Próbka kursu — pełna treść po zamówieniu
PS-04 · Poradnik stanowiskowy · Twoja jednostka · wersja data wersjiOpracowanie: BEZPIECZNE DANE sp. z o.o.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

Oszust rzadko włamuje się do systemu. Częściej prosi ciebie, żebyś mu otworzył drzwi. Ten moduł jest najważniejszy. Każde zagrożenie ma cztery części. Jak wygląda, po czym je poznasz, co robisz i czego nie robisz.

2.1 Kto i po co atakuje ośrodek pomocy społecznej

Atakujący mają zwykle trzy cele. Pieniądze: żądają okupu za odblokowanie plików albo wyłudzają przelew. Dane: informacje o zdrowiu psychicznym i przemocy można sprzedać albo użyć do szantażu. Dostęp: hasło dyżurnego otwiera system z danymi wielu osób.

W twojej pracy jest jeszcze czwarty cel. To człowiek, który szuka konkretnej osoby. Sprawca przemocy chce wiedzieć, gdzie jest ktoś, kto od niego uciekł. Nie potrzebuje wirusa. Wystarczy jeden telefon, jedna wiadomość albo jedna wizyta. Zobacz rysunek 3.

Najczęstsze sposoby próby ustalenia danych lub miejsca pobytuDANE PRZYKŁADOWE010%20%30%40%50%Fałszywy e-mail38%Telefon „z instytucji”24%Czat lub SMS18%Wizyta pod pretekstem12%Zgubiony sprzęt8%
Rysunek 3. Udział sposobów ataku – dane przykładowe. Pokazują proporcje, nie są statystyką.
Zasada

Pytanie o osobę to zawsze ostrożność. Każdą prośbę o informację o osobie traktujesz jak możliwą próbę ustalenia miejsca pobytu. Dlaczego? Sprawca często brzmi uprzejmie, a czasem płacze.

Zapamiętaj

Nie musisz oceniać, czy rozmówca kłamie. Wystarczy, że nie potwierdzasz i nie zaprzeczasz.

2.2 Fałszywe wiadomości e-mail (phishing)

Jak to wygląda. Phishing (czytaj: fiszing) to fałszywa wiadomość, która ma wyłudzić hasło, dane albo pieniądze. Udaje sąd, urząd, bank albo kuriera. Dla ciebie może udawać też „rodzinę” osoby chronionej.

W pracy zmianowej czytasz pocztę po nocy, w pośpiechu i na telefonie. Wtedy najłatwiej się pomylić. Zobacz rysunek 4. Numery na rysunku odpowiadają numerom sygnałów na liście.

Poczta służbowaOd:Sąd Rejonowy w Przykładowie<sekretariat@sad-rejonowy-przykladowo.example>Temat:PILNE: wezwanie w sprawie mieszkanki hosteluSzanowny Użytkowniku,w sprawie osoby z waszego hosteluprosimy o pilne potwierdzenie danych.Zaloguj się i potwierdźhttp://sad-przykladowo-logowanie.example/x8k2Wezwanie_pilne.zip12345ĆWICZENIEwiadomość fikcyjna
Rysunek 4. Przykład fałszywego e-maila (fikcyjny). Pięć sygnałów widać już na pierwszy rzut oka.

Siedem sygnałów ostrzegawczych

  1. 1
    Dziwny adres nadawcyNazwa brzmi jak sąd, ale adres po „@” jest obcy i długi.
  2. 2
    Pośpiech i groźba„Pilne”, „dziś”, „wezwanie”. Presja ma wyłączyć myślenie.
  3. 3
    Ogólne powitaniePrawdziwy nadawca zna twoje imię albo nazwę ośrodka.
  4. 4
    Link prowadzi gdzie indziejPrzytrzymaj palec na linku. Adres strony nie pasuje do nadawcy.
  5. 5
    Niespodziewany załącznikPlik .zip, .exe albo „pismo”, na które nie czekasz.
  6. 6
    Prośba o hasło, kod lub dane osobyŻaden urząd nie prosi o hasło ani o dane mieszkanki przez e-mail.
  7. 7
    Coś się nie zgadzaBłędy w języku, dziwna godzina, inny styl niż zwykle.
Co robisz
  • Sprawdzasz adres nadawcy, nie tylko nazwę.
  • Nie klikasz. Dzwonisz do nadawcy na numer, który znasz.
  • Zgłaszasz wiadomość do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
  • Zostawiasz ją w skrzynce. To ślad dla informatyka.
Czego nie robisz
  • Nie klikasz linków z nieoczekiwanych wiadomości.
  • Nie otwierasz plików .zip i „faktur”, na które nie czekasz.
  • Nie odpisujesz z pytaniem, czy wiadomość jest prawdziwa.

Dlaczego. Jedno kliknięcie może otworzyć oszustowi dostęp do danych wielu rodzin.

2.3 Fałszywe telefony (vishing) i SMS-y (smishing)

Jak to wygląda. Vishing (czytaj: wiszing) to oszustwo przez telefon. Smishing (czytaj: smiszing) to oszustwo przez SMS. Dzwoni ktoś „z rodziny”, „z policji”, „z sądu”, „z banku”, „od kuriera” albo „od dyrektora”. Mówi pewnie i zna szczegóły.

Po czym poznasz
  • Prosi o dane osoby, adres albo potwierdzenie, że ktoś u was jest.
  • Pogania i nie pozwala się rozłączyć.
  • Płacze, grozi albo powołuje się na pilną sprawę.
  • Każe zachować rozmowę w tajemnicy.
Co robisz
  • Mówisz: „Nie udzielam informacji o osobach, którym pomagamy”.
  • Nie przepraszasz i nie tłumaczysz się.
  • Zapisujesz godzinę, numer i treść.
  • Zgłaszasz rozmowę kierownikowi.
Czego nie robisz
  • Nie mówisz „tak” ani „nie” na pytanie, czy ktoś u was jest.
  • Nie sprawdzasz listy „na chwilę”.
  • Nie klikasz linków w SMS-ach o dopłatach i blokadach.
KKurier EkspresSMS · dziś 11:42Przesyłka dla Waszego hosteluczeka na dopłatę 1,99 zł.Opłać do 18:00:kurier-ekspres-doplata.example/p8x12345ĆWICZENIEwiadomość fikcyjna
Rysunek 5. Fikcyjny SMS – nadawca podszywa się pod kuriera.

Zobacz rysunek 5. Dopłata 1,99 zł wygląda niewinnie. Chodzi jednak o dane karty, nie o kwotę. rysunek 6 pokazuje sposób, który stosujesz przy każdym telefonie „od rodziny”.

1Słuchasznie przerywasz,jesteś uprzejmy2Nie potwierdzaszani nie zaprzeczasz,jedno zdanie3Zapisujeszgodzina, numer,treść rozmowy4Zgłaszaszkierownikowii do kontaktu
Rysunek 6. Cztery kroki przy telefonie z pytaniem o osobę, która może u nas przebywać.
Zasada

Jedno zdanie dla każdego. Odpowiadasz zawsze tym samym zdaniem: „Nie udzielam informacji o osobach, którym pomagamy”. Dlaczego? Gdy mówisz inaczej wobec różnych osób, sama różnica zdradza prawdę.

Dlaczego. Telefon „od rodziny” to najczęstszy sposób ustalania, gdzie ukrywa się osoba chroniona.

2.4 Podszywanie się pod przełożonego i kontrahenta

Jak to wygląda. Dostajesz e-mail z adresu podobnego do adresu dyrektora. Prosi o pilny przelew, kody albo listę mieszkańców. Czasem „dostawca żywności” zmienia numer konta. Czasem „kierownik zmiany” pisze z prywatnego numeru: „Podaj mi adres klientki, jestem w drodze”.

Po czym poznasz
  • Prywatny adres albo numer zamiast służbowego.
  • Prośba o tajemnicę: „nie mów nikomu”.
  • Zmiana zwykłego sposobu działania.
  • Zakaz dzwonienia i sprawdzania.
Co robisz
  • Dzwonisz do przełożonego na znany numer.
  • Prośbę o przelew potwierdzasz u drugiej osoby.
  • Zmianę numeru konta dostawcy sprawdzasz telefonicznie, na numer z umowy.
  • Zgłaszasz próbę wyłudzenia.
Czego nie robisz
  • Nie robisz przelewu na podstawie samego e-maila.
  • Nie kupujesz kart podarunkowych na polecenie z poczty.
  • Nie przesyłasz list mieszkańców poza systemem ośrodka.

Dlaczego. Oszust zna hierarchię ośrodka. Dobrze udaje szefa, ale nie odbierze telefonu pod znanym numerem.

Zapamiętaj

Prośba o pieniądze, kody albo dane osób zawsze wymaga sprawdzenia innym kanałem. Nawet gdy brzmi jak dyrektor.

2.5 Hasła i logowanie dwuetapowe

Jak to wygląda. Do systemu logujesz się hasłem. Czasem dostajesz też kod w SMS-ie lub aplikacji (logowanie dwuetapowe, czyli drugi zamek do konta). Na stanowisku dyżurnym bywa jedno konto dla wszystkich zmian.

Po czym poznasz
  • Hasło jest na karteczce przy monitorze.
  • Wszyscy dyżurni logują się na jedno konto.
  • Ktoś prosi o kod z SMS-a „do weryfikacji”.
Co robisz
  • Tworzysz hasło z kilku losowych słów, np. „kubek-zegar-las-niebo” (przykład, nie używaj go).
  • Masz własne konto. Wylogowujesz się na koniec dyżuru.
  • Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz.
  • O koncie wspólnym informujesz kierownika.
Czego nie robisz
  • Nie podajesz hasła ani kodu nikomu, także koledze i informatykowi.
  • Nie zapisujesz hasła na kartce.
  • Nie używasz tego samego hasła w pracy i prywatnie.

Dlaczego. Konto wspólne nie pokazuje, kto zajrzał do danych. Gdy dojdzie do wycieku, trudno ustalić przyczynę i szybko pomóc.

Zasada

Jedno konto – jedna osoba. Gdy w ośrodku działa konto wspólne, zgłaszasz to kierownikowi i prosisz o osobne konta. Do tego czasu nie zostawiasz odblokowanego ekranu. Dlaczego? Każdy, kto wejdzie na zmianę, widzi wszystko.

2.6 Załączniki, linki, kody QR i pendrive’y

Jak to wygląda. „Skierowanie” z poradni przychodzi w pliku .zip. „Film od rodziny” ma link. Na ulotce w poczekalni jest kod QR. Wolontariusz zostawia pendrive „z materiałami dla dzieci”. Każdy z nich może przenieść złośliwy program (program, który niszczy dane albo je kradnie).

Po czym poznasz
  • Załącznik, na który nie czekasz.
  • Kod QR naklejony na wydruk albo plakat.
  • Pendrive „znaleziony” w recepcji albo podarowany.
Co robisz
  • Adres strony wpisujesz sam albo bierzesz z zakładki.
  • Pendrive oddajesz osobie z pomocy IT.
  • Plik od instytucji sprawdzasz telefonicznie.
Czego nie robisz
  • Nie skanujesz kodów QR z przypadkowych kartek.
  • Nie podłączasz obcego pendrive’a do komputera ośrodka.
  • Nie otwierasz plików .zip, .exe i .js z nieznanych wiadomości.

Dlaczego. Kod QR to ukryty link. Nie widzisz, dokąd prowadzi, dopóki go nie otworzysz.

2.7 Blokada danych dla okupu (ransomware)

Jak to wygląda. Ransomware (czytaj: ransomłer) to program, który szyfruje pliki. Potem przestępcy żądają pieniędzy za ich odblokowanie. W dyżurce może to oznaczać brak dostępu do list mieszkańców w środku nocy. Zobacz rysunek 7.

Twoje pliki zostały zaszyfrowaneAby je odzyskać, zapłać 2 000 w kryptowalucie.Nie wyłączaj komputera. Nie kontaktuj się z informatykiem.Pozostały czas47:58:12Pliki: Dziennik_dyzurow.xlsx.lockedLista_pokoi.docx.lockedZapłać terazPo upływie czasu cena wzrośnie dwukrotnie.12345ĆWICZENIEwiadomość fikcyjna
Rysunek 7. Fikcyjny ekran z żądaniem okupu. Pięć elementów to typowe sygnały ataku.
  1. 1
    Komunikat o zaszyfrowaniu plikówEkran zmienia kolor. Zwykła praca nie jest możliwa.
  2. 2
    Polecenie „nie kontaktuj się z informatykiem”Oszust chce, żebyś nikomu nie powiedział.
  3. 3
    Licznik czasuPresja czasu to stały element ataku.
  4. 4
    Dziwne nazwy plikówPliki mają obce rozszerzenie i nie dają się otworzyć.
  5. 5
    Przycisk „Zapłać teraz”Nie płacisz. Zapłata nie gwarantuje odzyskania danych.
Co robisz
  • Odłączasz sprzęt od sieci: wyciągasz kabel albo wyłączasz Wi-Fi.
  • Nie wyłączasz komputera, chyba że tak mówi procedura.
  • Od razu dzwonisz pod informatyk lub pomoc techniczna jednostki.
  • Przechodzisz na papierowe karty awaryjne. Zapisujesz godzinę.
Czego nie robisz
  • Nie płacisz i nie piszesz do przestępców.
  • Nie próbujesz sam „naprawić” komputera.
  • Nie kopiujesz plików na pendrive’a.

Dlaczego. Odcięcie od sieci zatrzymuje rozprzestrzenianie się ataku na inne komputery. Mieszkańcy czekają na pomoc także wtedy, gdy komputera nie ma. Dlatego ośrodek ma papierowe karty awaryjne i ty wiesz, gdzie leżą.

2.8 Telefon służbowy i prywatny, komunikatory, zdjęcia

Jak to wygląda. Komunikator to aplikacja do wysyłania wiadomości i zdjęć. W pracy zmianowej kusi, bo jest szybki. Zdjęcie karty przyjęcia czy listy leków wysyła się w sekundę. Zobacz rysunek 8. Takie narzędzie jest poza kontrolą ośrodka i informatyka.

Grupa dyżurnych (prywatna)czat interwencyjny · onlineCześć, wrzuć tu zdjęcie kartynowej mieszkanki, szybciej będzie.OK, robię zdjęcie telefonem.I jeszcze listę pokoi. Nikt niezajrzy, grupa jest zamknięta.12345ĆWICZENIEwiadomość fikcyjna
Rysunek 8. Fikcyjna rozmowa w prywatnym komunikatorze. Pięć pułapek zaznaczono numerami.
  1. 1
    Kanał prywatnyOśrodek nie wie, kto jest w grupie, i nie może jej zamknąć.
  2. 2
    Prośba o zdjęcie dokumentuZdjęcie zostaje w telefonach i w kopii zapasowej w chmurze.
  3. 3
    „Szybciej będzie”Pośpiech to najczęstszy powód skrótów.
  4. 4
    „Nikt nie zajrzy”Zamknięta grupa to złudzenie. Wystarczy zgubiony telefon.
  5. 5
    Lista pokoi w wiadomościLista mieszkańców to dane osób chronionych.
Co robisz
  • Używasz tylko narzędzi zatwierdzonych przez ośrodek.
  • Zdjęcia robisz wyłącznie telefonem służbowym, za zgodą osoby.
  • Zgubiony telefon zgłaszasz od razu.
  • Zdjęcie przenosisz do dokumentacji i kasujesz z telefonu.
Czego nie robisz
  • Nie wysyłasz danych mieszkańców w prywatnych komunikatorach.
  • Nie publikujesz zdjęć mieszkańców w mediach społecznościowych.
  • Nie fotografujesz tablic, list i okien w tle.
Dla zainteresowanych

Zdjęcie z telefonu zawiera czasem dane ukryte w pliku: miejsce i godzinę zrobienia. To tak zwane metadane. Zdjęcie z hostelu może zdradzić jego adres, nawet gdy nic go nie pokazuje.

Dlaczego. Zdjęcie raz wysłane zostaje na zawsze. Nie wiesz, kto je ma i gdzie trafi.

2.9 Sztuczna inteligencja i podrobiony głos

Jak to wygląda. Czaty AI to programy, które piszą teksty na polecenie. Wygodnie jest wkleić im notatkę i poprosić o poprawienie stylu. Przestępcy używają też AI do podrabiania głosu i obrazu. Dzwoni „dyrektor”, a to maszyna.

Po czym poznasz
  • Rozmówca brzmi jak ktoś znajomy, ale prosi o coś nietypowego.
  • Głos jest zbyt równy albo robi dziwne pauzy.
  • Nagranie wideo „z urzędu” pogania i prosi o dane.
Co robisz
  • Do publicznych czatów AI wklejasz tylko tekst bez danych ludzi.
  • Korzystasz tylko z narzędzi zatwierdzonych przez ośrodek.
  • Ustalacie w zespole słowo kontrolne do weryfikacji telefonów.
  • Nietypową prośbę sprawdzasz, dzwoniąc na znany numer.
Czego nie robisz
  • Nie wklejasz notatek z rozmów kryzysowych, wywiadów ani decyzji.
  • Usunięcie nazwiska nie wystarcza. Wiek dziecka, ulica i zdarzenie też rozpoznają rodzinę.
  • Nie ufasz głosowi tylko dlatego, że brzmi jak szef.

Dlaczego. Tekst wklejony do publicznego czatu trafia do zewnętrznej firmy. Nie da się go już wycofać.

2.10 Praca poza biurem

Jak to wygląda. Jedziesz na interwencję do domu klienta, do szpitala albo na komisariat. Piszesz notatkę w poczekalni. Rozmawiasz przez telefon na parkingu. W aucie leży teczka i laptop.

Po czym poznasz
  • W poczekalni obcy ludzie widzą ekran.
  • Wi-Fi jest otwarte dla wszystkich.
  • Rozmowa toczy się przy osobach trzecich.
Co robisz
  • Korzystasz z internetu w telefonie służbowym, nie z otwartego Wi-Fi.
  • Ekran ustawiasz tak, by nikt go nie widział. Blokujesz go, gdy odchodzisz.
  • Rozmawiasz o sprawie w miejscu, gdzie nikt nie słyszy.
  • Teczkę i sprzęt masz przy sobie albo w bagażniku.
Czego nie robisz
  • Nie łączysz sprzętu służbowego z publicznym Wi-Fi.
  • Nie zostawiasz laptopa w samochodzie, także na chwilę.
  • Nie rozmawiasz na głośnomówiącym w obecności osób trzecich.

Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać rozmowę. Sprawca może być bliżej, niż myślisz.

Moje notatki z tematu
?Które z zagrożeń z tego modułu najłatwiej spotkać na twoim stanowisku?
?Jakie jedno zdanie powiesz rozmówcy, który pyta o osobę u was?