PS-01 · Poradnik stanowiskowy · Twoja jednostkaOpracowanie: BEZPIECZNE DANE sp. z o.o.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ok. 30 min
Zagrożenia cyfrowe w mojej pracy
To najważniejszy moduł. Większość szkód zaczyna się od jednej wiadomości albo jednego telefonu. Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz albo podasz dane.
Każdy podrozdział ma cztery części. Jak to wygląda, po czym poznasz, co robisz i czego nie robisz.
2.1Kto atakuje ośrodek i po co
Ośrodek pomocy społecznej ma dane, które są cenne dla przestępców. Są to dane o zdrowiu, dochodach, kontach i adresach. Masz też dostęp do systemów, w których te dane są.
Po co atakują
Chcą pieniędzy: wyłudzają przelew albo okup za odblokowanie danych.
Chcą danych: sprzedają je albo szantażują nimi ludzi.
Chcą dostępu: twoje hasło otwiera system z danymi tysięcy osób.
Chcą znaleźć człowieka: sprawca przemocy szuka adresu ofiary.
Rysunek 3. Sposoby ataku – dane przykładowe, pokazują proporcje, nie są statystyką.
Dlaczego to ważne: Gdy znasz cel oszusta, łatwiej rozpoznasz jego sztuczki.
2.2Fałszywe wiadomości e-mail (phishing)
Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane albo pieniądze. Często wygląda jak zwykła sprawa służbowa.
Jak to wygląda. Wiadomość udaje kadry, bank, kuriera, sąd albo urząd. W terenie czytasz pocztę na telefonie, między wizytami. Wtedy najłatwiej się pomylić.
Zobacz rysunek 4. Numery na rysunku to numery sygnałów na liście.
Rysunek 4. Fałszywy e-mail (ćwiczenie) – pięć sygnałów widać na pierwszy rzut oka.
Po czym poznasz: 7 sygnałów
1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „dziś”, „zostanie wstrzymane”. Presja ma wyłączyć myślenie.
3
Ogólne powitanieKtoś, kto cię zna, pisze po imieniu.
4
Link prowadzi gdzie indziejAdres strony nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip, .exe albo „faktura”, na którą nie czekasz.
6
Prośba o hasło lub kodNikt z twojej jednostki nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, dziwna godzina, inny styl niż zwykle.
Co robisz
Sprawdzasz adres nadawcy, nie tylko nazwę.
Przytrzymujesz palec na linku i czytasz adres strony.
Przy prośbie o dane lub pieniądze dzwonisz do nadawcy na znany numer.
Podejrzaną wiadomość zgłaszasz zgodnie z zasadami jednostki.
Czego nie robisz
Nie klikasz linków z nieoczekiwanych wiadomości.
Nie otwierasz plików .zip, .exe i „faktur”, na które nie czekasz.
Nie odpisujesz z pytaniem, czy wiadomość jest prawdziwa.
Dlaczego: Jedno kliknięcie może otworzyć oszustowi pocztę z danymi wielu rodzin.
2.3Fałszywe telefony i SMS-y
Vishing (czytaj: wiszing) to oszustwo przez telefon. Smishing to oszustwo przez SMS. Oszust podaje się za bank, policję, sąd, kuriera albo dyrektora.
Jak to wygląda. Rozmówca zna twoje nazwisko i nazwisko rodziny. Mówi pewnie i fachowo. Wywiera presję: „sędzia czeka”, „konto zostanie zablokowane”.
Po czym poznasz
Prosi o dane klienta, PESEL, adres albo kod z SMS-a.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie. Ale numer da się podrobić.
Co robisz
Mówisz: „Oddzwonię”. Kończysz rozmowę.
Numer instytucji bierzesz z akt, z oficjalnej strony albo od przełożonego.
Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.
Czego nie robisz
Nie podajesz danych osobie, której nie sprawdziłeś.
Nie oddzwaniasz na numer podany przez rozmówcę.
Nie klikasz linków w SMS-ach o dopłatach i blokadach.
Dlaczego: Podany przez telefon adres może zaprowadzić sprawcę do ofiary.
Zobacz rysunek 5. Tak sprawdzasz każdą prośbę o dane przez telefon.
Rysunek 5. Sprawdzanie drugim kanałem – cztery kroki, gdy ktoś przez telefon prosi o dane.
Zasada
Sprawdzasz innym kanałem. Gdy ktoś prosi o dane, hasło albo pieniądze, dzwonisz na numer, który znasz. Nie na numer z wiadomości. Tak sprawdzisz, kto naprawdę pyta.
2.4Podszywanie się pod przełożonego i kontrahenta
Oszust pisze jako twój kierownik, dyrektor albo stały dostawca. Prosi o coś pilnego i nietypowego. Na przykład o listę wypłat, dane rodzin albo zmianę numeru konta.
Jak to wygląda. Wiadomość przychodzi z prywatnego adresu albo z adresu bardzo podobnego do służbowego. Prośba jest pilna i „poufna”.
Po czym poznasz
Nietypowa prośba poza zwykłą drogą.
Adres różni się jedną literą albo domeną.
„Jestem na spotkaniu, nie dzwoń, zrób to teraz”.
Co robisz
Potwierdzasz prośbę telefonicznie, na znany ci numer.
Zmiany numeru konta zgłaszasz osobie, która za to odpowiada.
Czego nie robisz
Nie wysyłasz danych rodzin na prywatne adresy, nawet przełożonego.
Dlaczego: Jeden fałszywy przelew to pieniądze, których rodziny nie dostaną.
2.5Hasła i logowanie dwuetapowe
Hasło to klucz do danych wszystkich rodzin w systemie. Logowanie dwuetapowe to drugi zamek: kod z SMS-a lub z aplikacji.
Co robisz
Tworzysz hasło z trzech, czterech przypadkowych słów, np. „kubek-zegar-las-niebo”.
Do każdego systemu masz inne hasło.
Zmieniasz hasło od razu, gdy ktoś mógł je poznać.
Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz.
Czego nie robisz
Nie podajesz hasła ani kodu nikomu. Także informatykowi i przełożonemu.
Nie zapisujesz hasła na kartce przy laptopie ani na tablecie.
Nie używasz hasła służbowego w prywatnych serwisach.
Dlaczego: Kto zna twoje hasło, działa w systemie jako ty.
Zapamiętaj
Hasła i kodu z SMS-a nie podajesz nikomu. Nikt uczciwy o nie nie prosi.
2.6Załączniki, linki, kody QR i pendrive’y
Każdy z nich może przenieść złośliwy program. Kod QR to ukryty link. Nie widzisz, dokąd prowadzi.
Po czym poznasz
Załącznik, na który nie czekasz, zwłaszcza .zip, .exe, .js.
Kod QR naklejony na pismo, plakat albo parkometr.
Pendrive „znaleziony” na parkingu albo podarowany na spotkaniu.
Co robisz
Adres strony urzędu lub banku wpisujesz sam.
Obcy pendrive oddajesz osobie z pomocy IT.
Czego nie robisz
Nie skanujesz kodów QR z przypadkowych kartek.
Nie podłączasz obcych pendrive’ów do sprzętu służbowego.
Dlaczego: Złośliwy program z pendrive’a może zablokować system całego ośrodka.
2.7Blokada danych dla okupu (ransomware)
Ransomware (czytaj: rensomłer) to program, który szyfruje pliki. Potem przestępca żąda okupu za ich odblokowanie. Zobacz rysunek 6.
Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki mają dziwne nazwy i nie dają się otworzyć.
Odłączasz sprzęt od internetu: wyłączasz Wi-Fi albo wyjmujesz kabel.
Nie wyłączasz komputera, chyba że każe tak pomoc IT.
Od razu dzwonisz pod numer z karty stanowiskowej.
Czego nie robisz
Nie płacisz i nie piszesz do przestępców.
Nie próbujesz sam „naprawić” komputera.
Dlaczego: Szybkie odcięcie sieci chroni dane innych pracowników i rodzin.
2.8Telefon służbowy, komunikatory i zdjęcia
Telefon służbowy masz przy sobie cały dzień. Jest w nim poczta, kontakty i zdjęcia. Zgubiony lub źle używany zdradza dane wielu rodzin.
Co robisz
Masz włączoną blokadę ekranu z kodem.
Zdjęcia dokumentów robisz tylko telefonem służbowym i tylko, gdy to konieczne.
Zdjęcia przenosisz do systemu i usuwasz z telefonu najpóźniej następnego dnia roboczego.
Czego nie robisz
Nie wysyłasz danych klientów prywatnymi komunikatorami.
Nie podajesz rodzinom prywatnego numeru.
Nie zostawiasz w SMS-ach i na poczcie głosowej opisu sprawy.
Dlaczego: Zdjęcie w prywatnym telefonie wymyka się spod kontroli ośrodka.
2.9Sztuczna inteligencja i podrobiony głos
Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Ale wszystko, co do nich wkleisz, trafia do zewnętrznej firmy. Przestępcy używają też AI do podrabiania głosu i obrazu.
Po czym poznasz
Ktoś dzwoni głosem przełożonego, ale prośba jest nietypowa.
Nagranie wideo „z urzędu” pogania i prosi o dane.
Co robisz
Do publicznych czatów AI wklejasz tylko tekst bez danych ludzi.
Korzystasz tylko z narzędzi AI zatwierdzonych przez jednostkę.
Nietypową prośbę „szefa” sprawdzasz, dzwoniąc na znany numer.
Czego nie robisz
Nie wklejasz do czatów AI wywiadów, notatek, decyzji ani nazwisk.
Usunięcie nazwiska nie wystarcza. Szczegóły też wskazują rodzinę.
Dlaczego: Raz wklejonego tekstu nie da się już wycofać z cudzego serwera.
Zasada
Dane ludzi nie trafiają do czatu AI. Do publicznych czatów AI nie wklejasz niczego, co dotyczy klientów. Raz wysłanego tekstu nie da się już cofnąć.
2.10Praca poza biurem: Wi-Fi, ekran, laptop w drodze
W terenie pracujesz w miejscach, których nie kontrolujesz. Autobus, kawiarnia i klatka schodowa to miejsca publiczne.
Co robisz
Korzystasz z internetu w telefonie lub tablecie służbowym.
Ekran trzymasz tak, by nikt obcy go nie widział.
Blokujesz tablet, gdy odkładasz go choćby na chwilę.
Czego nie robisz
Nie łączysz sprzętu służbowego z publicznym Wi-Fi.
Nie czytasz dokumentów klientów w komunikacji miejskiej.
Nie zostawiasz laptopa ani tabletu w samochodzie.
Dlaczego: W publicznym miejscu każdy może zobaczyć ekran albo podsłuchać połączenie.
15 fiszek do powtórki
Zakryj prawą stronę i powiedz, co znaczy hasło. Na platformie te same fiszki odwracasz kliknięciem.
PhishingFałszywy e-mail, który ma wyłudzić hasło, dane lub pieniądze.
SmishingTo samo, ale przez SMS. Często „dopłata do przesyłki”.
VishingOszustwo przez telefon. Rozmówca udaje bank, sąd, policję.
RansomwareProgram, który blokuje pliki i żąda okupu.
Drugi kanałSprawdzasz prośbę telefonem na znany numer, nie odpowiedzią.
Kod z SMS-aWpisujesz go tylko sam. Nie podajesz nikomu.
Kod QRUkryty link. Nie skanuj z przypadkowych kartek.
PendriveObcy nośnik oddajesz IT. Nie podłączasz go.
Publiczne Wi-FiNie łączysz z nim sprzętu służbowego.
Czat AINie wklejasz do niego danych ludzi.
Presja czasuNajczęstszy sygnał oszustwa. Zwolnij.
Prywatny komunikatorNie jest miejscem na dane klientów.
Blokada ekranuWłączona zawsze, gdy odkładasz sprzęt.
IncydentSytuacja, w której dane mogły trafić w złe ręce.
ZgłoszenieOd razu, do osoby z karty stanowiskowej. Bez winy.
Zapamiętaj
Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytaj.
Moje notatki z tematu · moduł 2
Jaką podejrzaną wiadomość lub telefon dostałem ostatnio?
Na jaki znany numer oddzwonię, gdy ktoś poprosi o dane?
Krok 2 · Zrozum
Jak rozpoznać oszustwo w mailu, telefonie, SMS-ie i na ekranie
Większość szkód zaczyna się od jednej wiadomości albo jednego telefonu. Tutaj zobaczysz jak sprawdzić, czy prośba jest prawdziwa, i dlaczego akurat tak. Odpowiedzi na pytania quizu i testu o phishing, telefon, hasła, okup i czat AI są poniżej.
AFałszywy mail: po czym poznasz i jak sprawdzisz link
Najczęstszy sygnał oszusta to pośpiech i presja czasu. Presja ma wyłączyć ostrożność, więc im bardziej wiadomość Cię pogania, tym wolniej ją czytasz.
Sygnał
Jak wygląda
Dlaczego to ważne
Adres nadawcy w obcej domenie
Nazwa się zgadza, ale adres po znaku „małpa” należy do kogo innego
Nazwę da się wpisać dowolną, adres trudniej
Presja czasu
„PILNE”, „dziś do 15:00”, „zostanie wstrzymane”
Pośpiech zastępuje sprawdzenie
Prośba o hasło lub kod
Nikt z Twojej jednostki nie prosi o hasło mailem
Hasło otwiera system z danymi wielu rodzin
Prośba o zalogowanie przez link do logowania
Adres strony nie pasuje do nadawcy
Fałszywa strona kradnie hasło
Niespodziewany załącznik
Plik .zip, .exe lub „faktura”, na którą nie czekasz
Złośliwy program ukrywa się w załączniku
Jak sprawdzić, dokąd naprawdę prowadzi link w mailu na telefonie
Przytrzymaj palec na linku — telefon pokaże adres strony bez jej otwierania.
Przeczytaj adres — jeśli nie pasuje do nadawcy, nie otwieraj; pasujący fragment na początku nie wystarcza.
Gdy nie wiesz, zgłoś wiadomość do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów — nie odpisuj, bo odpowiedź potwierdza, że adres działa.
BTelefon, SMS i głos szefa — sprawdzasz drugim kanałem
Gdy dzwoni „policja” albo „sąd” i prosi o adres klientki, mówisz: „oddzwonię”, kończysz rozmowę i dzwonisz na numer z oficjalnej strony. Sprawdzasz innym kanałem, na numer, który sam znalazłeś. Numer bierzesz z akt sprawy lub z oficjalnej strony sądu. Numer podany przez rozmówcę albo widoczny na ekranie może być fałszywy.
Robisz
kończysz rozmowę i oddzwaniasz na znany numer — tylko wtedy wiesz, kto naprawdę pyta
prośbę kierownika z prywatnego adresu o listę wypłat sprawdzasz: dzwonisz do kierownika na znany numer — nietypowa prośba poza zwykłą drogą to sygnał oszustwa
zmianę konta dostawcy potwierdzasz telefonicznie na znany numer — przelew na fałszywe konto jest nie do cofnięcia
Nie robisz
nie oddzwaniasz na numer podany przez rozmówcę — oszust odbierze własny telefon
nie uznajesz głosu za dowód — głos można podrobić za pomocą AI, więc „identyczny” głos dyrektora niczego nie dowodzi; dzwonisz do dyrektora na znany numer
nie podajesz kodu z SMS-a nikomu — kod z SMS-a wpisujesz tylko sam, gdy sam się logujesz
Gdy dostajesz kod logowania, choć się nie logowałeś, a ktoś dzwoni i prosi o ten kod, kończysz rozmowę, nie podajesz kodu i zgłaszasz: ktoś próbuje wejść na Twoje konto. Kodu z SMS-a nie podajesz nikomu, także informatykowi — prawdziwy informatyk o niego nie prosi. Smishing to oszustwo przez SMS, np. „dopłata do przesyłki”; mechanizm jest ten sam co w phishingu.
CHasło, którego nie zgadnie program
Najlepsze jest hasło z kilku przypadkowych słów, np. kubek-zegar-las-niebo. Kilka przypadkowych słów jest długie i łatwe do zapamiętania, a program zgaduje je znacznie dłużej niż krótkie hasło z cyfrą. Do każdego systemu masz inne hasło, bo wyciek z jednego serwisu nie może otworzyć drugiego. Hasła ani kodu nie podajesz nikomu — kto zna Twoje hasło, działa w systemie jako Ty. Gdy informatyk dzwoni i prosi o hasło „żeby naprawić konto”, nie podajesz hasła i zgłaszasz rozmowę: prawdziwy informatyk o nie nie prosi.
Zapamiętaj
Hasła ani kodu nie podajesz nikomu. Dlaczego: kto zna Twoje hasło, działa w systemie jako Ty, a nikt uczciwy o nie nie prosi.
DKod QR i obcy pendrive
Robisz
pamiętasz, że kod QR to ukryty link — nie widzisz, dokąd prowadzi, dopóki go nie otworzysz
obcy pendrive oddajesz osobie z pomocy IT (informatyk lub pomoc techniczna jednostki) — tylko ona sprawdzi go w bezpiecznym miejscu
Nie robisz
nie skanujesz kodów z przypadkowych kartek i naklejek — oszuści naklejają własne kody na prawdziwe pisma
nie podłączasz obcego pendrive’a do sprzętu służbowego — złośliwy program może zablokować system całego ośrodka
EŻądanie okupu na ekranie
Gdy ekran pokazuje licznik i żądanie zapłaty, odłączasz internet (wyłączasz Wi-Fi albo wyjmujesz kabel), nie wyłączasz laptopa i dzwonisz z karty stanowiskowej. Wyłączenie może zatrzeć ślady, których szuka informatyk, a odcięcie sieci zatrzymuje atak i chroni dane innych pracowników. Nie płacisz i nie piszesz do przestępców.
Zasada
Odłączasz internet, ale nie wyłączasz sprzętu. Dlaczego: odcięcie sieci zatrzymuje atak, a włączony sprzęt zachowuje ślady dla informatyka.
FCzat AI — czego nie wklejasz
Do publicznego czatu AI nie wklejasz notatek z wywiadu, projektów decyzji ani opisów ludzi. Usunięcie nazwiska nie wystarcza — szczegóły też wskazują rodzinę: wiek dziecka, szkoła, kwota zasiłku. Nie wklejasz notatki z wywiadu bez nazwiska, projektu decyzji o zasiłku ani opisu sytuacji dziecka z wiekiem i szkołą. Ogólne pytanie bez danych ludzi jest w porządku. Dlaczego: raz wklejonego tekstu nie da się wycofać z cudzego serwera.
Zasada
Danych ludzi nie wklejasz do czatu AI. Dlaczego: do zewnętrznej firmy trafia także to, czego nie chciałeś ujawnić, a odzyskać tego się nie da.
GPraca poza biurem
Nie łączysz sprzętu służbowego z publicznym Wi-Fi, nawet jeśli „tylko nie otwierasz poczty”. W kawiarni ktoś może podglądać połączenie, a tablet łączy się też w tle. Korzystasz z internetu w telefonie służbowym i trzymasz ekran tak, by nikt go nie widział.
Zasada
W miejscu publicznym sprzęt służbowy zostaje poza publicznym Wi-Fi. Dlaczego: w autobusie, kawiarni i na klatce każdy może zobaczyć ekran albo podsłuchać połączenie.
Krok 3 · Ćwicz
Sprawdź, czy już wiesz
Ćwiczenie 1. SMS: „Dziś do 20:00 potwierdź login, inaczej konto zostanie zablokowane”. Który sygnał jest najmocniejszy?
Presja czasu połączona z prośbą o login.
Fakt, że SMS przyszedł wieczorem.
Fakt, że SMS jest krótki.
Ćwiczenie 2. Fałszywa prośba czy zwykła sprawa?Przy każdej informacji wybierz jedną odpowiedź.
Rozmówca pogania i prosi, byś nikomu o rozmowie nie mówił
Przełożony prosi z adresu służbowego o raport, o który zwykle prosi
Informatyk dzwoni i prosi o hasło
Kod QR naklejony na pismo za wycieraczką
Ćwiczenie 3. Na ekranie pojawia się żądanie okupu. Ułóż kroki.Klikaj kolejno.
Dzwonisz z karty stanowiskowej
Odłączasz internet
Nie płacisz i nie piszesz do przestępców
Nie wyłączasz laptopa
Ćwiczenie 4. Opis dnia. Kliknij błędy.
Sprawdziłem adres linku przytrzymaniem palca.Kod z SMS-a podałem informatykowi, bo mówił fachowo.Notatkę z wywiadu bez nazwiska wkleiłem do czatu AI.Zmianę numeru konta dostawcy potwierdziłem telefonicznie na znany numer.
Ćwiczenie 5. Zaznacz, co robisz od dziś.
Przy prośbie o dane oddzwaniam na numer z akt lub oficjalnej strony.
Nie podaję kodu z SMS-a nikomu.
Do czatu AI nie wklejam niczego, co dotyczy ludzi.
