podać kod z SMS-a” | 1. Nie podajesz kodu, PIN-u ani hasła do podpisu nikomu, także „z bankowości”. 2. Kończysz rozmowę i dzwonisz na numer z oficjalnej strony. | Kod zatwierdza operację w twoim imieniu. |
| Osobiście: stos dokumentów w pośpiechu | 1. Mówisz: „Przeczytam i oddam do godziny czternastej”. 2. Nie podpisujesz „w biegu”. | Pośpiech to najprostszy sposób na wyłudzenie podpisu. |
| Osoba trzecia: asystent prosi o PIN lub kartę | 1. Karty i PIN-u nikomu nie oddajesz. 2. Dla asystenta nadajesz odrębne upoważnienie lub konto. | Podpis złożony cudzą ręką nie jest już twoim dowodem. |
Podpisujesz tylko to, co w całości przeczytałeś. Kodu, PIN-u i hasła do podpisu nie podajesz nikomu. Dlaczego: podpis elektroniczny daje dokumentowi moc prawną, a oszust w jednej sekundzie zyskuje to, na co ty musisz mieć zgodę organu.
Blok dla sekretarza: kto podpisuje w czyim imieniu
Sekretarz odpowiada za porządek w podpisach. Prowadzi rejestr upoważnień i dba, by każda osoba z upoważnieniem podpisywała tylko w swoim zakresie.
| Czynność sekretarza | Co robi | Dowód |
|---|---|---|
| Rejestr upoważnień | Zapisuje, kto, w czyim imieniu i do jakiego zakresu może podpisywać. | Rejestr z datami i podpisami. |
| Obieg dokumentów do podpisu | Dopuszcza do podpisu tylko dokumenty z obiegu spraw. | Numer sprawy na dokumencie. |
| Podpisy pod nieobecność kierownika | Sprawdza, czy zastępca ma upoważnienie na dany zakres. | Zarządzenie lub upoważnienie. |
| Wniosek o zmianę upoważnienia | Przyjmuje go na piśmie i przedstawia kierownikowi. | Pisemna decyzja. |
Masz wątpliwość, czy dokument jest prawdziwy? Nie podpisuj. Zapytaj sekretarza lub koordynatora SZBI: koordynator bezpieczeństwa informacji.
2.4Fałszywy organ i fałszywa kontrola
Oszust podaje się za instytucję: izbę obrachunkową, policję, prokuraturę, zespół CSIRT albo urząd krajowy. Mówi, że trwa kontrola albo atak, że potrzebuje hasła, dostępu zdalnego, listy pracowników lub „opłaty administracyjnej”. Grozi karą, jeśli nie dostanie odpowiedzi dziś.
Jak to zrobić: ktoś podaje się za organ lub kontrolę
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Telefon | 1. Nie podajesz danych ani haseł. 2. Zapisujesz nazwę instytucji, imię rozmówcy i numer. 3. Dzwonisz na numer z oficjalnej strony instytucji i pytasz, czy to ona. | Numer, który podaje rozmówca, prowadzi do oszusta. |
| 1. Nie klikasz linków ani nie otwierasz załączników. 2. Sprawdzasz adres nadawcy i domenę. 3. Zgłaszasz wiadomość pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Wiadomość „z organu” może pochodzić z podobnej domeny. | |
| Pismo i e-Doręczenia | 1. Prawdziwy organ pisze przez e-Doręczenia lub ePUAP. 2. Pismo, które przychodzi inaczej, sprawdzasz drugim kanałem. 3. Pismo przekazujesz sekretarzowi. | Pieczątka i logo nie dowodzą, że pismo jest prawdziwe. |
| Osobiście: „funkcjonariusz” lub „kontroler” w urzędzie | 1. Prosisz o legitymację i upoważnienie do kontroli. 2. Wzywasz sekretarza lub koordynatora SZBI: koordynator bezpieczeństwa informacji. 3. Zostajesz obok, gdy kontroler pracuje w urzędzie. | Obca osoba w pomieszczeniu to ryzyko także dla danych. |
| Osoba trzecia: „doradca” lub „wykonawca”, który ma pomóc w kontroli | 1. Nie dajesz dostępu zdalnego ani haseł. 2. Sprawdzasz firmę w umowie lub u prawnika. | Pomocnik bywa przestępcą, który wchodzi do systemu. |
Instytucja nie prosi o hasło ani o instalację programu zdalnego dostępu. Rozmówcę sprawdzasz drugim kanałem. Dlaczego: oszust liczy na strach przed kontrolą. Prawdziwa kontrola przyjdzie pismem i nie wymaga, byś decydował w jednej minucie.
— Dzwonię z Regionalnej Izby Obrachunkowej Testowej, mamy kontrolę, proszę zainstalować program, żebyśmy mogli zdalnie zobaczyć dokumenty. — Dziękuję. Nie instaluję programów na telefon. Oddzwonię na numer z waszej strony.
2.5Twoje własne konta i urządzenia
Jeśli oszust przejmie twoją pocztę albo telefon, zyskuje twoje imię na wszystkie rozkazy. Dlatego twoje konta chronisz mocniej niż konta pracowników.
| Co | Zasada | Dlaczego |
|---|---|---|
| Poczta służbowa i prywatna | Sprawy urzędu załatwiasz tylko z poczty służbowej. Prywatnej nie używasz do poleceń służbowych. | Gdy polecenia idą z kilku adresów, trudniej rozpoznać fałszywy. |
| Logowanie dwuskładnikowe | Włączone na poczcie, w bankowości i w systemie obiegu dokumentów. | Samo hasło nie wystarczy, by przejąć konto. |
| Telefon służbowy | Blokada ekranu, aktualizacje, brak instalowania programów spoza sklepu. | Telefon kierownika zawiera całą jego pocztę i kontakty. |
| Konta urzędu w mediach społecznościowych | Dostęp ma co najmniej dwie osoby: osoba prowadząca stronę i konta jednostki w mediach społecznościowych. Hasła nie przesyłasz wiadomością. | Jedno przejęte konto może wypuścić fałszywy komunikat. |
| Asystent lub sekretarka | Dostają osobne upoważnienie do skrzynki, a nie twoje hasło. | Hasło nie pokazuje, kto co zrobił. |
| Dokumenty | Dokumentów nie zabierasz do domu i nie zostawiasz w samochodzie. Pism z danymi mieszkańców nie wklejasz do czatu AI. | Samochód i dom są mniej bezpieczne niż urząd, a czat AI przekazuje dane zewnętrznej firmie. |
- włączasz logowanie dwuskładnikowe na kontach, które dają dostęp do pieniędzy i podpisów — to najtańsza ochrona
- nadajesz asystentowi odrębne upoważnienie do skrzynki — wiadomo, kto co zrobił
- zgłaszasz zgubiony telefon od razu pod numer bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów — zdalna blokada działa tylko szybko
- nie podajesz hasła asystentowi — hasło nie zostawia śladu, kto działał
- nie otwierasz „pilnych” linków z SMS-a — to najczęstszy sposób przejęcia konta
- nie zabierasz dokumentów do domu i nie zostawiasz ich w samochodzie — tracisz kontrolę nad nimi
Podejrzewasz, że ktoś zalogował się na twoje konto? Zmień hasło z innego urządzenia i zgłoś: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
- Jakie jedno zdanie powiem skarbnikowi, żeby sprawdzał moje polecenia przelewu?
- Jakie pytanie kontrolne ustalę ze skarbnikiem i sekretarzem?