Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo wykonasz „pilne polecenie dyrektora”. Dlatego fałszywa wiadomość wygląda jak zwykła korespondencja.

2.1. Kto i po co atakuje

Do kancelarii trafia najwięcej poczty, więc atakujący zaczynają tutaj. Chcą pieniędzy, danych i dostępu do systemu. Sekretariat bywa celem oszustwa „na dyrektora”. Większość ataków zaczyna się od wiadomości albo telefonu (rysunek 3).

Rysunek 3. Udział sposobów ataku – dane przykładowe, pokazują proporcje, nie są statystyką.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz do nadawcy na numer, który znasz. Dzięki temu oszust nie podszyje się pod nikogo.

Dla zainteresowanych

Takie oszustwo nazywa się phishingiem – od angielskiego „łowienia”. Przy SMS-ach to smishing, przy telefonach vishing. Oszustwo „na dyrektora” to phishing wymierzony w sekretariat.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2. Fałszywe wiadomości e-mail (phishing)

Jak to wygląda. Wiadomość udaje sąd, kancelarię lub urząd. Często zawiera „pismo” do otwarcia (rysunek 4).

Rysunek 4. Przykład fałszywego e-maila (fikcyjny) – pięć sygnałów widać na pierwszy rzut oka.

7 sygnałów ostrzegawczych

1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „dziś”, „uznane za niedoręczone”.
3
Ogólne powitanieKtoś, kto Cię zna, pisze po nazwisku lub roli.
4
Link prowadzi gdzie indziejPrzytrzymaj palec na linku. Adres nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip lub .exe, na który nie czekasz.
6
Prośba o hasło lub kodNikt z Twojej jednostki nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, nietypowa godzina, inny styl.

Co robisz. Nie klikasz i nie otwierasz załącznika. Zgłaszasz wiadomość. Czego nie robisz. Nie odpisujesz z pytaniem „czy to prawda?”. Oszust zawsze potwierdzi.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość Cię pogania, tym wolniej ją czytaj.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.3. Fałszywe telefony (vishing) i SMS-y (smishing)

Jak to wygląda. Dzwoni „kancelaria prawna”, „bank”, „sąd” albo „kurier”. Rozmówca mówi pewnie i pogania. Zobacz rysunek 5.

Po czym poznasz.

Prosi o adres, status pisma, kod z SMS-a albo pilny przelew.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie, ale da się go podrobić.

Co robisz. Mówisz: „Oddzwonię” albo „Proszę o pismo”. Numer instytucji bierzesz z akt lub z jej oficjalnej strony. Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.

Czego nie robisz. Nie podajesz adresów ani statusu pism niesprawdzonej osobie. Nie klikasz linków w SMS-ach o dopłatach.

Dlaczego. Adres podany przez telefon może posłużyć do nękania człowieka.

Rysunek 5. Fikcyjny SMS: 1 – nadawca udaje kuriera, 2 – groźba, 3 – obcy link.

2.4. Podszycie pod dyrektora i dostawcę

Jak to wygląda. Wiadomość przychodzi „od dyrektora” z adresu podobnego do służbowego. Prosi o pilny przelew, przesłanie skanów albo zmianę numeru konta. Zobacz rysunek 6.

Rysunek 6. Fikcyjna prośba: 1 – adres podobny do służbowego, 2 – pośpiech w temacie, 3 – pilny przelew, 4 – zakaz rozmowy.

Co robisz. Prośbę potwierdzasz telefonem na znany numer dyrektora. Czego nie robisz. Nie robisz przelewu na podstawie samego maila. Dlaczego. Pieniądze wysłane oszustowi rzadko wracają.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Schemat drugiego kanału

Rysunek 7. Zasada drugiego kanału: prośbę sprawdzasz telefonem na znany numer.

2.5. Hasła i logowanie dwuetapowe

Co robisz. Tworzysz hasło z trzech lub czterech przypadkowych słów, np. „kubek-zegar-las-niebo”. Do każdego systemu masz inne hasło. Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz. Czego nie robisz. Nie podajesz hasła ani kodu nikomu, także informatykowi. Nie zapisujesz hasła na kartce. Dlaczego. Kto zna Twoje hasło, działa w systemie jako Ty.

2.6. Załączniki, linki, kody QR i pendrive’y

Jak to wygląda. Archiwum .zip od nieznanego nadawcy, naklejony kod QR albo pendrive „z dokumentami do sprawy” od interesanta. Co robisz. Adres strony urzędu lub banku wpisujesz sam. Obcy pendrive oddajesz do pomocy IT. Czego nie robisz. Nie skanujesz kodów QR z przypadkowych kartek. Nie podłączasz obcych nośników. Dlaczego. Kod QR to ukryty link, a pendrive może zablokować pracę całej jednostki.

2.7. Blokada danych dla okupu (ransomware)

Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki nie dają się otworzyć. Co robisz. Odłączasz sprzęt od sieci i dzwonisz pod numer z karty stanowiskowej. Komputera nie wyłączasz, chyba że każe tak pomoc IT. Czego nie robisz. Nie płacisz i nie piszesz do przestępców. Dlaczego. Szybkie odcięcie sieci chroni rejestr korespondencji.

2.8. Telefon służbowy, komunikatory i skanery

Co robisz. Masz blokadę ekranu z kodem. Skaner masz ustawiony na stałe adresy w jednostce. Czego nie robisz. Nie wysyłasz skanów na adresy prywatne. Nie robisz zdjęć pism prywatnym telefonem. Dlaczego. Skan na złym adresie to wyciek danych.

2.9. Sztuczna inteligencja i podrobiony głos

Jak to wygląda. Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Wszystko, co wkleisz, trafia do zewnętrznej firmy. Przestępcy podrabiają też głos dyrektora. Co robisz. Do publicznych czatów wklejasz tylko tekst bez danych ludzi. Nietypową prośbę „dyrektora” sprawdzasz telefonem na znany numer. Czego nie robisz. Nie wklejasz treści pism ani nazwisk. Dlaczego. Wklejonego tekstu nie da się wycofać z cudzego serwera.

2.10. Praca poza biurem

Co robisz. Z internetu korzystasz w sprzęcie służbowym. Czego nie robisz. Nie łączysz sprzętu służbowego z darmowym Wi-Fi. Nie czytasz pism w miejscach publicznych. Dlaczego. W miejscu publicznym każdy może zobaczyć ekran albo podsłuchać połączenie.

Moje notatki z tematu

Którą sztuczkę mogę spotkać najczęściej przy moim stanowisku? Komu powiem o zasadzie drugiego kanału?

Krok 2 · Zrozum

Fałszywe pisma, telefony i prośby „dyrektora”

Oszust nie musi włamywać się do systemu. Wystarczy, że Ty klikniesz w link albo wykonasz „pilne polecenie dyrektora”. Do kancelarii trafia najwięcej poczty, więc atakujący zaczynają właśnie tutaj.

AFałszywy e-mail — siedem sygnałów

Wiadomość udaje sąd, kancelarię lub urząd i często zawiera „pismo” do otwarcia. Gdy wiadomość podpisana „Kancelaria” przychodzi z adresu w obcej domenie, to prawdopodobnie fałszywa wiadomość: nazwę łatwo podrobić, a adres po znaku @ zdradza oszustwo.

Sygnał	Co widzisz	Dlaczego to ważne
Dziwny adres nadawcy	Nazwa się zgadza, ale adres po „@” jest obcy	Nazwę łatwo podrobić
Pośpiech i groźba	„Pilne”, „dziś”, „uznane za niedoręczone”	Pośpiech ma wyłączyć myślenie
Ogólne powitanie	Brak nazwiska lub roli	Ktoś, kto Cię zna, pisze po nazwisku lub roli
Link prowadzi gdzie indziej	Adres nie pasuje do nadawcy	Strona jest podrobiona
Niespodziewany załącznik	Archiwum .zip od nieznanego nadawcy, plik .exe, plik .js	Archiwa i programy mogą uruchomić złośliwy kod
Prośba o hasło lub kod	Formularz „weryfikacji”	Nikt z jednostki nie poprosi o hasło mailem
Coś się nie zgadza	Błędy językowe, nietypowa godzina	Inny styl niż zwykle

Nie klikasz i nie otwierasz załącznika, a wiadomość zgłaszasz. Nie odpisujesz z pytaniem „czy to prawda?” — oszust zawsze potwierdzi, więc odpowiedź niczego nie sprawdza.

Zasada

Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz do nadawcy na numer, który znasz. Dlaczego: wiadomość można podrobić, a telefon na znany numer sprawdza prawdziwą osobę.

BTelefon i SMS — vishing i smishing

Dzwoni „kancelaria prawna”, „bank”, „sąd” albo „kurier”. Rozmówca mówi pewnie i pogania. Prosi o adres, status pisma, kod z SMS-a albo pilny przelew. Bank nigdy nie prosi o kod z SMS-a — to najgroźniejszy sygnał, bo kod otwiera dostęp do konta.

Robisz

rozłączasz się i zgłaszasz rozmowę — numer instytucji bierzesz z akt albo z jej oficjalnej strony
zgłaszasz próbę wyłudzenia, nawet jeśli nic nie podałeś — ostrzeżesz innych
sprawdzasz prośbę, dzwoniąc na numer, który znasz — telefon na znany numer sprawdza prawdziwą osobę

Nie robisz

nie klikasz linku w SMS-ie o dopłacie do przesyłki — mała kwota to przynęta na dane karty
nie klikasz w link z SMS-a dla ciekawości — samo wejście może pobrać złośliwy plik
nie ufasz numerowi na wyświetlaczu — numer da się podrobić
nie podajesz adresów ani statusu pism niesprawdzonej osobie — adres podany przez telefon może posłużyć do nękania człowieka

CPodszycie pod dyrektora i dostawcę

Wiadomość przychodzi „od dyrektora” z adresu podobnego do służbowego. Prosi o pilny przelew, przesłanie skanów albo zmianę numeru konta. Gdy dyrektor pisze z prywatnego adresu „Pilnie opłać fakturę”, dzwonisz do dyrektora na znany numer, bo pilna prośba o przelew z prywatnego adresu to znany trik. Przelewu nie robisz na podstawie samego maila — pieniądze wysłane oszustowi rzadko wracają.

Gdy dzwoni znajomy głos dyrektora z prośbą o pilny przelew, dzwonisz do dyrektora na znany numer. Głos można podrobić.

Zasada

Prośbę o pieniądze lub zmianę konta potwierdzasz telefonem na znany numer. Dlaczego: podrobiony adres wygląda jak prawdziwy.

DHasła, nośniki, okup, czaty AI, skaner i praca poza biurem

Temat	Robisz	Nie robisz i dlaczego
Hasło	Cztery przypadkowe słowa, np. kubek-zegar-las-niebo, inne do każdego systemu — są długie i łatwe do zapamiętania	Nie podajesz hasła ani kodu nikomu, także informatykowi — nikt z jednostki nie poprosi o hasło ani kod
Pendrive	Obcy pendrive oddajesz do pomocy informatyk lub pomoc techniczna jednostki	Nie podłączasz go — pendrive może zawierać złośliwy program
Kod QR	Adres strony wpisujesz sam	Nie skanujesz kodów z kartek — kod QR to ukryty link
Okup	Odłączasz sprzęt od sieci i zgłaszasz	Nie płacisz i nie piszesz do przestępców — szybkie odcięcie sieci chroni inne komputery
Czat AI	Wklejasz tylko ogólne pytanie bez danych ludzi	Nie wklejasz treści pism z danymi, skanów wniosków ani adresów interesantów — wklejonego tekstu nie da się wycofać z cudzego serwera
Skaner	Skaner masz ustawiony na stałe adresy w jednostce	Nie wysyłasz skanów na dowolny adres — skan może trafić do złej osoby
Praca poza biurem	Korzystasz ze sprzętu służbowego	Nie łączysz go z darmowym Wi-Fi — obcy może podglądać połączenie

Ransomware to program szyfrujący pliki i żądający okupu. Gdy na ekranie pojawia się żądanie okupu, odłączasz sieć i zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Komputera nie wyłączasz, chyba że każe tak pomoc IT.

Zapamiętaj

Pośpiech to narzędzie oszusta. Dlaczego: im bardziej wiadomość Cię pogania, tym wolniej ją czytaj.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. „Dyrektor” pisze z prywatnego adresu o pilnym przelewie. Co robisz?

Przygotowuję przelew, bo dyrektor prosi.

Dzwonię do dyrektora na znany numer.

Odpisuję z pytaniem, czy to na pewno on.

Ćwiczenie 2. „Bank” prosi o kod z SMS-a. Co robisz?

Podaję kod.

Rozłączam się i zgłaszam.

Podaję pierwsze cyfry.

Ćwiczenie 3. Sygnał fałszywej wiadomości czy nie?Przy każdej informacji wybierz jedną odpowiedź.

Pośpiech i groźba

Prośba o kod z SMS-a

Podpis „Kancelaria” pod wiadomością

Archiwum .zip od nieznanego nadawcy

Ćwiczenie 4. Ułóż reakcję na komunikat o zaszyfrowaniu plików.Klikaj kolejno.

Dzwonisz pod numer z karty stanowiskowej
Odłączasz sprzęt od sieci
Nie płacisz i nie piszesz do przestępców

Ćwiczenie 5. Zaznacz, co robisz zawsze.

Sprawdzam prośbę o dane lub pieniądze drugim kanałem.
Nie podaję hasła ani kodu nikomu.
Podejrzaną wiadomość zgłaszam, a nie usuwam.