PS-05 · Poradnik stanowiskowy · Twoja jednostka · wersja data wersjiOpracowanie: BEZPIECZNE DANE sp. z o.o.
Moduł 2 · Zagrożenia cyfrowe w mojej pracy
Moduł 2 · ok. 30 min
Zagrożenia cyfrowe w mojej pracy
Oszust rzadko włamuje się do systemu. Częściej prosi ciebie, żebyś mu otworzył drzwi. Ten moduł jest najważniejszy. Każde zagrożenie ma cztery części. Jak wygląda, po czym je poznasz, co robisz i czego nie robisz.
2.1 Kto i po co atakuje ośrodek pomocy społecznej
Atakujący mają zwykle trzy cele. Pieniądze: żądają okupu za odblokowanie plików albo wyłudzają przelew. Dane: informacje o zdrowiu psychicznym i przemocy można sprzedać albo użyć do szantażu. Dostęp: twoje hasło otwiera system z danymi wielu osób.
W twojej pracy jest jeszcze czwarty cel. To człowiek, który chce zdobyć wynik opinii albo notatki. Może to być strona sporu o dziecko albo osoba, która chce komuś zaszkodzić. Nie potrzebuje wirusa. Wystarczy jeden telefon lub jedna wiadomość. Zobacz rysunek 3.
Rysunek 3. Udział sposobów ataku – dane przykładowe. Pokazują proporcje, nie są statystyką.
Zasada
Pytanie o klienta to zawsze ostrożność. Każdą prośbę o wynik, opinię lub notatkę traktujesz jak możliwą próbę wyłudzenia. Dlaczego? Oszust często zna sygnaturę, imię dziecka i brzmi uprzejmie.
Zapamiętaj
Nie musisz oceniać, czy rozmówca kłamie. Wystarczy, że sprawdzisz go innym kanałem.
2.2 Fałszywe wiadomości e-mail (phishing)
Jak to wygląda. Phishing (czytaj: fiszing) to fałszywa wiadomość, która ma wyłudzić hasło, dane albo pieniądze. Udaje sąd, urząd, bank albo organizatora szkolenia. Dla ciebie może udawać też „rodzica” albo „szkołę” dziecka.
Czytasz pocztę między sesjami, w pośpiechu, często na telefonie. Wtedy najłatwiej się pomylić. Zobacz rysunek 4. Numery na rysunku odpowiadają numerom sygnałów na liście.
Rysunek 4. Przykład fałszywego e-maila (fikcyjny). Pięć sygnałów widać już na pierwszy rzut oka.
Siedem sygnałów ostrzegawczych
1
Dziwny adres nadawcyNazwa brzmi jak urząd, ale adres po „@” jest obcy i długi.
2
Pośpiech i groźba„Pilne”, „dziś”, „wezwanie”. Presja ma wyłączyć myślenie.
3
Ogólne powitaniePrawdziwy nadawca zna twoje imię albo nazwę ośrodka.
4
Link prowadzi gdzie indziejPrzytrzymaj palec na linku. Adres strony nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip, .exe albo „pismo”, na które nie czekasz.
6
Prośba o hasło, kod lub opinięŻaden urząd nie prosi o hasło ani o opinię o dziecku przez formularz.
7
Coś się nie zgadzaBłędy w języku, dziwna godzina, inny styl niż zwykle.
Co robisz
Sprawdzasz adres nadawcy, nie tylko nazwę.
Nie klikasz. Dzwonisz do nadawcy na numer, który znasz.
Zgłaszasz wiadomość do bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Zostawiasz ją w skrzynce. To ślad dla informatyka.
Czego nie robisz
Nie klikasz linków z nieoczekiwanych wiadomości.
Nie otwierasz plików .zip i „pism”, na które nie czekasz.
Nie odpisujesz z pytaniem, czy wiadomość jest prawdziwa.
Dlaczego. Jedno kliknięcie może otworzyć oszustowi dostęp do danych wielu rodzin.
2.3 Fałszywe telefony (vishing) i SMS-y (smishing)
Jak to wygląda. Vishing (czytaj: wiszing) to oszustwo przez telefon. Smishing (czytaj: smiszing) to oszustwo przez SMS. Dzwoni ktoś „z sądu”, „z policji”, „z banku”, „od kuriera” albo „od dyrektora”. Mówi pewnie i zna szczegóły.
Po czym poznasz
Prosi o wynik opinii, wnioski z diagnozy albo dane dziecka.
Pogania i nie pozwala się rozłączyć.
Powołuje się na sygnaturę i sędziego, który „czeka”.
Każe zachować rozmowę w tajemnicy.
Co robisz
Mówisz: „Oddzwonię na numer z akt”.
Nie przepraszasz i nie tłumaczysz się.
Zapisujesz godzinę, numer i treść.
Zgłaszasz rozmowę kierownikowi.
Czego nie robisz
Nie podajesz wyników „od ręki”.
Nie potwierdzasz, że opinia istnieje.
Nie klikasz linków w SMS-ach o dopłatach i blokadach.
Rysunek 5. Fikcyjny SMS – nadawca podszywa się pod bank.
Zobacz rysunek 5. Prośba o potwierdzenie danych wygląda niewinnie. Chodzi jednak o dane logowania, nie o formalność. rysunek 6 pokazuje sposób, który stosujesz przy każdym telefonie „z urzędu”.
Rysunek 6. Cztery kroki przy telefonie z prośbą o wynik, opinię lub dane klienta.
Zasada
Najpierw rozłącz się, potem sprawdź. Odpowiadasz zawsze tym samym zdaniem: „Oddzwonię na numer z akt”. Dlaczego? Prawdziwy urzędnik rozumie, że sprawdzasz. Oszust się spieszy.
Dlaczego. Telefon „z sądu” to najczęstszy sposób wyłudzania wyników opinii o dzieciach.
2.4 Podszywanie się pod przełożonego i kontrahenta
Jak to wygląda. Dostajesz e-mail z adresu podobnego do adresu dyrektora. Prosi o pilny przelew, kody albo listę uczestników zajęć. Czasem „organizator szkolenia” zmienia numer konta. Czasem „kierownik” pisze z prywatnego numeru: „Podaj mi wynik opinii, jestem w drodze”.
Po czym poznasz
Prywatny adres albo numer zamiast służbowego.
Prośba o tajemnicę: „nie mów nikomu”.
Zmiana zwykłego sposobu działania.
Zakaz dzwonienia i sprawdzania.
Co robisz
Dzwonisz do przełożonego na znany numer.
Prośbę o przelew potwierdzasz u drugiej osoby.
Zmianę numeru konta sprawdzasz na numer z umowy.
Zgłaszasz próbę wyłudzenia.
Czego nie robisz
Nie robisz przelewu na podstawie samego e-maila.
Nie kupujesz kart podarunkowych na polecenie z poczty.
Nie przesyłasz list uczestników poza systemem ośrodka.
Dlaczego. Oszust zna hierarchię ośrodka. Dobrze udaje szefa, ale nie odbierze telefonu pod znanym numerem.
Zapamiętaj
Prośba o pieniądze, kody albo dane osób zawsze wymaga sprawdzenia innym kanałem. Nawet gdy brzmi jak dyrektor.
2.5 Hasła i logowanie dwuetapowe
Jak to wygląda. Do systemu logujesz się hasłem. Czasem dostajesz też kod w SMS-ie lub aplikacji. To logowanie dwuetapowe, czyli drugi zamek do konta. W gabinecie bywa jedno konto dla kilku osób.
Po czym poznasz
Hasło jest na karteczce przy monitorze.
Kilka osób loguje się na jedno konto.
Ktoś prosi o kod z SMS-a „do weryfikacji”.
Co robisz
Tworzysz hasło z kilku losowych słów, np. „kubek-zegar-las-niebo” (przykład, nie używaj go).
Masz własne konto. Wylogowujesz się, gdy kończysz pracę.
Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz.
O koncie wspólnym informujesz kierownika.
Czego nie robisz
Nie podajesz hasła ani kodu nikomu, także koledze i informatykowi.
Nie zapisujesz hasła na kartce.
Nie używasz tego samego hasła w pracy i prywatnie.
Dlaczego. Konto wspólne nie pokazuje, kto zajrzał do notatek. Gdy dojdzie do wycieku, trudno ustalić przyczynę.
Zasada
Jedno konto – jedna osoba. Gdy w ośrodku działa konto wspólne, zgłaszasz to kierownikowi i prosisz o osobne konta. Do tego czasu nie zostawiasz odblokowanego ekranu. Dlaczego? Każdy, kto wejdzie do gabinetu, widzi wszystko.
2.6 Załączniki, linki, kody QR i pendrive’y
Jak to wygląda. „Skierowanie” z poradni przychodzi w pliku .zip. „Wyniki badań” mają link. Na ulotce w poczekalni jest kod QR. Uczestnik zajęć zostawia pendrive „z materiałami”. Każdy z nich może przenieść złośliwy program. To program, który niszczy dane albo je kradnie.
Po czym poznasz
Załącznik, na który nie czekasz.
Kod QR naklejony na wydruk albo plakat.
Pendrive „znaleziony” w poczekalni albo podarowany.
Co robisz
Adres strony wpisujesz sam albo bierzesz z zakładki.
Pendrive oddajesz osobie z pomocy IT.
Plik od instytucji sprawdzasz telefonicznie.
Czego nie robisz
Nie skanujesz kodów QR z przypadkowych kartek.
Nie podłączasz obcego pendrive’a do komputera ośrodka.
Nie otwierasz plików .zip, .exe i .js z nieznanych wiadomości.
Dlaczego. Kod QR to ukryty link. Nie widzisz, dokąd prowadzi, dopóki go nie otworzysz.
2.7 Blokada danych dla okupu (ransomware)
Jak to wygląda. Ransomware (czytaj: ransomłer) to program, który szyfruje pliki. Potem przestępcy żądają pieniędzy za ich odblokowanie. Możesz stracić dostęp do notatek i wyników testów w dniu, gdy czeka sąd. Zobacz rysunek 7.
Rysunek 7. Fikcyjny ekran z żądaniem okupu. Pięć elementów to typowe sygnały ataku.
1
Komunikat o zaszyfrowaniu plikówEkran zmienia kolor. Zwykła praca nie jest możliwa.
2
Polecenie „nie kontaktuj się z informatykiem”Oszust chce, żebyś nikomu nie powiedział.
3
Licznik czasuPresja czasu to stały element ataku.
4
Dziwne nazwy plikówPliki mają obce rozszerzenie i nie dają się otworzyć.
5
Przycisk „Zapłać teraz”Nie płacisz. Zapłata nie gwarantuje odzyskania danych.
Co robisz
Rozpoznajesz atak po komunikacie i zmienionych nazwach plików.
Odłączasz sprzęt od sieci: wyciągasz kabel albo wyłączasz Wi-Fi.
Nie wyłączasz komputera, chyba że tak mówi procedura.
Od razu dzwonisz pod informatyk lub pomoc techniczna jednostki.
Czego nie robisz
Nie płacisz i nie piszesz do przestępców.
Nie próbujesz sam „naprawić” komputera.
Nie kopiujesz plików na pendrive’a.
Dlaczego. Odcięcie od sieci zatrzymuje rozprzestrzenianie się ataku na inne komputery. Zgłoszenie od razu skraca czas, w którym dane są zagrożone.
2.8 Telefon służbowy i prywatny, komunikatory, zdjęcia, nagrania
Jak to wygląda. Komunikator to aplikacja do wysyłania wiadomości i zdjęć. Kusi, bo jest szybki. Zdjęcie wyniku testu czy nagranie sesji wysyła się w sekundę. Zobacz rysunek 8. Takie narzędzie jest poza kontrolą ośrodka i informatyka.
Rysunek 8. Fikcyjna rozmowa w prywatnym komunikatorze. Pięć pułapek zaznaczono numerami.
1
Kanał prywatnyOśrodek nie wie, kto jest w grupie, i nie może jej zamknąć.
2
Prośba o zdjęcie wynikuZdjęcie zostaje w telefonach i w kopii zapasowej w chmurze.
3
„Szybciej będzie”Pośpiech to najczęstszy powód skrótów.
4
Prośba o nagranie z sesjiNagranie rozmowy terapeutycznej to jedne z najwrażliwszych danych.
5
„Nikt nie zajrzy”Zamknięta grupa to złudzenie. Wystarczy zgubiony telefon.
Co robisz
Używasz tylko narzędzi zatwierdzonych przez ośrodek.
Sesji nie nagrywasz bez zgody wszystkich i zasad jednostki.
Zgubiony telefon zgłaszasz od razu.
Zdjęcie lub nagranie przenosisz do dokumentacji i kasujesz z telefonu.
Czego nie robisz
Nie wysyłasz wyników i notatek w prywatnych komunikatorach.
Nie nagrywasz sesji prywatnym telefonem.
Nie publikujesz zdjęć klientów w mediach społecznościowych.
Dlaczego. Zdjęcie raz wysłane zostaje na zawsze. Nie wiesz, kto je ma i gdzie trafi.
2.9 Sztuczna inteligencja i podrobiony głos
Jak to wygląda. Czaty AI to programy, które piszą teksty na polecenie. Wygodnie jest wkleić im notatkę i poprosić o skrócenie. Przestępcy używają też AI do podrabiania głosu i obrazu. Dzwoni „dyrektor”, a to maszyna.
Po czym poznasz
Rozmówca brzmi jak ktoś znajomy, ale prosi o coś nietypowego.
Głos jest zbyt równy albo robi dziwne pauzy.
Nagranie wideo „z urzędu” pogania i prosi o dane.
Co robisz
Do publicznych czatów AI wklejasz tylko tekst bez danych ludzi.
Korzystasz tylko z narzędzi zatwierdzonych przez ośrodek.
Nietypową prośbę sprawdzasz, dzwoniąc na znany numer.
Czego nie robisz
Nie wklejasz notatek z sesji, wywiadów ani opinii.
Usunięcie nazwiska nie wystarcza. Wiek dziecka, ulica i diagnoza też rozpoznają rodzinę.
Nie ufasz głosowi tylko dlatego, że brzmi jak szef.
Dlaczego. Tekst wklejony do publicznego czatu trafia do zewnętrznej firmy. Nie da się go już wycofać.
2.10 Praca poza biurem
Jak to wygląda. Jedziesz na wizytę do kandydatów na rodzinę zastępczą. Piszesz notatkę w poczekalni szkoły. W aucie leży teczka i laptop.
Po czym poznasz
W poczekalni obcy ludzie widzą ekran.
Wi-Fi jest otwarte dla wszystkich.
Rozmowa toczy się przy osobach trzecich.
Co robisz
Korzystasz z internetu w telefonie służbowym, nie z otwartego Wi-Fi.
Ekran ustawiasz tak, by nikt go nie widział. Blokujesz go, gdy odchodzisz.
Rozmawiasz o sprawie tam, gdzie nikt nie słyszy.
Czego nie robisz
Nie łączysz sprzętu służbowego z publicznym Wi-Fi.
Nie zostawiasz laptopa w samochodzie, także na chwilę.
Nie piszesz opinii na prywatnym laptopie w domu.
Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać rozmowę. Dom nie ma zabezpieczeń, które sprawdza ośrodek.
Moje notatki z tematu
?Które z zagrożeń z tego modułu najłatwiej spotkać na twoim stanowisku?
?Jakie jedno zdanie powiesz rozmówcy, który prosi o wynik opinii?
Krok 2 · Zrozum
Zagrożenia cyfrowe: e-mail, SMS, telefon, hasła, pendrive i okup
Oszust rzadko włamuje się do systemu. Częściej prosi Ciebie, żebyś otworzył mu drzwi. Tutaj zobaczysz, po czym poznasz fałszywą wiadomość, SMS i telefon, jak chronisz hasła oraz co robisz z pendrive’em, kodem QR i okupem. Odpowiedzi na pytania quizu i testu są poniżej.
AFałszywy e-mail (phishing)
Phishing to fałszywa wiadomość, która ma wyłudzić hasło lub dane. Udaje sąd, urząd, bank albo szkołę dziecka i prosi, żebyś sam podał hasło albo kliknął. Czytasz pocztę między sesjami, w pośpiechu, więc wtedy najłatwiej się pomylić.
Sygnał
Jak wygląda
Dlaczego to ważne
Obcy adres po znaku „@”
Nazwa brzmi jak urząd, adres jest długi i obcy
Nazwę można wpisać dowolną, adres trudniej
Pośpiech i groźba w temacie
„Pilne”, „dziś”, „wezwanie”
Presja ma wyłączyć myślenie
Niespodziewany załącznik w paczce .zip
Plik .zip, .exe albo „pismo”, na które nie czekasz
Może zawierać złośliwy program
Link prowadzi gdzie indziej
Po przytrzymaniu palca adres nie pasuje do nadawcy
Fałszywa strona zbiera hasła
Powitanie po nazwisku z zaufanego źródła nie jest sygnałem oszustwa. Jest nim ogólne „Szanowny Użytkowniku”, prośba o hasło i obcy adres.
Co robisz z e-mailem „z banku”, który grozi blokadą konta, jeśli nie klikniesz
Nie klikasz i zgłaszasz wiadomość osobie z karty stanowiskowej (bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów) — pośpiech i groźba to typowe sygnały oszustwa, a zgłoszenie chroni też innych pracowników.
Zostawiasz wiadomość w skrzynce — to ślad dla informatyka.
Nie odpisujesz z pytaniem, czy jest prawdziwa — odpowiedź potwierdza, że adres działa.
BFałszywy SMS i telefon, hasło i kod
Sytuacja
Co robisz
Dlaczego
SMS o dopłacie do paczki, której nie zamawiałeś
Nie klikasz i zgłaszasz SMS zgodnie z zasadami jednostki
Już samo wejście w link lub odpowiedź może potwierdzić, że numer działa, albo pobrać złośliwy plik
Dzwoni „policja” i żąda notatek terapeutycznych „od ręki”
Kończysz rozmowę i dzwonisz do komendy na numer ze strony lub z akt
Numer podany przez rozmówcę może prowadzić do oszusta, a sprawdzasz na numer, który znasz sam
Przychodzi SMS z kodem „potwierdzającym logowanie”, którego nie wywołałeś
Nie podajesz kodu nikomu i zgłaszasz, że ktoś próbuje się zalogować
Niechciany kod oznacza, że ktoś zna Twój login, a zgłoszenie pozwala zablokować konto
Hasło lub kod z SMS-a może od Ciebie poprosić nikt. Hasło i kod to klucz do Twojego konta, a prawdziwe osoby i instytucje nigdy o nie nie proszą.
Zasada
Najpierw rozłącz się, potem sprawdź. Dlaczego: prawdziwy urzędnik rozumie, że sprawdzasz, a oszust się spieszy.
CHasła i logowanie dwuetapowe
Robisz
tworzysz długie zdanie z kilku słów, znane tylko Tobie — długie zdanie trudno zgadnąć, a powtarzane hasło otwiera wszystkie drzwi naraz
włączasz logowanie dwuetapowe: po haśle potwierdzasz logowanie drugim sposobem, np. kodem — drugi etap powstrzymuje włamanie, nawet gdy ktoś pozna hasło
masz własne konto i wylogowujesz się, gdy kończysz — konto wspólne nie pokazuje, kto zajrzał do notatek
Nie robisz
nie zapisujesz hasła na kartce i nie podajesz go koledze ani informatykowi — hasło widzi każdy, kto wejdzie do gabinetu
nie używasz tego samego hasła w pracy i prywatnie — wyciek z jednego serwisu otworzyłby drugi
DPendrive, kod QR i okup
Sytuacja
Co robisz
Dlaczego
Przed ośrodkiem leży pendrive z napisem „Opinie”
Nie podłączasz go i oddajesz osobie, która zgłosi sprawę zgodnie z zasadami
Nieznany nośnik może zawierać program, który zainfekuje komputer, a zgłoszenie pozwala bezpiecznie sprawdzić sprawę
Kod QR na plakacie w poczekalni
Nie skanujesz kodów z przypadkowych kartek
Kod QR to ukryty link, a naklejkę można nakleić na prawdziwy plakat
Ekran pokazuje zaszyfrowane pliki i żąda okupu
Odłączasz komputer od sieci, nie wyłączasz go i od razu zgłaszasz pod informatyk lub pomoc techniczna jednostki
Odłączenie od sieci zatrzymuje rozprzestrzenianie, a ślady na komputerze pomagają informatykowi
Kod QR na plakacie zawsze prowadzi do bezpiecznej strony — to zdanie jest fałszywe. Nie płacisz i nie piszesz do przestępców: zapłata nie gwarantuje odzyskania danych.
Krok 3 · Ćwicz
Sprawdź, czy już wiesz
Ćwiczenie 1. Dostajesz e-mail z banku: konto zostanie zablokowane dziś, jeśli nie klikniesz linku. Co robisz?
Klikam, żeby nie stracić konta.
Nie klikam i zgłaszam wiadomość osobie z karty stanowiskowej.
Odpisuję z pytaniem, czy to prawda.
Ćwiczenie 2. Sygnał oszustwa czy zwykła sprawa?Przy każdej informacji wybierz jedną odpowiedź.
Obcy adres po znaku „@” i słowo „pilne”
Przełożony z adresu służbowego prosi o raport, o który prosi co tydzień
Dzwoni „dział bezpieczeństwa” i prosi o kod z SMS-a
Plik „Wezwanie.zip”, na który nie czekasz
Ćwiczenie 3. Na ekranie jest żądanie okupu. Ułóż kroki.Klikaj kolejno.
Zgłaszasz pod numer pomocy IT
Odłączasz komputer od sieci
Nie wyłączasz komputera
Ćwiczenie 4. Opis dnia. Kliknij błędy.
Link w e-mailu sprawdziłem przytrzymaniem palca.Kod z SMS-a podałem „konsultantowi z banku”, bo brzmiał fachowo.Pendrive sprzed ośrodka podłączyłem, żeby zobaczyć, czyj jest.Kodu QR z plakatu nie zeskanowałem.
