Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo podasz hasło. Dlatego fałszywa wiadomość wygląda jak zwykła sprawa służbowa.

2.1. Kto i po co atakuje

Ośrodek wypłaca pieniądze i zna konta wielu rodzin. Dla przestępców to wygodny cel. Chcą trzech rzeczy: pieniędzy, danych i dostępu do systemu. Sprawca przemocy chce też znaleźć adres ofiary.

Większość ataków zaczyna się od wiadomości albo telefonu. Zobacz rysunek 3. Najwięcej możesz zrobić sam, czytając pocztę uważnie.

Rysunek 3. Udział sposobów ataku – dane przykładowe, pokazują proporcje, nie są statystyką.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz do nadawcy na numer, który znasz. Nie na numer z wiadomości. Dzięki temu oszust nie podszyje się pod nikogo.

Dla zainteresowanych

Takie oszustwo nazywa się phishingiem – od angielskiego „łowienia”. Przy SMS-ach mówi się o smishingu, a przy telefonach o vishingu. Mechanizm jest ten sam: zaufanie plus pośpiech.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2. Fałszywe wiadomości e-mail (phishing)

Jak to wygląda. Wiadomość udaje wydział, bank, kuriera albo urząd. Często zawiera „wniosek” do otwarcia. Zobacz rysunek 4: numery odpowiadają numerom sygnałów poniżej.

Rysunek 4. Przykład fałszywego e-maila (fikcyjny) – pięć sygnałów widać na pierwszy rzut oka.

7 sygnałów ostrzegawczych

1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „dziś”, „zostanie odrzucony”. Presja ma wyłączyć myślenie.
3
Ogólne powitanieKtoś, kto Cię zna, pisze po nazwisku lub roli.
4
Link prowadzi gdzie indziejPrzytrzymaj palec na linku. Adres strony nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip lub .exe, na który nie czekasz.
6
Prośba o hasło lub kodNikt z Twojej jednostki nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, nietypowa godzina, inny styl niż zwykle.

Co robisz. Nie klikasz i nie otwierasz załącznika. Zgłaszasz wiadomość. Czego nie robisz. Nie odpisujesz z pytaniem „czy to prawda?”. Oszust zawsze potwierdzi.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość Cię pogania, tym wolniej ją czytaj.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.3. Fałszywe telefony (vishing) i SMS-y (smishing)

Jak to wygląda. Dzwoni „bank”, „prokuratura”, „sąd” albo „kurier”. Rozmówca zna Twoje nazwisko. Mówi pewnie i pogania. Zobacz rysunek 5.

Po czym poznasz.

Prosi o dane klienta, PESEL, adres albo kod z SMS-a.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie, ale da się go podrobić.

Co robisz. Mówisz: „Oddzwonię”. Numer instytucji bierzesz z akt albo z jej oficjalnej strony. Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.

Czego nie robisz. Nie podajesz danych osobie, której nie sprawdziłeś. Nie klikasz linków w SMS-ach o dopłatach.

Dlaczego. Podany przez telefon adres może zaprowadzić sprawcę do ofiary.

Rysunek 5. Fikcyjny SMS: 1 – nadawca udaje kuriera, 2 – groźba, 3 – obcy link.

2.4. Podszycie pod przełożonego i kontrahenta

Jak to wygląda. Wiadomość przychodzi „od dyrektora”, „od kierownika” albo od osoby pobierającej świadczenie. Prosi o pilny przelew, listę wypłat albo zmianę numeru konta. Zobacz rysunek 6.

Rysunek 6. Fikcyjna prośba o zmianę konta: 1 – prywatny adres, 2 – prośba o zmianę konta, 3 – zakaz rozmowy, 4 – zdjęcie zamiast pisemnego wniosku.

Co robisz. Potwierdzasz prośbę telefonicznie, na numer z akt. Zmianę konta przyjmujesz tylko na piśmie. Czego nie robisz. Nie wysyłasz danych na prywatne adresy, nawet przełożonego. Dlaczego. Jeden fałszywy przelew to pieniądze, których rodzina nie dostanie.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Schemat drugiego kanału

Rysunek 7. Zasada drugiego kanału: prośbę sprawdzasz telefonem na znany numer, nie przez wiadomość.

2.5. Hasła i logowanie dwuetapowe

Co robisz. Tworzysz hasło z trzech lub czterech przypadkowych słów, np. „kubek-zegar-las-niebo”. Do każdego systemu masz inne hasło. Gdy ktoś mógł je poznać, zmieniasz je od razu. Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz.

Czego nie robisz. Nie podajesz hasła ani kodu nikomu, także informatykowi. Nie zapisujesz hasła na kartce przy monitorze. Dlaczego. Kto zna Twoje hasło, działa w systemie jako Ty.

2.6. Załączniki, linki, kody QR i pendrive’y

Jak to wygląda. Plik .zip od nieznanego nadawcy, naklejony kod QR albo pendrive „znaleziony” na parkingu. Co robisz. Adres strony urzędu lub banku wpisujesz sam. Obcy pendrive oddajesz do pomocy IT. Czego nie robisz. Nie skanujesz kodów QR z przypadkowych kartek. Nie podłączasz obcych nośników. Dlaczego. Kod QR to ukryty link, a pendrive może zablokować pracę całego ośrodka.

2.7. Blokada danych dla okupu (ransomware)

Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki nie dają się otworzyć. Co robisz. Odłączasz sprzęt od sieci i dzwonisz pod numer z karty stanowiskowej. Komputera nie wyłączasz, chyba że każe tak pomoc IT. Czego nie robisz. Nie płacisz i nie piszesz do przestępców. Nie próbujesz sam „naprawić” komputera. Dlaczego. Szybkie odcięcie sieci chroni dane wszystkich pracowników i rodzin.

2.8. Telefon służbowy, komunikatory i zdjęcia

Co robisz. Masz blokadę ekranu z kodem. Zdjęcia dokumentów robisz tylko wtedy, gdy zasady jednostki na to pozwalają, i tylko telefonem służbowym. Czego nie robisz. Nie wysyłasz danych klientów prywatnymi komunikatorami. Nie podajesz klientom prywatnego numeru. Dlaczego. Zdjęcie w prywatnym telefonie wymyka się spod kontroli jednostki.

2.9. Sztuczna inteligencja i podrobiony głos

Jak to wygląda. Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Wszystko, co do nich wkleisz, trafia do zewnętrznej firmy. Przestępcy podrabiają też głos i obraz przełożonego. Co robisz. Do publicznych czatów wklejasz tylko tekst bez danych ludzi. Nietypową prośbę „szefa” sprawdzasz telefonem na znany numer. Czego nie robisz. Nie wklejasz decyzji, notatek ani numerów kont. Usunięcie nazwiska nie wystarcza. Dlaczego. Wklejonego tekstu nie da się wycofać z cudzego serwera.

2.10. Praca poza biurem

Co robisz. Z internetu korzystasz w sprzęcie służbowym. Ekran trzymasz tak, by nikt obcy go nie widział. Czego nie robisz. Nie łączysz sprzętu służbowego z darmowym Wi-Fi. Nie czytasz dokumentów klientów w autobusie. Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać połączenie.

Moje notatki z tematu

Którą z tych sztuczek mogę spotkać najczęściej przy moim stanowisku? Komu w pracy powiem o zasadzie drugiego kanału?

Krok 2 · Zrozum

Fałszywe wiadomości, telefony i prośby o pieniądze

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo podasz hasło. Fałszywa wiadomość wygląda jak zwykła sprawa służbowa. Poznasz sygnały i jedną zasadę, która chroni przed większością ataków.

AFałszywy e-mail — siedem sygnałów

Wiadomość udaje wydział, bank, kuriera albo urząd. Często zawiera „wniosek” do otwarcia. Nazwa nadawcy łatwo podrobić — adres po znaku @ zdradza oszustwo.

Sygnał	Co widzisz	Dlaczego to ważne
Dziwny adres nadawcy	Nazwa się zgadza, ale adres po „@” jest obcy	Nazwę łatwo podrobić
Pośpiech i groźba	„Pilne”, „dziś”, „zostanie odrzucony”	Pośpiech ma wyłączyć myślenie
Ogólne powitanie	Brak nazwiska lub roli	Ktoś, kto Cię zna, pisze po nazwisku
Link prowadzi gdzie indziej	Adres strony nie pasuje do nadawcy	Strona jest podrobiona
Niespodziewany załącznik	Archiwum .zip, plik .exe, plik .js	Archiwa i programy mogą uruchomić złośliwy kod
Prośba o hasło lub kod	Formularz „weryfikacji”	Nikt z jednostki nie poprosi o hasło mailem
Coś się nie zgadza	Błędy językowe, nietypowa godzina	Inny styl niż zwykle

Wiadomość podpisana „Wydział Świadczeń”, która przyszła z adresu w obcej domenie, to prawdopodobnie fałszywa wiadomość. Nie klikasz, nie otwierasz załącznika i zgłaszasz wiadomość. Nie odpisujesz z pytaniem „czy to prawda?” — oszust zawsze potwierdzi.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz do nadawcy na numer, który znasz. Dlaczego: nie na numer z wiadomości — wtedy oszust nie podszyje się pod nikogo.

BTelefon i SMS — vishing i smishing

Dzwoni „bank”, „prokuratura”, „sąd” albo „kurier”. Rozmówca zna Twoje nazwisko, mówi pewnie i pogania. Prosi o dane klienta, adres albo kod z SMS-a. Bank nigdy nie prosi o kod z SMS-a — to najgroźniejszy sygnał, bo kod otwiera oszustowi dostęp do konta.

Robisz

rozłączasz się i zgłaszasz rozmowę — numer instytucji bierzesz z akt albo oficjalnej strony
zgłaszasz próbę wyłudzenia, nawet jeśli nic nie podałeś — ostrzeżesz innych
sprawdzasz rozmówcę, oddzwaniając na znany numer — numer da się podrobić

Nie robisz

nie klikasz linku w SMS-ie o dopłacie 1,99 zł — mała kwota to przynęta, chodzi o dane karty
nie klikasz „dla ciekawości” — samo wejście może pobrać złośliwy plik
nie ufasz numerowi na wyświetlaczu — numer na wyświetlaczu da się podrobić
nie podajesz danych osobie, której nie sprawdziłeś — adres może zaprowadzić sprawcę do ofiary

CPodszycie pod przełożonego i zmiana konta

Wiadomość „od dyrektora”, „od kierownika” albo od osoby pobierającej świadczenie prosi o pilny przelew, listę wypłat lub zmianę numeru konta. Gdy przełożony pisze z prywatnego adresu, dzwonisz do niego na znany numer. Prośbę o zmianę numeru konta sprawdzasz, dzwoniąc na numer z akt i prosząc o pisemny wniosek. Zdjęcie i mail można podrobić.

Gdy dzwoni znajomy głos dyrektora i prosi o pilny przelew, rozłączasz się i dzwonisz do dyrektora na znany numer. Głos można podrobić za pomocą AI. Jeden fałszywy przelew to pieniądze, których rodzina nie dostanie.

Zasada

Prośbę o pieniądze lub zmianę konta potwierdzasz telefonem na znany numer. Dlaczego: wiadomość i głos da się podrobić, a utraconego świadczenia rodzina nie odzyska.

DHasła, nośniki, okup, czaty AI i praca poza biurem

Temat	Robisz	Nie robisz i dlaczego
Hasło	Cztery przypadkowe słowa, np. kubek-zegar-las-niebo, inne do każdego systemu — są długie i łatwe do zapamiętania	Nie podajesz hasła ani kodu nikomu, także informatykowi — nikt z jednostki o nie nie poprosi
Pendrive	Obcy pendrive oddajesz do pomocy informatyk lub pomoc techniczna jednostki	Nie podłączasz obcych nośników — pendrive może zawierać złośliwy program
Kod QR	Adres strony wpisujesz sam	Nie skanujesz kodów z kartek — kod QR to ukryty link
Okup	Odłączasz komputer od sieci i zgłaszasz	Nie płacisz i nie naprawiasz sam — szybkie odcięcie sieci chroni dane innych pracowników
Czat AI	Wklejasz tylko ogólne pytanie bez danych ludzi	Nie wklejasz decyzji, notatek ani numerów kont — wklejonego tekstu nie da się wycofać z cudzego serwera
Praca poza biurem	Korzystasz ze sprzętu służbowego	Nie łączysz go z darmowym Wi-Fi — w publicznej sieci obcy może podglądać połączenie

Ransomware to program szyfrujący pliki i żądający okupu. Gdy na ekranie pojawia się żądanie zapłaty, odłączasz komputer od sieci i zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Komputera nie wyłączasz, chyba że każe tak pomoc IT.

Do publicznego czatu AI nie wklejasz: treści decyzji z nazwiskiem, notatki z danymi rodziny ani listy numerów kont. Usunięcie samego nazwiska nie wystarcza.

Zapamiętaj

Pośpiech to narzędzie oszusta. Dlaczego: im bardziej wiadomość Cię pogania, tym wolniej ją czytaj — presja ma wyłączyć myślenie.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Dzwoni „bank” i prosi o kod z SMS-a. Co robisz?

Podaję kod, bo rozmówca zna moje nazwisko.

Rozłączam się i zgłaszam.

Podaję pierwsze trzy cyfry kodu.

Ćwiczenie 2. Komunikat o zaszyfrowaniu plików. Co robisz najpierw?

Płacę, żeby odzyskać pliki.

Odłączam sieć i zgłaszam.

Próbuję sam naprawić komputer.

Ćwiczenie 3. Sygnał fałszywej wiadomości czy nie?Przy każdej informacji wybierz jedną odpowiedź.

Pośpiech i groźba

Prośba o kod z SMS-a

Znajomo brzmiący podpis wydziału

Archiwum .zip od nieznanej osoby

Ćwiczenie 4. Ułóż reakcję na prośbę o zmianę numeru konta.Klikaj kolejno.

Prosisz o pisemny wniosek
Nie zmieniasz numeru na podstawie maila
Dzwonisz na numer z akt

Ćwiczenie 5. Zaznacz, co robisz zawsze.

Sprawdzam prośbę o dane lub pieniądze drugim kanałem.
Nie podaję hasła ani kodu nikomu.
Wiadomość podejrzaną zgłaszam, a nie usuwam.