Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo uczestnik uwierzy w telefon. Dlatego chronisz też podopiecznych.

2.1. Kto i po co atakuje

Placówka zna dane o zdrowiu i oszczędnościach osób starszych. Dla przestępców to wygodny cel. Chcą pieniędzy, danych i dostępu do systemu. Często dzwonią też bezpośrednio do uczestników. Większość ataków zaczyna się od wiadomości albo telefonu (rysunek 3).

Rysunek 3. Udział sposobów ataku – dane przykładowe, pokazują proporcje, nie są statystyką.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość lub telefon prosi o dane albo pieniądze, dzwonisz na numer, który znasz. Dzięki temu oszust nie podszyje się pod rodzinę ani pod urząd.

Dla zainteresowanych

Takie oszustwo nazywa się phishingiem – od angielskiego „łowienia”. Przy SMS-ach to smishing, przy telefonach vishing. Oszustwo „na wnuczka” to vishing wymierzony w seniorów.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2. Fałszywe wiadomości e-mail (phishing)

Jak to wygląda. Wiadomość udaje urząd, bank albo dostawcę. Często zawiera „skierowanie” lub „fakturę” do otwarcia (rysunek 4).

Rysunek 4. Przykład fałszywego e-maila (fikcyjny) – pięć sygnałów widać na pierwszy rzut oka.

7 sygnałów ostrzegawczych

1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „dziś”, „miejsce zostanie zwolnione”.
3
Ogólne powitanieKtoś, kto Cię zna, pisze po nazwisku lub roli.
4
Link prowadzi gdzie indziejPrzytrzymaj palec na linku. Adres nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip lub .exe, na który nie czekasz.
6
Prośba o hasło lub kodNikt z Twojej jednostki nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, nietypowa godzina, inny styl.

Co robisz. Nie klikasz i nie otwierasz załącznika. Zgłaszasz wiadomość. Czego nie robisz. Nie odpisujesz z pytaniem „czy to prawda?”. Oszust zawsze potwierdzi.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość Cię pogania, tym wolniej ją czytaj.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.3. Fałszywe telefony (vishing) i SMS-y (smishing)

Jak to wygląda. Dzwoni „bank”, „rodzina uczestnika”, „wnuczek” albo „kurier”. Rozmówca mówi pewnie i pogania. Zobacz rysunek 5.

Po czym poznasz.

Prosi o dane o zdrowiu, adres, kod z SMS-a albo pilny przelew.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie, ale da się go podrobić.

Co robisz. Mówisz: „Oddzwonię”. Numer rodziny bierzesz z karty uczestnika, numer instytucji z jej oficjalnej strony. Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.

Czego nie robisz. Nie podajesz danych o zdrowiu osobie niesprawdzonej. Nie klikasz linków w SMS-ach o dopłatach.

Dlaczego. Uczestnicy często nie obronią się sami, a oszuści wiedzą o tym.

Rysunek 5. Fikcyjny SMS: 1 – nadawca udaje kuriera, 2 – groźba, 3 – obcy link.

2.4. Podszycie pod rodzinę, przełożonego i dostawcę

Jak to wygląda. Wiadomość przychodzi „od rodziny uczestnika”, „od dyrektora” albo „od dostawcy posiłków”. Prosi o dane o zdrowiu, listę uczestników albo zmianę numeru konta. Zobacz rysunek 6.

Rysunek 6. Fikcyjna prośba: 1 – adres bez nazwiska, 2 – pośpiech, 3 – dane o zdrowiu na obcą skrzynkę, 4 – zakaz telefonu.

Co robisz. Prośbę potwierdzasz telefonem na numer z karty uczestnika. Czego nie robisz. Nie wysyłasz danych o zdrowiu na niesprawdzony adres. Dlaczego. Dane o chorobie służą do wyłudzeń i szantażu.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Schemat drugiego kanału

Rysunek 7. Zasada drugiego kanału: prośbę sprawdzasz telefonem na znany numer.

2.5. Hasła i logowanie dwuetapowe

Co robisz. Tworzysz hasło z trzech lub czterech przypadkowych słów, np. „kubek-zegar-las-niebo”. Do każdego systemu masz inne hasło. Na wspólnym komputerze wylogowujesz się, gdy odchodzisz. Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz. Czego nie robisz. Nie podajesz hasła ani kodu nikomu, także informatykowi. Nie zapisujesz hasła na kartce. Dlaczego. Kto zna Twoje hasło, działa w systemie jako Ty.

2.6. Załączniki, linki, kody QR i pendrive’y

Jak to wygląda. Archiwum .zip od nieznanego nadawcy, naklejony kod QR albo pendrive „znaleziony” w sali. Co robisz. Adres strony urzędu lub banku wpisujesz sam. Obcy pendrive oddajesz do pomocy IT. Czego nie robisz. Nie skanujesz kodów QR z przypadkowych kartek. Nie podłączasz obcych nośników. Dlaczego. Kod QR to ukryty link, a pendrive może zablokować pracę całej placówki.

2.7. Blokada danych dla okupu (ransomware)

Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki nie dają się otworzyć. Co robisz. Odłączasz sprzęt od sieci i dzwonisz pod numer z karty stanowiskowej. Komputera nie wyłączasz, chyba że każe tak pomoc IT. Czego nie robisz. Nie płacisz i nie piszesz do przestępców. Dlaczego. Szybkie odcięcie sieci chroni dane uczestników.

2.8. Telefon służbowy, komunikatory i zdjęcia

Co robisz. Masz blokadę ekranu z kodem. Zdjęcia z zajęć robisz po uzyskaniu zgody uczestnika lub opiekuna i telefonem służbowym. Czego nie robisz. Nie wysyłasz danych uczestników prywatnymi komunikatorami. Nie publikujesz zdjęć bez zgody. Dlaczego. Zdjęcie w internecie trudno wycofać.

2.9. Sztuczna inteligencja i podrobiony głos

Jak to wygląda. Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Wszystko, co wkleisz, trafia do zewnętrznej firmy. Przestępcy podrabiają też głos bliskich. Co robisz. Do publicznych czatów wklejasz tylko tekst bez danych ludzi. Nietypową prośbę „szefa” sprawdzasz telefonem na znany numer. Czego nie robisz. Nie wklejasz notatek o uczestnikach ani listy leków. Dlaczego. Wklejonego tekstu nie da się wycofać z cudzego serwera.

2.10. Wycieczki i praca poza placówką

Co robisz. Z internetu korzystasz w sprzęcie służbowym. Czego nie robisz. Nie łączysz sprzętu służbowego z darmowym Wi-Fi. Nie zostawiasz listy uczestników w autokarze. Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać połączenie.

Moje notatki z tematu

Którą sztuczkę mogę spotkać najczęściej w mojej placówce? Jak ostrzegę uczestników przed oszustami?

Krok 2 · Zrozum

Fałszywe wiadomości, telefony i oszustwo „na wnuczka”

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo uczestnik uwierzy w telefon. Placówka zna dane o zdrowiu i oszczędnościach osób starszych — to wygodny cel. Poznasz sygnały i jedną zasadę, która chroni także podopiecznych.

AFałszywy e-mail — siedem sygnałów

Wiadomość udaje urząd, bank albo dostawcę. Często zawiera „skierowanie” lub „fakturę” do otwarcia.

Sygnał	Co widzisz	Dlaczego to ważne
Dziwny adres nadawcy	Nazwa się zgadza, ale adres po „@” jest obcy	Nazwę łatwo podrobić
Pośpiech i groźba	„Pilne”, „dziś”, „miejsce zostanie zwolnione”	Pośpiech ma wyłączyć myślenie
Ogólne powitanie	Brak nazwiska lub roli	Ktoś, kto Cię zna, pisze po nazwisku
Link prowadzi gdzie indziej	Adres nie pasuje do nadawcy	Strona jest podrobiona
Niespodziewany załącznik	Archiwum .zip od nieznanego nadawcy, plik .exe, plik .js	Archiwa i programy mogą uruchomić złośliwy kod
Prośba o hasło lub kod	Formularz „weryfikacji”	Nikt z jednostki nie poprosi o hasło mailem
Coś się nie zgadza	Błędy językowe, nietypowa godzina	Inny styl niż zwykle

Nie klikasz i nie otwierasz załącznika, a wiadomość zgłaszasz. Nie odpisujesz z pytaniem „czy to prawda?” — oszust zawsze potwierdzi.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość lub telefon prosi o dane albo pieniądze, dzwonisz na numer, który znasz. Dlaczego: wiadomość można podrobić, a telefon na znany numer sprawdza prawdziwą osobę.

BTelefon i SMS — vishing i smishing

Dzwoni „bank”, „rodzina uczestnika”, „wnuczek” albo „kurier”. Rozmówca mówi pewnie i pogania. Prosi o dane o zdrowiu, adres, kod z SMS-a albo pilny przelew. Bank nigdy nie prosi o kod z SMS-a — to najgroźniejszy sygnał, bo kod otwiera dostęp do konta.

Robisz

rozłączasz się i zgłaszasz rozmowę — numer rodziny bierzesz z karty uczestnika, numer instytucji z jej oficjalnej strony
zgłaszasz próbę wyłudzenia, nawet jeśli nic nie podałeś — ostrzeżesz innych
sprawdzasz prośbę, dzwoniąc na numer, który znasz — wiadomość można podrobić, a telefon na znany numer sprawdza prawdziwą osobę

Nie robisz

nie klikasz linku w SMS-ie o dopłacie do przesyłki — mała kwota to przynęta na dane karty
nie klikasz w link z SMS-a dla ciekawości — samo wejście może pobrać złośliwy plik
nie ufasz numerowi na wyświetlaczu — numer da się podrobić
nie podajesz danych o zdrowiu osobie niesprawdzonej — uczestnicy często nie obronią się sami

COszustwo „na wnuczka” i podszycie pod przełożonego

Gdy uczestnik mówi o telefonie „wnuczka” z prośbą o pieniądze, dzwonimy do wnuczka na znany numer. Prośba o milczenie i pośpiech to sygnały oszustwa — drugi kanał sprawdza prawdziwą osobę. Gdy kierownik pisze z prywatnego adresu i prosi o listę uczestników, dzwonisz do kierownika na znany numer. Gdy dzwoni znajomy głos dyrektora z prośbą o pilny przelew, dzwonisz do dyrektora na znany numer — głos można podrobić.

Prośbę „od rodziny”, „od dyrektora” albo „od dostawcy posiłków” o dane o zdrowiu, listę uczestników lub zmianę numeru konta potwierdzasz telefonem na numer z karty uczestnika. Danych o zdrowiu nie wysyłasz na niesprawdzony adres, bo dane o chorobie służą do wyłudzeń i szantażu.

Zasada

Ostrzegasz uczestników przed oszustami. Dlaczego: seniorzy często nie obronią się sami, a oszuści o tym wiedzą.

DHasła, nośniki, okup, czaty AI i wycieczki

Temat	Robisz	Nie robisz i dlaczego
Hasło	Cztery przypadkowe słowa, np. kubek-zegar-las-niebo, inne do każdego systemu — są długie i łatwe do zapamiętania	Nie podajesz hasła ani kodu nikomu, także informatykowi — nikt z jednostki nie poprosi o hasło ani kod
Pendrive	Obcy pendrive oddajesz do pomocy informatyk lub pomoc techniczna jednostki	Nie podłączasz obcych nośników — pendrive może zawierać złośliwy program
Kod QR	Adres strony wpisujesz sam	Nie skanujesz kodów z kartek — kod QR to ukryty link
Okup	Odłączasz sprzęt od sieci i zgłaszasz	Nie płacisz i nie piszesz do przestępców — szybkie odcięcie sieci chroni inne komputery
Czat AI	Wklejasz tylko ogólne pytanie bez danych ludzi	Nie wklejasz notatek o uczestniku, listy leków ani opisu sytuacji rodzinnej — wklejonego tekstu nie da się wycofać z cudzego serwera
Wycieczka i Wi-Fi	Korzystasz ze sprzętu służbowego	Nie łączysz go z darmowym Wi-Fi — w publicznej sieci obcy może podglądać połączenie

Ransomware to program szyfrujący pliki i żądający okupu. Gdy na ekranie pojawia się żądanie okupu, odłączasz sieć i zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Komputera nie wyłączasz, chyba że każe tak pomoc IT.

Zapamiętaj

Pośpiech to narzędzie oszusta. Dlaczego: im bardziej wiadomość Cię pogania, tym wolniej ją czytaj.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Uczestnik mówi o telefonie „wnuczka” z prośbą o pieniądze. Co robisz?

Pomagam w przelewie, chodzi o rodzinę.

Dzwonimy do wnuczka na znany numer.

Mówię „ostrożnie” i wracam do zajęć.

Ćwiczenie 2. „Bank” prosi o kod z SMS-a. Co robisz?

Podaję kod.

Rozłączam się i zgłaszam.

Podaję pierwsze cyfry.

Ćwiczenie 3. Sygnał fałszywej wiadomości czy nie?Przy każdej informacji wybierz jedną odpowiedź.

Pośpiech i groźba

Prośba o kod z SMS-a

Znajomo brzmiący podpis urzędu

Prośba „nie mów nikomu”

Ćwiczenie 4. Ułóż reakcję na komunikat o zaszyfrowaniu plików.Klikaj kolejno.

Dzwonisz pod numer z karty stanowiskowej
Odłączasz sprzęt od sieci
Nie płacisz i nie piszesz do przestępców

Ćwiczenie 5. Zaznacz, co robisz zawsze.

Sprawdzam prośbę o dane lub pieniądze drugim kanałem.
Nie podaję hasła ani kodu nikomu.
Ostrzegam uczestników przed oszustami.