Próbka kursu — pełna treść po zamówieniu
PS-02 · Poradnik stanowiskowy · Twoja jednostka · wersja data wersjiOpracowanie: BEZPIECZNE DANE sp. z o.o.
Moduł 2 · Zagrożenia cyfrowe
Moduł 2 · ok. 30 min

Zagrożenia cyfrowe

Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz, odpowiesz lub podasz kod. Dlatego fałszywa wiadomość wygląda jak zwykła sprawa służbowa.

Większość ataków zaczyna się od wiadomości albo telefonu. Sprzęt to mniejsza część. Zobacz rysunek 4. Najwięcej możesz zrobić sam, czytając pocztę uważnie.

Najczęstsze sposoby ataku na ośrodkiDANE PRZYKŁADOWE Fałszywy e-mail46%Telefon22%SMS16%Zgubiony sprzęt10%Nośnik USB6%025%50%75%
Rysunek 4. Sposoby ataku na ośrodki pomocy. Dane przykładowe, bez znaczenia statystycznego.
Zasada

Sprawdzasz innym kanałem. Gdy ktoś prosi o dane, kod lub kliknięcie, dzwonisz na numer, który znasz. Nie na numer z wiadomości.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytaj.

Poniżej dziesięć zagrożeń. Każde ma cztery części: wygląd, sygnały, działanie i zakazy. Przy każdym znajdziesz jedno zdanie „dlaczego”.

2.1Fałszywy e-mail (phishing, czyli wyłudzanie danych)

Jak to wygląda

Dostajesz wiadomość „od kuratora” lub „z sądu”. Prosi o dane rodziny albo o kliknięcie linku. Wygląda jak zwykła sprawa służbowa. Zobacz rysunek 5.

Po czym poznasz

Sprawdź sześć miejsc z rysunku. Lista jest obok rysunku.

Co robisz
  • Nie klikasz i nie otwierasz załącznika.
  • Dzwonisz do nadawcy na numer, który znasz.
  • Zgłaszasz wiadomość osobie z karty stanowiskowej.
  • Zostawiasz wiadomość. Informatyk ją obejrzy.
Czego nie robisz
  • Nie otwierasz załącznika „dla sprawdzenia”.
  • Nie wpisujesz danych rodzin w formularzu z linku.
  • Nie odpisujesz na adres z wiadomości.
Poczta służbowaOd:Kurator zawodowy<kurator@kuratorzy-przykladowo.example>Temat:PILNE: informacje o rodzinie do końca dniaSzanowny Asystencie,Potrzebuję dziś danych o rodzinie, którą Pan prowadzi.Proszę wpisać je w formularzu pod linkiem.Otwórz formularzhttp://formularz-kurator.example/f93kZ poważaniem, kuratorLista_rodzin.zipĆWICZENIEwiadomość fikcyjna123456
Rysunek 5. Fikcyjny e-mail „od kuratora”. Numery oznaczają sygnały z listy.
  1. 1
    Obcy adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
  2. 2
    Pilny temat„PILNE” i „do końca dnia” mają wywołać pośpiech.
  3. 3
    Ogólne powitanieZnajomy zwraca się do ciebie po imieniu.
  4. 4
    Link do formularzaAdres linku nie pasuje do adresu nadawcy.
  5. 5
    Załącznik .zipSpakowany plik często ukrywa szkodliwy program.
  6. 6
    Podpis bez osobyBrak imienia, nazwiska i telefonu.
Dlaczego: Jedno kliknięcie może otworzyć drogę do danych wielu rodzin naraz.

2.2Telefon „z działu bezpieczeństwa” lub „z sądu” (vishing, czyli oszustwo przez telefon)

Jak to wygląda

Dzwoni osoba, która zna twoje nazwisko i nazwisko rodziny. Prosi o dane albo o kod z SMS-a. Mówi, że nie ma czasu. rysunek 6 pokazuje pięć kroków takiej rozmowy.

Po czym poznasz
  • Zna szczegóły, a mimo to prosi o więcej.
  • Pogania: „sędzia czeka”, „konto zablokujemy”.
  • Prosi o kod z SMS-a lub o instalację aplikacji.
  • Prosi o tajemnicę i o niekończenie rozmowy.
Co robisz
  • Kończysz rozmowę uprzejmie: „Oddzwonię”.
  • Dzwonisz na numer z akt lub z oficjalnej strony.
  • Zgłaszasz próbę, nawet jeśli nic nie podałeś.
Czego nie robisz
  • Nie podajesz PESEL-u, adresu ani kodu.
  • Nie instalujesz aplikacji do pomocy zdalnej.
  • Nie dajesz się przekonać szczegółami.
1Zbierainformacjez internetu iwcześniejszych rozmów2Dzwonize szczegółamizna nazwiskorodziny i twoje3Wywołujepośpiech„sędzia czeka”,„konto zablokowane”4Prosi o danelub kodadres, PESEL,kod z SMS-a5Znikabez śladua dane już sąu oszusta
Rysunek 6. Pięć kroków rozmowy oszusta: od zebrania informacji do zniknięcia.
Dlaczego: Szczegóły oszust zbiera wcześniej. Znajomość nazwisk nie dowodzi, kim jest rozmówca.

2.3Fałszywy SMS (smishing, czyli oszustwo przez SMS)

Jak to wygląda

SMS „od kuriera”, „z banku” lub „z urzędu” zawiera link. Chce, żebyś wpisał dane lub zapłacił drobną kwotę. Zobacz rysunek 7.

Po czym poznasz

Pięć sygnałów jest na liście obok rysunku.

Co robisz
  • Nie klikasz linku.
  • Sprawdzasz przesyłkę na znanej stronie kuriera.
  • Zgłaszasz SMS, gdy przyszedł na telefon służbowy.
Czego nie robisz
  • Nie wpisujesz adresu, hasła ani numeru karty.
  • Nie odpisujesz na SMS.
  • Nie przesyłasz go dalej w grupie.
KKurier EkspresSMS · dziś 11:42Paczka czeka w punkcie.Podaj adres i opłać2,50 zł w 12 godzin,inaczej wróci:kurier-ekspres-adres.example/t4qĆWICZENIEwiadomość fikcyjna12345
Rysunek 7. Fikcyjny SMS od „Kuriera Ekspres”. ĆWICZENIE.
  1. 1
    Nazwa zamiast numeruNadawca podszywa się pod znaną firmę.
  2. 2
    Nieoczekiwana paczkaNie zamawiałeś niczego na ten adres.
  3. 3
    Prośba o adres i opłatęPrawdziwy kurier nie pobiera opłat linkiem.
  4. 4
    Limit czasu„12 godzin” ma cię popędzić.
  5. 5
    Obcy linkAdres nie należy do firmy kurierskiej.
Dlaczego: Mały ekran ukrywa pełny adres linku. Obcą domenę łatwo przeoczyć.

2.4Prywatny telefon i komunikator

Jak to wygląda

Rodzic chce wysłać zdjęcie zaświadczenia lub głosówkę. Pyta o twój numer. Dane rodziny trafiają do prywatnego urządzenia. Zobacz rysunek 8.

Po czym poznasz

Gdzie dane wyciekają, widać na numerach z rysunku.

Co robisz
  • Używasz telefonu służbowego.
  • Prosisz o okazanie dokumentu zamiast wysyłania.
  • Zdjęcie przenosisz do systemu i usuwasz z telefonu.
  • Zgłaszasz, gdy dane trafiły na prywatny telefon.
Czego nie robisz
  • Nie podajesz prywatnego numeru.
  • Nie odsłuchujesz głosówek o rodzinie w autobusie.
  • Nie zakładasz grup z rodzicami.
kopia zdjęć w chmurze: włączonaMama dzieckaWyniki badań syna: diagnozaJaki ma Pani numerprywatny?Proszę: 600 000 000(prywatny)zaświadczenie.jpg0:48o chorobie synaNapisz wiadomość…ĆWICZENIEekran fikcyjny12345
Rysunek 8. Fikcyjny ekran telefonu. ĆWICZENIE.
  1. 1
    Prośba o prywatny numerRozmowa przenosi się do prywatnego telefonu.
  2. 2
    Zdjęcie dokumentuDokument rodziny zapisuje się w galerii.
  3. 3
    Wiadomość głosowaOpowiada o chorobie dziecka. Słyszą ją osoby obok.
  4. 4
    Powiadomienie na ekranieDiagnoza widoczna bez odblokowania telefonu.
  5. 5
    Kopia w chmurzeZdjęcia idą na serwer, którego jednostka nie kontroluje.
Dlaczego: Prywatny telefon ma kopię w chmurze. Wysłanego zdjęcia nie da się cofnąć.

2.5Hasła i kody z SMS-a

Jak to wygląda

Hasło i kod z SMS-a to klucze do akt rodzin. Oszust prosi o nie, podgląda je albo znajduje karteczkę przy komputerze.

Po czym poznasz
  • Ktoś prosi o hasło „do sprawdzenia”.
  • Hasło leży na karteczce przy monitorze.
  • To samo hasło masz prywatnie i w pracy.
  • Przychodzi kod, którego nie zamawiałeś.
Co robisz
  • Używasz długiego hasła z kilku słów.
  • Blokujesz ekran, gdy wstajesz.
  • Kod, którego nie zamawiałeś, zgłaszasz od razu.
Czego nie robisz
  • Nie podajesz hasła nikomu, także przez telefon.
  • Nie zapisujesz go na karteczce.
  • Nie używasz go w prywatnych serwisach.
Dlaczego: Kto zna hasło, wchodzi do akt jak ty. System zapisze to na twoje konto.

2.6Linki, załączniki i kody QR

Jak to wygląda

Dostajesz pismo z kodem QR do „opłaty”. Albo plik od „szkoły”. Albo link w wiadomości. Przykład: rysunek 11 w symulacji 3.

Po czym poznasz
  • Kod QR w piśmie, którego się nie spodziewałeś.
  • Po zeskanowaniu strona ma inny adres.
  • Plik ma końcówkę .zip lub .exe.
  • Strona prosi o dane lub opłatę.
Co robisz
  • Wpisujesz adres znany z urzędu zamiast skanować kod.
  • Pytasz kierownika, gdy masz wątpliwość.
  • Zgłaszasz podejrzane pismo.
Czego nie robisz
  • Nie skanujesz kodów z niespodziewanych pism.
  • Nie otwierasz niespodziewanych plików.
  • Nie włączasz makr w dokumencie od obcych.
Dlaczego: Kod QR ukrywa adres strony. Widzisz go dopiero po wejściu.

2.7Zdjęcia i media społecznościowe

Jak to wygląda

Robisz zdjęcie z wydarzenia dla dzieci. Chcesz je pokazać znajomym lub wrzucić na swój profil. Dzieci są na nim rozpoznawalne.

Po czym poznasz
  • Zdjęcia dzieci leżą na prywatnym telefonie.
  • Ktoś prosi o „relację z wydarzenia”.
  • Zdjęcie ma opis z imieniem i miejscem.
  • Wolontariusz fotografuje swoim telefonem.
Co robisz
  • Zdjęcia robisz służbowym sprzętem.
  • Publikujesz tylko po zgodzie i decyzji kierownika.
  • Wyłączasz lokalizację w aparacie.
Czego nie robisz
  • Nie publikujesz zdjęć dzieci na prywatnych profilach.
  • Nie opisujesz rodzin tak, by dało się je rozpoznać.
  • Nie pozwalasz robić zdjęć prywatnym telefonem.
Dlaczego: Opublikowanego zdjęcia nie da się odwołać. Dziecko ma je przed sobą przez lata.

2.8Nośniki USB, obce urządzenia i Wi-Fi

Jak to wygląda

Rodzic daje pendrive z dokumentami. Szkoła prosi o podłączenie do komputera. W kawiarni wybierasz darmową sieć.

Po czym poznasz
  • Pendrive od osoby, której nie znasz.
  • Darmowa sieć bez hasła.
  • Prośba o podłączenie obcego sprzętu do komputera służbowego.
Co robisz
  • Nośnik od rodziny oddajesz informatykowi.
  • Dokumenty bierzesz w inny sposób: papier lub e-mail.
  • Łączysz się z siecią jednostki lub z hotspotem służbowym.
Czego nie robisz
  • Nie wkładasz obcego nośnika do komputera.
  • Nie logujesz się do poczty w otwartej sieci.
  • Nie ładujesz telefonu przy obcych urządzeniach.
Dlaczego: Szkodliwy program może uruchomić się sam po włożeniu nośnika.

2.9Zgubiony lub skradziony sprzęt i chmura

Jak to wygląda

Telefon zostaje w autobusie. Laptop leży w aucie. Notes zostaje w kawiarni. Czasem zdjęcia służbowe same idą do prywatnej chmury.

Po czym poznasz
  • Brakuje telefonu, torby lub teczki.
  • Auto jest otwarte.
  • Telefon pokazuje nowe logowania.
  • Zdjęcia służbowe są w prywatnej chmurze.
Co robisz
  • Zgłaszasz od razu, nawet w nocy.
  • Mówisz, co było w środku.
  • Masz blokadę ekranu i zamykasz teczkę w bagażniku.
Czego nie robisz
  • Nie czekasz, „aż się znajdzie”.
  • Nie zostawiasz sprzętu w aucie.
  • Nie dajesz telefonu służbowego dziecku do zabawy.
Dlaczego: Każda godzina zwłoki daje więcej czasu temu, kto znalazł sprzęt. Szybka blokada zwykle wystarcza.

2.10Podszywanie się pod znaną osobę

Jak to wygląda

Wiadomość „od kierownika” z prywatnego adresu: „Przekaż listę rodzin”. Firma pisze o zmianie konta. Rodzic dzwoni z nowego numeru.

Po czym poznasz
  • Nowy adres lub nowy numer.
  • Prośba omija zwykłą drogę służbową.
  • Prośba o dyskrecję.
  • Nagła zmiana numeru konta.
Co robisz
  • Potwierdzasz telefonem na znany numer.
  • Trzymasz się zwykłego obiegu dokumentów.
  • Zgłaszasz próbę podszycia.
Czego nie robisz
  • Nie robisz czegoś tylko dlatego, że „pisze kierownik”.
  • Nie zmieniasz konta na podstawie e-maila.
  • Nie podajesz danych osobie z nowego numeru, zanim ją sprawdzisz.
Dlaczego: Oszust liczy, że nie zapytasz. Jedno krótkie pytanie przerywa atak.

15 fiszek do powtórki

Zasłoń prawą część i sprawdź, czy pamiętasz znaczenie hasła.

PhishingFałszywy e-mail, który wyłudza dane lub każe kliknąć link.
SmishingTo samo, tylko przez SMS.
VishingTo samo, tylko przez telefon.
Drugi zamekKod z SMS-a. Nikomu go nie podajesz.
IncydentKażda sytuacja, w której dane mogły trafić w niepowołane ręce.
Dane szczególneZdrowie, uzależnienia, przemoc. Chronisz je najmocniej.
Wgląd zamiast kopiiRodzic pokazuje dokument. Ty zapisujesz: „okazano”.
Kanał z proceduryDane wysyłasz tylko tą drogą, którą wskazuje jednostka.
Kod QRUkryty adres. Nie skanuj z niespodziewanych pism.
Pendrive od obcychNie wkładasz do komputera. Oddajesz informatykowi.
Blokada ekranuWstajesz od komputera, blokujesz ekran.
Rejestr sprawcówSprawdzasz osobę, zanim zetknie się z dziećmi.
Zgłaszam od razuSzybkie zgłoszenie to dobry odruch, nie wstyd.
Prywatny komunikatorNie służy do spraw rodzin. Użyj telefonu służbowego.
ChmuraKopia zdjęć na cudzym serwerze. Sprawdź, czy jest włączona.
Moje notatki z tematu