Moduł 2 · Zagrożenia cyfrowe

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe

Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz, odpowiesz lub podasz kod. Dlatego fałszywa wiadomość wygląda jak zwykła sprawa służbowa.

Większość ataków zaczyna się od wiadomości albo telefonu. Sprzęt to mniejsza część. Zobacz rysunek 4. Najwięcej możesz zrobić sam, czytając pocztę uważnie.

Rysunek 4. Sposoby ataku na ośrodki pomocy. Dane przykładowe, bez znaczenia statystycznego.

Zasada

Sprawdzasz innym kanałem. Gdy ktoś prosi o dane, kod lub kliknięcie, dzwonisz na numer, który znasz. Nie na numer z wiadomości.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytaj.

Poniżej dziesięć zagrożeń. Każde ma cztery części: wygląd, sygnały, działanie i zakazy. Przy każdym znajdziesz jedno zdanie „dlaczego”.

2.1Fałszywy e-mail (phishing, czyli wyłudzanie danych)

Jak to wygląda

Dostajesz wiadomość „od rodziny zawodowej” lub „z sądu”. Prosi o zmianę konta albo o kliknięcie linku. Wygląda jak zwykła sprawa służbowa. Zobacz rysunek 5.

Po czym poznasz

Sprawdź sześć miejsc z rysunku. Lista jest obok rysunku.

Co robisz

Nie klikasz i nie otwierasz załącznika.
Dzwonisz do nadawcy na numer, który znasz.
Zgłaszasz wiadomość osobie z karty stanowiskowej.
Zostawiasz wiadomość. Informatyk ją obejrzy.

Czego nie robisz

Nie otwierasz załącznika „dla sprawdzenia”.
Nie wpisujesz numeru konta w formularzu z linku.
Nie odpisujesz na adres z wiadomości.

Rysunek 5. Fikcyjny e-mail „od rodziny zawodowej”. Numery oznaczają sygnały z listy.

1
Obcy adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pilny temat„PILNE” ma wywołać pośpiech.
3
Ogólne powitanieZnajomy zwraca się do ciebie po imieniu.
4
Link do formularzaAdres linku nie pasuje do adresu nadawcy.
5
Załącznik .zipSpakowany plik często ukrywa szkodliwy program.
6
Podpis bez osobyBrak imienia, nazwiska i telefonu.

Dlaczego: Jedno kliknięcie może otworzyć drogę do danych wielu dzieci naraz.

2.2Telefon „z działu bezpieczeństwa” lub „z sądu” (vishing, czyli oszustwo przez telefon)

Jak to wygląda

Dzwoni osoba, która zna twoje nazwisko i imię dziecka. Prosi o dane albo o kod z SMS-a. Mówi, że nie ma czasu. rysunek 6 pokazuje pięć kroków takiej rozmowy.

Po czym poznasz

Zna szczegóły, a mimo to prosi o więcej.
Pogania: „sędzia czeka”, „konto zablokujemy”.
Prosi o kod z SMS-a lub o instalację aplikacji.
Prosi o tajemnicę i o niekończenie rozmowy.

Co robisz

Kończysz rozmowę uprzejmie: „Oddzwonię”.
Dzwonisz na numer z akt lub z oficjalnej strony.
Zgłaszasz próbę, nawet jeśli nic nie podałeś.

Czego nie robisz

Nie podajesz PESEL-u, adresu ani kodu.
Nie instalujesz aplikacji do pomocy zdalnej.
Nie dajesz się przekonać szczegółami.

Rysunek 6. Pięć kroków rozmowy oszusta: od zebrania informacji do zniknięcia.

Dlaczego: Szczegóły oszust zbiera wcześniej. Znajomość nazwisk nie dowodzi, kim jest rozmówca.

2.3Fałszywy SMS (smishing, czyli oszustwo przez SMS)

Jak to wygląda

SMS „od kuriera”, „z banku” lub „z urzędu” zawiera link. Chce, żebyś wpisał dane lub zapłacił drobną kwotę. Zobacz rysunek 7.

Po czym poznasz

Pięć sygnałów jest na liście obok rysunku.

Co robisz

Nie klikasz linku.
Sprawdzasz przesyłkę na znanej stronie kuriera.
Zgłaszasz SMS, gdy przyszedł na telefon służbowy.

Czego nie robisz

Nie wpisujesz adresu, hasła ani numeru karty.
Nie odpisujesz na SMS.
Nie przesyłasz go dalej w grupie.

Rysunek 7. Fikcyjny SMS od „Kuriera Ekspres”. ĆWICZENIE.

1
Nazwa zamiast numeruNadawca podszywa się pod znaną firmę.
2
Nieoczekiwana paczkaNie zamawiałeś niczego na ten adres.
3
Prośba o adres i opłatęPrawdziwy kurier nie pobiera opłat linkiem.
4
Limit czasu„12 godzin” ma cię popędzić.
5
Obcy linkAdres nie należy do firmy kurierskiej.

Dlaczego: Mały ekran ukrywa pełny adres linku. Obcą domenę łatwo przeoczyć.

2.4Prywatny telefon i komunikator

Jak to wygląda

Rodzina zastępcza chce wysłać zdjęcie zaświadczenia lub głosówkę. Pyta o twój numer. Dane dziecka trafiają do prywatnego urządzenia. Zobacz rysunek 8.

Po czym poznasz

Gdzie dane wyciekają, widać na numerach z rysunku.

Co robisz

Używasz telefonu służbowego.
Prosisz o dostarczenie dokumentu kanałem służbowym.
Zdjęcie przenosisz do systemu i usuwasz z telefonu.
Zgłaszasz, gdy dane trafiły na prywatny telefon.

Czego nie robisz

Nie podajesz prywatnego numeru.
Nie odsłuchujesz głosówek o dziecku w autobusie.
Nie zakładasz grup z rodzinami zastępczymi.

Rysunek 8. Fikcyjny ekran telefonu. ĆWICZENIE.

1
Prośba o prywatny numerRozmowa przenosi się do prywatnego telefonu.
2
Zdjęcie dokumentuDokument rodziny zapisuje się w galerii.
3
Wiadomość głosowaOpowiada o chorobie dziecka. Słyszą ją osoby obok.
4
Powiadomienie na ekranieDiagnoza widoczna bez odblokowania telefonu.
5
Kopia w chmurzeZdjęcia idą na serwer, którego jednostka nie kontroluje.

Dlaczego: Prywatny telefon ma kopię w chmurze. Wysłanego zdjęcia nie da się cofnąć.

2.5Hasła i kody z SMS-a

Jak to wygląda

Hasło i kod z SMS-a to klucze do akt dzieci i do rejestru centralnego. Oszust prosi o nie, podgląda je albo znajduje karteczkę przy komputerze.

Po czym poznasz

Ktoś prosi o hasło „do sprawdzenia”.
Hasło leży na karteczce przy monitorze.
To samo hasło masz prywatnie i w pracy.
Przychodzi kod, którego nie zamawiałeś.

Co robisz

Używasz długiego hasła z kilku słów.
Blokujesz ekran, gdy wstajesz.
Kod, którego nie zamawiałeś, zgłaszasz od razu.

Czego nie robisz

Nie podajesz hasła nikomu, także przez telefon.
Nie zapisujesz go na karteczce.
Nie używasz go w prywatnych serwisach.

Dlaczego: Kto zna hasło, wchodzi do akt jak ty. System zapisze to na twoje konto.

2.6Linki, załączniki i kody QR

Jak to wygląda

Dostajesz pismo z kodem QR do „opłaty”. Albo plik od „sądu”. Albo link w wiadomości. Przykład: rysunek 11 w symulacji 3.

Po czym poznasz

Kod QR w piśmie, którego się nie spodziewałeś.
Po zeskanowaniu strona ma inny adres.
Plik ma końcówkę .zip lub .exe.
Strona prosi o dane lub opłatę.

Co robisz

Wpisujesz adres znany z urzędu zamiast skanować kod.
Pytasz kierownika, gdy masz wątpliwość.
Zgłaszasz podejrzane pismo.

Czego nie robisz

Nie skanujesz kodów z niespodziewanych pism.
Nie otwierasz niespodziewanych plików.
Nie włączasz makr w dokumencie od obcych.

Dlaczego: Kod QR ukrywa adres strony. Widzisz go dopiero po wejściu.

2.7Czat AI i media społecznościowe

Jak to wygląda

Chcesz skrócić notatkę o kandydatach i wklejasz ją do publicznego czatu AI. Albo wrzucasz zdjęcie z wydarzenia na swój profil.

Po czym poznasz

Notatka z adresem, dochodem i chorobą w oknie czatu.
Zdjęcie dziecka na prywatnym profilu.
Opis ze zdjęcia zawiera imię i miejsce.
Narzędzie nie jest zatwierdzone przez jednostkę.

Co robisz

Używasz tylko narzędzi zatwierdzonych przez jednostkę.
Skracasz notatkę samodzielnie.
Zdjęcia publikujesz po zgodzie i decyzji kierownika.

Czego nie robisz

Nie wklejasz danych dzieci ani kandydatów do publicznego czatu.
Nie uznajesz tekstu za bezpieczny po usunięciu nazwiska.
Nie publikujesz zdjęć dzieci na prywatnych profilach.

Dlaczego: Wklejony tekst opuszcza ośrodek i nie wraca. Kilka szczegółów razem wskazuje konkretną rodzinę.

2.8Nośniki USB, obce urządzenia i Wi-Fi

Jak to wygląda

Rodzina zastępcza daje pendrive z dokumentami. Ktoś prosi o podłączenie obcego sprzętu do komputera. W kawiarni wybierasz darmową sieć.

Po czym poznasz

Pendrive od osoby, której nie znasz.
Darmowa sieć bez hasła.
Prośba o podłączenie obcego sprzętu do komputera służbowego.

Co robisz

Nośnik od rodziny oddajesz informatykowi.
Dokumenty bierzesz w inny sposób: papier lub e-mail.
Łączysz się z siecią jednostki lub z hotspotem służbowym.

Czego nie robisz

Nie wkładasz obcego nośnika do komputera.
Nie logujesz się do poczty w otwartej sieci.
Nie ładujesz telefonu przy obcych urządzeniach.

Dlaczego: Szkodliwy program może uruchomić się sam po włożeniu nośnika.

2.9Zgubiony lub skradziony sprzęt i chmura

Jak to wygląda

Telefon zostaje w autobusie. Laptop leży w aucie. Notes zostaje w kawiarni. Czasem zdjęcia służbowe same idą do prywatnej chmury.

Po czym poznasz

Brakuje telefonu, torby lub teczki.
Auto jest otwarte.
Telefon pokazuje nowe logowania.
Zdjęcia służbowe są w prywatnej chmurze.

Co robisz

Zgłaszasz od razu, nawet w nocy.
Mówisz, co było w środku.
Masz blokadę ekranu i zamykasz teczkę w bagażniku.

Czego nie robisz

Nie czekasz, „aż się znajdzie”.
Nie zostawiasz sprzętu w aucie.
Nie dajesz telefonu służbowego dziecku do zabawy.

Dlaczego: Każda godzina zwłoki daje więcej czasu temu, kto znalazł sprzęt. Szybka blokada zwykle wystarcza.

2.10Podszywanie się pod znaną osobę

Jak to wygląda

Wiadomość „od kierownika” z prywatnego adresu: „Przekaż listę dzieci z rodzin zawodowych”. Rodzina zastępcza pisze o zmianie konta. Ktoś „z sądu” dzwoni z nowego numeru.

Po czym poznasz

Nowy adres lub nowy numer.
Prośba omija zwykłą drogę służbową.
Prośba o dyskrecję.
Nagła zmiana numeru konta.

Co robisz

Potwierdzasz telefonem na znany numer.
Trzymasz się zwykłego obiegu dokumentów.
Zgłaszasz próbę podszycia.

Czego nie robisz

Nie robisz czegoś tylko dlatego, że „pisze kierownik”.
Nie zmieniasz konta na podstawie e-maila.
Nie podajesz danych osobie z nowego numeru, zanim ją sprawdzisz.

Dlaczego: Oszust liczy, że nie zapytasz. Jedno krótkie pytanie przerywa atak.

15 fiszek do powtórki

Zasłoń prawą część i sprawdź, czy pamiętasz znaczenie hasła.

PhishingFałszywy e-mail, który wyłudza dane lub każe kliknąć link.

SmishingTo samo, tylko przez SMS.

VishingTo samo, tylko przez telefon.

Drugi zamekKod z SMS-a. Nikomu go nie podajesz.

IncydentKażda sytuacja, w której dane mogły trafić w niepowołane ręce.

Dane szczególneZdrowie dziecka, przeszłość rodziny, adres. Chronisz je najmocniej.

Wgląd zamiast kopiiRodzina pokazuje dokument. Ty zapisujesz: „okazano”.

Kanał z proceduryDane wysyłasz tylko tą drogą, którą wskazuje jednostka.

Kod QRUkryty adres. Nie skanuj z niespodziewanych pism.

Pendrive od obcychNie wkładasz do komputera. Oddajesz informatykowi.

Blokada ekranuWstajesz od komputera, blokujesz ekran.

Rejestr centralnyDostęp ma tylko osoba, która go potrzebuje do pracy.

Zgłaszam od razuSzybkie zgłoszenie to dobry odruch, nie wstyd.

Prywatny komunikatorNie służy do spraw dzieci. Użyj telefonu służbowego.

ChmuraKopia zdjęć na cudzym serwerze. Sprawdź, czy jest włączona.

Moje notatki z tematu

Które z dziesięciu zagrożeń najłatwiej trafia w moją pracę? Gdzie to się zdarza?
Jaką jedną zasadę wprowadzę od jutra?

Krok 2 · Zrozum

Fałszywy e-mail, telefon „z sądu”, SMS i hasło — jak sprawdzasz, zanim zareagujesz

Oszust nie musi się włamywać do systemu. Wystarczy, że Ty klikniesz, odpowiesz lub podasz kod. Tutaj zobaczysz, po czym poznasz fałszywą wiadomość, jak sprawdzasz telefon „z sądu” i prośbę o zmianę konta oraz jakiego hasła używasz. Odpowiedzi na pytania quizu i testu o te tematy są poniżej.

AFałszywy e-mail „z sądu”

Sygnał	Jak wygląda	Dlaczego to ważne
Obca domena nadawcy	Nazwa „sąd” się zgadza, ale adres kończy się obcą domeną	Nazwę można wpisać dowolną, adres trudniej
Pośpiech i groźba blokady	„PILNE”, „tylko dziś”, „konto zostanie zablokowane”	Pośpiech ma wyłączyć ostrożność
Link do logowania prowadzący do obcej strony	Adres linku nie pasuje do adresu nadawcy	Fałszywa strona kradnie hasło
Ładne logo i poprawny język	Wygląda jak prawdziwe pismo	Logo i język da się łatwo podrobić, więc niczego nie dowodzą

Najłatwiej poznasz fałszywy e-mail „z sądu” po tym, że adres nadawcy należy do obcej domeny, a wiadomość ponagla do kliknięcia linku. Wiadomość z domeny jednostki o bieżącej sprawie zwykle jest w porządku, ale i tak czytasz adres linku.

Oszuści piszą „pilne” i „tylko dziś”, bo chcą, żebyś działał bez sprawdzania. Im bardziej wiadomość ponagla, tym wolniej ją czytasz.

BTelefon „z sądu” i „z banku”

Co robisz, gdy dzwoni osoba „z sądu” i prosi o adres rodziny zastępczej

Mówisz, że oddzwonisz, kończysz rozmowę i dzwonisz na numer z akt sprawy — numer do oddzwonienia bierzesz z akt albo z oficjalnej strony, nie od rozmówcy.
Dopiero wtedy sprawdzasz, czy prośba jest prawdziwa — rozmówca mógł tylko udawać sąd.
Zgłaszasz próbę do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów — ostrzeżenie dostają też inni pracownicy.

Jeśli rozmówca zna nazwisko dziecka, nie możesz uznać go za osobę uprawnioną. Oszuści zbierają nazwiska z wcześniejszych rozmów i z internetu, więc sama znajomość nazwiska niczego nie potwierdza.

Gdy ktoś dzwoni z „banku” i prosi o kod z SMS-a, który właśnie dostałeś: nie podajesz kodu. Rozłączasz się i zgłaszasz próbę. Kod z SMS-a otwiera dostęp do konta, a bank nigdy o niego nie prosi.

Zasada

Numer do oddzwonienia bierzesz z akt lub z oficjalnej strony. Dlaczego: numer podany przez rozmówcę prowadzi do oszusta, a nazwiska i imiona dzieci łatwo zdobyć.

CZmiana numeru konta do wypłat

Robisz

gdy rodzina zastępcza pisze z innego adresu o zmianie numeru konta, dzwonisz do rodziny na numer z umowy i prosisz o wniosek na piśmie — zmianę numeru konta zawsze potwierdzasz innym kanałem, na znany numer
zapisujesz, kto i kiedy potwierdził zmianę — masz ślad na wypadek sporu

Nie robisz

nie zmieniasz konta po samym e-mailu — adres nadawcy różni się od zapisanego w umowie, więc to może być oszust
nie dzwonisz na numer z wiadomości — oszust odbierze własny telefon

Oszust podszywa się pod rodzinę i prosi o nowe konto. To chroni rodzinę przed utratą pieniędzy.

DSMS „od kuriera” i hasło do rejestru

Robisz

SMS od „kuriera” na telefonie służbowym zgłaszasz i nie klikasz — nawet jeśli niczego nie wpiszesz
hasło do rejestru układasz z kilku przypadkowych słów i zapamiętujesz je — długie hasło z przypadkowych słów trudno odgadnąć, a łatwo zapamiętać
włączasz logowanie dwuetapowe — oprócz hasła potrzebujesz drugiego elementu, na przykład kodu z aplikacji lub z SMS-a, bo drugi element chroni konto, gdy ktoś pozna Twoje hasło

Nie robisz

nie otwierasz linku z SMS-a „bo niczego nie wpiszę” — samo kliknięcie linku może pobrać złośliwy plik albo potwierdzić, że numer jest aktywny
nie zapisujesz hasła tam, gdzie widzą je inni — kto zna hasło, działa w rejestrze jako Ty

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Po czym najłatwiej poznasz fałszywy e-mail „z sądu”?

Po logo, które wygląda jak prawdziwe.

Adres nadawcy należy do obcej domeny, a wiadomość ponagla do kliknięcia linku.

Po tym, że wiadomość jest długa.

Ćwiczenie 2. Fałszywa prośba czy zwykła sprawa?Przy każdej informacji wybierz jedną odpowiedź.

Wiadomość każe pilnie kliknąć link do logowania z obcej domeny

Przełożony z adresu służbowego prosi o raport, o który prosi co tydzień

Rodzina zastępcza pisze z innego adresu o zmianie konta

Dzwoni „bank” i prosi o kod z SMS-a, który właśnie przyszedł

Ćwiczenie 3. Dzwoni osoba „z sądu” i prosi o adres. Ułóż kroki.Klikaj kolejno.

Sprawdzasz, czy prośba jest prawdziwa
Mówisz, że oddzwonisz, i kończysz rozmowę
Dzwonisz na numer z akt sprawy

Ćwiczenie 4. Opis dnia. Kliknij błędy.

Numer do oddzwonienia wziąłem z akt sprawy. Rozmówca znał nazwisko dziecka, więc uznałem go za uprawnionego. Zmianę konta przyjąłem po jednym e-mailu z nowego adresu. Wniosek na piśmie i telefon na numer z umowy wystarczyły do potwierdzenia.

Ćwiczenie 5. Zaznacz, co robisz od dziś.

Przy prośbie o dane oddzwaniam na numer z akt lub oficjalnej strony.
Zmianę konta potwierdzam pismem i telefonem z umowy.
Mam długie hasło z kilku przypadkowych słów i dwuetapowe logowanie.