Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo podasz dane. Dlatego fałszywa wiadomość wygląda jak zwykła sprawa służbowa.

2.1. Kto i po co atakuje

Jednostka przechowuje dokumentację medyczną wielu osób. Dla przestępców to cenny łup. Chcą pieniędzy, danych do szantażu i dostępu do systemu. Większość ataków zaczyna się od wiadomości albo telefonu (rysunek 3). Najwięcej możesz zrobić sam, czytając pocztę uważnie.

Rysunek 3. Udział sposobów ataku – dane przykładowe, pokazują proporcje, nie są statystyką.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo dokumentację, dzwonisz do nadawcy na numer, który znasz. Dzięki temu oszust nie podszyje się pod nikogo.

Dla zainteresowanych

Takie oszustwo nazywa się phishingiem – od angielskiego „łowienia”. Przy SMS-ach to smishing, przy telefonach vishing. Mechanizm jest ten sam: zaufanie plus pośpiech.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2. Fałszywe wiadomości e-mail (phishing)

Jak to wygląda. Wiadomość udaje urząd, bank albo placówkę medyczną. Często zawiera „wniosek” do otwarcia (rysunek 4).

Rysunek 4. Przykład fałszywego e-maila (fikcyjny) – pięć sygnałów widać na pierwszy rzut oka.

7 sygnałów ostrzegawczych

1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „dziś”, „zostanie odrzucony”. Presja ma wyłączyć myślenie.
3
Ogólne powitanieKtoś, kto Cię zna, pisze po nazwisku lub roli.
4
Link prowadzi gdzie indziejPrzytrzymaj palec na linku. Adres nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip lub .exe, na który nie czekasz.
6
Prośba o hasło lub kodNikt z Twojej jednostki nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, nietypowa godzina, inny styl.

Co robisz. Nie klikasz i nie otwierasz załącznika. Zgłaszasz wiadomość. Czego nie robisz. Nie odpisujesz z pytaniem „czy to prawda?”. Oszust zawsze potwierdzi.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość Cię pogania, tym wolniej ją czytaj.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.3. Fałszywe telefony (vishing) i SMS-y (smishing)

Jak to wygląda. Dzwoni „przychodnia”, „rodzina pacjenta”, „bank” albo „kurier”. Rozmówca mówi pewnie i pogania. Zobacz rysunek 5.

Po czym poznasz.

Prosi o diagnozę, stopień niepełnosprawności, adres lub kod z SMS-a.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie, ale da się go podrobić.

Co robisz. Mówisz: „Oddzwonię”. Numer instytucji bierzesz z akt albo z jej oficjalnej strony. Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.

Czego nie robisz. Nie podajesz danych o zdrowiu osobie, której nie sprawdziłeś. Nie klikasz linków w SMS-ach o dopłatach.

Dlaczego. Informacja o zdrowiu w rękach oszusta służy do szantażu.

Rysunek 5. Fikcyjny SMS: 1 – nadawca udaje kuriera, 2 – groźba, 3 – obcy link.

2.4. Podszycie pod przełożonego i członka składu

Jak to wygląda. Wiadomość przychodzi „od członka składu” albo „od dyrektora”. Prosi o pilne przesłanie dokumentacji na adres prywatny. Zobacz rysunek 6.

Rysunek 6. Fikcyjna prośba: 1 – prywatny adres, 2 – dokumentacja na prywatną skrzynkę, 3 – zakaz rozmowy telefonicznej, 4 – pośpiech w temacie.

Co robisz. Dokumentację udostępniasz tylko w jednostce lub zatwierdzonym kanałem. Prośbę potwierdzasz telefonem na numer z akt. Czego nie robisz. Nie wysyłasz dokumentacji na adresy prywatne. Dlaczego. Prywatna skrzynka jest poza kontrolą jednostki.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Schemat drugiego kanału

Rysunek 7. Zasada drugiego kanału: prośbę sprawdzasz telefonem na znany numer.

2.5. Hasła i logowanie dwuetapowe

Co robisz. Tworzysz hasło z trzech lub czterech przypadkowych słów, np. „kubek-zegar-las-niebo”. Do każdego systemu masz inne hasło. Gdy ktoś mógł je poznać, zmieniasz je od razu. Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz. Czego nie robisz. Nie podajesz hasła ani kodu nikomu, także informatykowi. Nie zapisujesz hasła na kartce. Dlaczego. Kto zna Twoje hasło, działa w systemie jako Ty.

2.6. Załączniki, linki, kody QR i pendrive’y

Jak to wygląda. Archiwum .zip od nieznanego nadawcy, naklejony kod QR albo pendrive „znaleziony” na korytarzu. Co robisz. Adres strony urzędu lub banku wpisujesz sam. Obcy pendrive oddajesz do pomocy IT. Czego nie robisz. Nie skanujesz kodów QR z przypadkowych kartek. Nie podłączasz obcych nośników. Dlaczego. Kod QR to ukryty link, a pendrive może zablokować pracę całej jednostki.

2.7. Blokada danych dla okupu (ransomware)

Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki nie dają się otworzyć. Co robisz. Odłączasz sprzęt od sieci i dzwonisz pod numer z karty stanowiskowej. Komputera nie wyłączasz, chyba że każe tak pomoc IT. Czego nie robisz. Nie płacisz i nie piszesz do przestępców. Dlaczego. Szybkie odcięcie sieci chroni dokumentację innych osób.

2.8. Telefon służbowy, komunikatory i zdjęcia

Co robisz. Masz blokadę ekranu z kodem. Zdjęcia dokumentów robisz tylko wtedy, gdy zasady jednostki na to pozwalają, i tylko telefonem służbowym. Czego nie robisz. Nie wysyłasz dokumentacji prywatnymi komunikatorami. Dlaczego. Zdjęcie w prywatnym telefonie wymyka się spod kontroli jednostki.

2.9. Sztuczna inteligencja i podrobiony głos

Jak to wygląda. Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Wszystko, co wkleisz, trafia do zewnętrznej firmy. Przestępcy podrabiają też głos przełożonego. Co robisz. Do publicznych czatów wklejasz tylko tekst bez danych ludzi. Nietypową prośbę „szefa” sprawdzasz telefonem na znany numer. Czego nie robisz. Nie wklejasz diagnoz, opisów spraw ani nazwisk. Dlaczego. Wklejonego tekstu nie da się wycofać z cudzego serwera.

2.10. Praca poza biurem

Co robisz. Z internetu korzystasz w sprzęcie służbowym. Czego nie robisz. Nie łączysz sprzętu służbowego z darmowym Wi-Fi. Nie czytasz dokumentacji w miejscach publicznych. Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać połączenie.

Moje notatki z tematu

Którą sztuczkę mogę spotkać najczęściej przy moim stanowisku? Komu powiem o zasadzie drugiego kanału?

Krok 2 · Zrozum

Fałszywe wiadomości, telefony i prośby o dokumentację

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo podasz dane. Jednostka przechowuje dokumentację medyczną wielu osób — to cenny łup. Poznasz sygnały i jedną zasadę, która chroni przed większością ataków.

AFałszywy e-mail — siedem sygnałów

Wiadomość udaje urząd, bank albo placówkę medyczną. Często zawiera „wniosek” do otwarcia.

Sygnał	Co widzisz	Dlaczego to ważne
Dziwny adres nadawcy	Nazwa się zgadza, ale adres po „@” jest obcy	Nazwę łatwo podrobić
Pośpiech i groźba	„Pilne”, „dziś”, „zostanie odrzucony”	Pośpiech ma wyłączyć myślenie
Ogólne powitanie	Brak nazwiska lub roli	Ktoś, kto Cię zna, pisze po nazwisku
Link prowadzi gdzie indziej	Adres nie pasuje do nadawcy	Strona jest podrobiona
Niespodziewany załącznik	Archiwum .zip od nieznanego nadawcy, plik .exe, plik .js	Archiwa i programy mogą uruchomić złośliwy kod
Prośba o hasło lub kod	Formularz „weryfikacji”	Nikt z jednostki nie poprosi o hasło mailem
Coś się nie zgadza	Błędy językowe, nietypowa godzina	Inny styl niż zwykle

Nie klikasz i nie otwierasz załącznika, a wiadomość zgłaszasz. Nie odpisujesz z pytaniem „czy to prawda?” — oszust zawsze potwierdzi, więc odpowiedź niczego nie sprawdza.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo dokumentację, dzwonisz do nadawcy na numer, który znasz. Dlaczego: wiadomość można podrobić, a telefon na znany numer sprawdza prawdziwą osobę.

BTelefon i SMS — vishing i smishing

Dzwoni „przychodnia”, „rodzina pacjenta”, „bank” albo „kurier”. Rozmówca mówi pewnie i pogania. Prosi o diagnozę, stopień niepełnosprawności, adres lub kod z SMS-a. Bank nigdy nie prosi o kod z SMS-a — to najgroźniejszy sygnał, bo kod otwiera dostęp do konta.

Robisz

rozłączasz się i zgłaszasz rozmowę — numer instytucji bierzesz z akt albo oficjalnej strony
zgłaszasz próbę wyłudzenia, nawet jeśli nic nie podałeś — ostrzeżesz innych
sprawdzasz prośbę, dzwoniąc na numer, który znasz — wiadomość można podrobić, a telefon na znany numer sprawdza prawdziwą osobę

Nie robisz

nie klikasz linku w SMS-ie o dopłacie do przesyłki — mała kwota to przynęta na dane karty
nie klikasz w link z SMS-a dla ciekawości — samo wejście może pobrać złośliwy plik
nie ufasz numerowi na wyświetlaczu — numer da się podrobić
nie podajesz danych o zdrowiu osobie, której nie sprawdziłeś — informacja o zdrowiu służy w rękach oszusta do szantażu

CPodszycie pod przełożonego lub członka składu

Wiadomość „od członka składu” albo „od dyrektora” prosi o pilne przesłanie dokumentacji na adres prywatny. Gdy przełożony pisze z prywatnego adresu i prosi o listę wnioskodawców, dzwonisz do przełożonego na znany numer. Dokumentację udostępniasz tylko w jednostce lub zatwierdzonym kanałem, bo prywatna skrzynka jest poza kontrolą jednostki.

Gdy dzwoni znajomy głos dyrektora z prośbą o pilny przelew, dzwonisz do dyrektora na znany numer. Głos można podrobić.

Zasada

Dokumentacji nie wysyłasz na adresy prywatne ani zwykłym mailem. Dlaczego: zwykła poczta nie chroni danych zdrowotnych, a prywatna skrzynka jest poza kontrolą jednostki.

DHasła, nośniki, okup, czaty AI i praca poza biurem

Temat	Robisz	Nie robisz i dlaczego
Hasło	Cztery przypadkowe słowa, np. kubek-zegar-las-niebo, inne do każdego systemu — są długie i łatwe do zapamiętania	Nie podajesz hasła ani kodu nikomu, także informatykowi — nikt z jednostki nie poprosi o hasło ani kod
Pendrive	Obcy pendrive oddajesz do pomocy informatyk lub pomoc techniczna jednostki	Nie podłączasz obcych nośników — pendrive może zawierać złośliwy program
Kod QR	Adres strony wpisujesz sam	Nie skanujesz kodów z kartek — kod QR to ukryty link
Okup	Odłączasz sprzęt od sieci i zgłaszasz	Nie płacisz i nie piszesz do przestępców — szybkie odcięcie sieci chroni inne komputery
Czat AI	Wklejasz tylko ogólne pytanie bez danych ludzi	Nie wklejasz treści dokumentacji medycznej, opisu sprawy ani numeru wniosku z nazwiskiem — wklejonego tekstu nie da się wycofać z cudzego serwera
Praca poza biurem	Korzystasz ze sprzętu służbowego	Nie łączysz go z darmowym Wi-Fi — w publicznej sieci obcy może podglądać połączenie

Ransomware to program szyfrujący pliki i żądający okupu. Gdy na ekranie pojawia się żądanie okupu, odłączasz sieć i zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Komputera nie wyłączasz, chyba że każe tak pomoc IT.

Zapamiętaj

Pośpiech to narzędzie oszusta. Dlaczego: im bardziej wiadomość Cię pogania, tym wolniej ją czytaj — presja ma wyłączyć myślenie.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Telefon „z przychodni” prosi o diagnozę. Co robisz?

Podaję, bo rozmówczyni jest z przychodni.

Oddzwaniam na numer z oficjalnej strony.

Podaję tylko stopień, bez diagnozy.

Ćwiczenie 2. „Bank” prosi o kod z SMS-a. Co robisz?

Podaję kod.

Rozłączam się i zgłaszam.

Podaję pierwsze cyfry.

Ćwiczenie 3. Sygnał fałszywej wiadomości czy nie?Przy każdej informacji wybierz jedną odpowiedź.

Pośpiech i groźba

Prośba o kod z SMS-a

Znajomo brzmiący podpis urzędu

Archiwum .zip od nieznanego nadawcy

Ćwiczenie 4. Ułóż reakcję na komunikat o zaszyfrowaniu plików.Klikaj kolejno.

Dzwonisz pod numer z karty stanowiskowej
Odłączasz sprzęt od sieci
Nie płacisz i nie piszesz do przestępców

Ćwiczenie 5. Zaznacz, co robisz zawsze.

Sprawdzam prośbę o dane o zdrowiu drugim kanałem.
Nie podaję hasła ani kodu nikomu.
Podejrzaną wiadomość zgłaszam, a nie usuwam.