Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 30 min

Zagrożenia cyfrowe w mojej pracy

To najważniejszy moduł. Większość szkód zaczyna się od jednej wiadomości albo jednego telefonu. Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz albo podasz dane.

Każdy podrozdział ma cztery części. Jak to wygląda, po czym poznasz, co robisz i czego nie robisz.

2.1 Kto atakuje kadry i po co

Kadry i płace to skarbiec jednostki. W jednym miejscu są PESEL-e, adresy, numery kont, zwolnienia lekarskie i dane rodzin. Przestępcy o tym wiedzą.

Po co atakują

Chcą pieniędzy: podmieniają numer konta i wypłata trafia do nich. Chcą danych: biorą kredyt na cudze dane albo szantażują ludzi. Chcą dostępu: twoje hasło do systemu płac otwiera dane wszystkich pracowników. Chcą wpływu: wiedza o chorobie lub długach to narzędzie nacisku.

Zobacz rysunek 3. Najczęściej atak zaczyna się od zwykłego e-maila.

**Rysunek 3.** Sposoby ataku na kadry i płace – dane przykładowe, pokazują proporcje, nie są statystyką.

Dlaczego to ważne: Gdy znasz cel oszusta, łatwiej rozpoznasz jego sztuczki.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2 Fałszywe wiadomości e-mail (phishing)

Phishing (czytaj: fiszing) to fałszywa wiadomość. Ma wyłudzić hasło, dane lub pieniądze. Często wygląda jak zwykła sprawa służbowa.

Jak to wygląda. Wiadomość udaje urząd, bank, kuriera albo dostawcę systemu płac. W kadrach ma często temat „korekta deklaracji”, „zmiana rachunku” albo „CV”. Zobacz rysunek 4. Numery na rysunku odpowiadają numerom sygnałów na liście.

**Rysunek 4.** Fałszywy e-mail (ćwiczenie) – pięć sygnałów widać na pierwszy rzut oka.

Po czym poznasz: 7 sygnałów

1
Dziwny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy.
2
Pośpiech i groźba„Pilne”, „do 15:00”, „wypłata zostanie wstrzymana”. Presja ma wyłączyć myślenie.
3
Ogólne powitanieKtoś, kto cię zna, pisze po imieniu lub nazwisku.
4
Link prowadzi gdzie indziejAdres strony nie pasuje do nadawcy.
5
Niespodziewany załącznikPlik .zip, .exe albo „deklaracja”, na którą nie czekasz.
6
Prośba o hasło lub kodNikt z jednostki nie poprosi o hasło mailem.
7
Coś się nie zgadzaBłędy językowe, dziwna godzina, inny styl niż zwykle.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.2 Phishing – co robisz

Co robisz

Sprawdzasz adres nadawcy, nie tylko nazwę.
Najeżdżasz kursorem na link i czytasz adres strony.
Przy prośbie o dane lub pieniądze dzwonisz do nadawcy na znany numer.
Podejrzaną wiadomość zgłaszasz zgodnie z zasadami jednostki.

Czego nie robisz

Nie klikasz linków z nieoczekiwanych wiadomości.
Nie otwierasz plików .zip, .exe i „deklaracji”, na które nie czekasz.
Nie odpisujesz z pytaniem, czy wiadomość jest prawdziwa.

Dlaczego: Jedno kliknięcie może otworzyć oszustowi pocztę z danymi wszystkich pracowników.

Zapamiętaj

Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytaj.

2.3 Fałszywe telefony i SMS-y

Vishing (czytaj: wiszing) to oszustwo przez telefon. Smishing to oszustwo przez SMS. Oszust podaje się za urząd, bank, sąd, komornika, kuriera albo dyrektora.

Jak to wygląda. Rozmówca zna nazwę jednostki i twoje nazwisko. Mówi pewnie i fachowo. Prosi o listę pracowników, ich PESEL-e albo potwierdzenie zarobków. Bank dzwoni z pytaniem o zatrudnienie pracownika? To także może być oszustwo.

Po czym poznasz

Prosi o dane pracowników, PESEL albo kod z SMS-a.
Pogania i nie pozwala się rozłączyć.
Każe nikomu nie mówić o rozmowie.
Numer na wyświetlaczu wygląda wiarygodnie, ale da się go podrobić.

Co robisz

Mówisz: „Oddzwonię”, i kończysz rozmowę.
Numer bierzesz z akt albo z oficjalnej strony.
Prośby o dane pracownika przyjmujesz tylko na piśmie, po sprawdzeniu.
Próbę wyłudzenia zgłaszasz, nawet jeśli nic nie podałeś.

Czego nie robisz

Nie podajesz danych osobie, której nie sprawdziłeś.
Nie oddzwaniasz na numer podany przez rozmówcę.
Nie klikasz linków w SMS-ach o zwrotach i blokadach.

Dlaczego: Podane przez telefon dane mogą posłużyć do kredytu na cudze nazwisko.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Zobacz rysunek 5. Tak sprawdzasz każdą prośbę o dane przez telefon.

**Rysunek 5.** Sprawdzanie drugim kanałem – cztery kroki, gdy ktoś prosi o dane lub pieniądze.

Zasada

Sprawdzasz innym kanałem. Gdy ktoś prosi o dane, hasło lub pieniądze, dzwonisz na numer, który znasz. Nie na numer z wiadomości. Tak sprawdzisz, kto naprawdę pyta.

2.4 Podszywanie się pod pracownika, przełożonego i dostawcę

Oszust pisze jako pracownik, kierownik, dyrektor albo stały dostawca. Prosi o coś pilnego i nietypowego. W kadrach najczęściej o zmianę numeru konta do wypłaty, o listę pracowników albo o zaliczkę.

Jak to wygląda. Wiadomość przychodzi z prywatnego adresu albo z adresu bardzo podobnego do prawdziwego. Prośba jest pilna i „poufna”. Zobacz rysunek 6.

**Rysunek 6.** Fałszywa prośba o zmianę konta (ćwiczenie) – pięć sygnałów.

1
Adres z poczty prywatnejNadawca pisze z obcej poczty, nie z adresu jednostki.
2
Temat „pilne”Pośpiech ma sprawić, że nie sprawdzisz prośby.
3
Numer konta w treściWniosek w ustalonej formie nie przychodzi w mailu bez podpisu.
4
„Nie dzwoń, odpisz mailem”Oszust nie chce rozmowy, bo głos można sprawdzić.
5
Brak wnioskuNie ma dokumentu, który da się porównać z aktami.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.4 Podszywanie się – co robisz

Po czym poznasz

Nietypowa prośba poza zwykłą drogą.
Adres różni się jedną literą albo domeną.
„Jestem na spotkaniu, nie dzwoń, zrób to teraz.”

Co robisz

Potwierdzasz prośbę telefonicznie na numer z akt.
Wymagasz wniosku w ustalonej formie.
Zapisujesz, kto i kiedy potwierdził zmianę.

Czego nie robisz

Nie zmieniasz konta na podstawie samego maila.
Nie wysyłasz danych pracowników na prywatne adresy, nawet przełożonego.

Dlaczego: Jedna podrobiona prośba oznacza, że pracownik nie dostanie wypłaty.

2.5 Hasła i logowanie dwuetapowe

Hasło do systemu płac to klucz do danych wszystkich pracowników. Logowanie dwuetapowe to drugi zamek: kod z SMS-a lub z aplikacji.

Co robisz

Tworzysz hasło z kilku przypadkowych słów, np. „latarnia-kasza-mgla-zeszyt”.
Do każdego systemu masz inne hasło.
Zmieniasz hasło od razu, gdy ktoś mógł je poznać.
Kod z SMS-a wpisujesz tylko wtedy, gdy sam się logujesz.
W czasie urlopu zastępca ma własne konto.

Czego nie robisz

Nie podajesz hasła ani kodu nikomu. Także informatykowi i przełożonemu.
Nie zapisujesz hasła na kartce przy komputerze.
Nie używasz hasła służbowego w prywatnych serwisach.

Dlaczego: Kto zna twoje hasło, działa w systemie jako ty.

Zapamiętaj

Hasła i kodu z SMS-a nie podajesz nikomu. Nikt uczciwy o nie nie prosi.

2.6 Załączniki, linki, kody QR i pendrive’y

Każdy z nich może przenieść złośliwy program. W kadrach trafiają do ciebie jako „CV”, „zwolnienie” albo „skan”. Kod QR to ukryty link. Nie widzisz, dokąd prowadzi. Zobacz rysunek 7.

**Rysunek 7.** Załączniki od kandydata – po końcówce nazwy pliku poznasz ryzyko.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.6 Załączniki i nośniki – co robisz

Po czym poznasz

Załącznik, na który nie czekasz, zwłaszcza .zip, .exe, .js, .docm.
Prośba „Włącz zawartość” lub „Włącz edycję”.
Kod QR na ulotce, piśmie albo plakacie rekrutacyjnym.
Pendrive od kandydata albo „znaleziony” na parkingu.

Co robisz

Prosisz kandydatów o zwykły plik PDF.
Adres strony urzędu lub banku wpisujesz sam.
Obcy pendrive oddajesz do pomocy IT.
Wątpliwy plik zgłaszasz.

Czego nie robisz

Nie klikasz „Włącz zawartość”.
Nie skanujesz kodów QR z przypadkowych kartek.
Nie podłączasz obcych pendrive’ów do sprzętu służbowego.

Dlaczego: Jeden plik z makrem może zablokować system płac w całej jednostce.

2.7 Blokada danych dla okupu (ransomware)

Ransomware (czytaj: rensomłer) to program, który szyfruje pliki. Potem przestępca żąda okupu za ich odblokowanie. W kadrach to szczególnie groźne tuż przed dniem wypłat.

Jak to wygląda. Ekran zmienia kolor. Pojawia się licznik czasu i żądanie zapłaty. Pliki mają dziwne nazwy i nie dają się otworzyć. Zobacz rysunek 8.

**Rysunek 8.** Ekran blokady dla okupu (ćwiczenie): 1 – komunikat, 2 – licznik czasu, 3 – żądanie wpłaty, 4 – zakaz kontaktu.

Co robisz

Odłączasz sprzęt od internetu: wyłączasz Wi-Fi albo wyjmujesz kabel.
Nie wyłączasz komputera, chyba że każe tak pomoc IT.
Od razu dzwonisz pod numer z karty stanowiskowej: informatyk lub pomoc techniczna jednostki.

Czego nie robisz

Nie płacisz i nie piszesz do przestępców.
Nie próbujesz sam „naprawić” komputera.

Dlaczego: Szybkie odcięcie sieci chroni dane innych pracowników i ciągłość wypłat.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

2.8 Telefon służbowy, komunikatory i zdjęcia

W telefonie masz pocztę, kontakty i czasem zdjęcia dokumentów. W kadrach to zwolnienia, orzeczenia i kopie dowodów. Zgubiony lub źle używany telefon zdradza dane wielu osób.

Co robisz

Masz włączoną blokadę ekranu z kodem.
Dokumenty od pracowników przyjmujesz drogą wskazaną przez jednostkę.
Zdjęcie dokumentu robisz tylko wtedy, gdy to konieczne, i tylko telefonem służbowym.
Zdjęcia przenosisz do systemu i usuwasz z telefonu najpóźniej następnego dnia roboczego.

Czego nie robisz

Nie przyjmujesz zwolnień ani skanów na prywatny komunikator.
Nie zakładasz grup z pracownikami na komunikatorach.
Nie podajesz prywatnego numeru pracownikom w sprawach służbowych.

Dlaczego: Zdjęcie w prywatnym telefonie wymyka się spod kontroli jednostki.

2.9 Sztuczna inteligencja i podrobiony głos

Czaty AI (programy, które piszą teksty na polecenie) są wygodne. Ale wszystko, co do nich wkleisz, trafia do zewnętrznej firmy. Przestępcy używają AI także do podrabiania głosu i obrazu.

Po czym poznasz

Ktoś dzwoni głosem dyrektora, ale prośba jest nietypowa, np. pilna zaliczka bez wniosku.
Nagranie wideo „z urzędu” pogania i prosi o dane.

Co robisz

Do publicznych czatów AI wklejasz tylko tekst bez danych ludzi.
Używasz tylko narzędzi AI zatwierdzonych przez jednostkę.
Nietypową prośbę „szefa” sprawdzasz, dzwoniąc na znany numer.

Czego nie robisz

Nie wklejasz do czatów AI notatek z rekrutacji, list płac ani opinii o pracownikach.
Usunięcie nazwiska nie wystarcza. Szczegóły też wskazują człowieka.

Dlaczego: Raz wklejonego tekstu nie da się już wycofać z cudzego serwera.

Zasada

Dane ludzi nie trafiają do czatu AI. Do publicznych czatów nie wklejasz niczego, co dotyczy pracowników lub kandydatów. Raz wysłanego tekstu nie da się cofnąć.

2.10 Praca poza biurem: sieć, ekran, laptop w drodze

Czasem pracujesz poza biurem: w domu, w podróży albo na szkoleniu. To miejsca, których nie kontrolujesz. Dokumenty z danymi osobowymi zabierasz tylko za zgodą kierownika i według zasad: procedura pracy w terenie.

Co robisz

Korzystasz z internetu w telefonie albo z sieci wskazanej przez jednostkę.
Ekran trzymasz tak, by nikt obcy go nie widział.
Blokujesz komputer, gdy odchodzisz choćby na chwilę.

Czego nie robisz

Nie łączysz sprzętu służbowego z publicznym Wi-Fi.
Nie czytasz akt w komunikacji miejskiej ani w kawiarni.
Nie zostawiasz laptopa w samochodzie.

Dlaczego: W publicznym miejscu każdy może zobaczyć ekran albo podsłuchać połączenie.

Moduł 2 · Zagrożenia cyfrowe w mojej pracy

15 fiszek do powtórki

Zakryj prawą kolumnę i powiedz, co znaczy hasło. Na platformie te same fiszki odwracasz kliknięciem.

Hasło	Co to znaczy i co robisz
Phishing	Fałszywy e-mail, który ma wyłudzić hasło, dane lub pieniądze.
Smishing	To samo, ale przez SMS. Często „zwrot nadpłaty”.
Vishing	Oszustwo przez telefon. Rozmówca udaje urząd, bank, sąd.
Makro	Mały program w dokumencie. Nie klikasz „Włącz zawartość”.
Ransomware	Program, który blokuje pliki i żąda okupu.
Drugi kanał	Sprawdzasz prośbę telefonem na znany numer, nie odpowiedzią.
Kod z SMS-a	Wpisujesz go tylko sam. Nie podajesz nikomu.
Kod QR	Ukryty link. Nie skanuj z przypadkowych kartek.
Pendrive	Obcy nośnik oddajesz do IT. Nie podłączasz go.
Zmiana konta	Potwierdzasz telefonicznie na numer z akt, nie na podstawie maila.
Czat AI	Nie wklejasz do niego danych ludzi.
Presja czasu	Najczęstszy sygnał oszustwa. Zwolnij.
Autouzupełnianie adresu	Sprawdzasz cały adres w polu „Do”.
Podrobiony głos	Nietypową prośbę „szefa” sprawdzasz na znanym numerze.
Zgłoszenie	Od razu, do osoby z karty stanowiskowej. Bez winy.

Zapamiętaj

Pośpiech jest narzędziem oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytaj.

Moje notatki z tematu

Którą z tych sztuczek najłatwiej byłoby zastosować wobec mnie w moim dniu pracy?

Skąd wezmę sprawdzony numer telefonu do pracownika i do urzędu?

Krok 2 · Zrozum

Fałszywe wiadomości, telefony i prośby w kadrach

Kadry i płace to skarbiec jednostki: PESEL-e, adresy, numery kont, zwolnienia i dane rodzin w jednym miejscu. Oszust nie musi włamywać się do systemu — wystarczy, że Ty klikniesz albo podasz dane.

AFałszywy e-mail i fałszywe CV

Przestępcy chcą pieniędzy (podmieniają numer konta), danych, dostępu (Twoje hasło otwiera dane wszystkich pracowników) i wpływu (wiedza o chorobie lub długach to narzędzie nacisku).

Sygnał	Co widzisz	Dlaczego to ważne
Dziwny adres nadawcy	Nazwa się zgadza, ale adres po „@” jest obcy	Adres w oszukańczym mailu może wyglądać prawie jak adres pracownika i różnić się jedną literą, dlatego patrzysz na każdą literę po znaku „@”
Pośpiech i groźba	„Pilne”, „do 15:00”, „wypłata zostanie wstrzymana”	Pośpiech i presja czasu to najczęstsze narzędzie oszusta: presja ma wyłączyć myślenie
Ogólne powitanie	Brak imienia lub nazwiska	Ktoś, kto Cię zna, pisze po nazwisku
Link prowadzi gdzie indziej	Adres strony nie pasuje do nadawcy	Strona jest podrobiona
Niespodziewany załącznik	Plik .zip, .exe, .docm	Taki plik może uruchomić złośliwy program
Prośba o hasło lub kod	Formularz „weryfikacji”	Nikt z jednostki nie poprosi o hasło mailem

E-mail z „CV kandydata” zdradzają: adres nadawcy w obcej domenie, bez związku z podpisem, załącznik kończy się na „.docm” i prośba o kliknięcie „Włącz zawartość”. Obcy adres, plik z makrem i prośba o włączenie zawartości to typowe sygnały; konkretny podpis wzbudza zaufanie, ale niczego nie dowodzi.

Plik z końcówką .docm i prośbą o włączenie zawartości oznacza, że w pliku jest makro, czyli mały program, który może zainfekować komputer. Zwykłe CV nie potrzebuje programu, a makro to najczęstszy sposób ukrycia wirusa w dokumencie.

Mail „z e-Urzędu Testowego” z żądaniem korekty deklaracji i linkiem do logowania: nie klikasz. Adres urzędu wpisujesz sam albo dzwonisz na numer z oficjalnej strony, bo link może prowadzić do fałszywej strony, która kradnie hasło. E-mail „od sądu” ze spakowanym załącznikiem i hasłem w treści: nie otwierasz i zgłaszasz wiadomość. Hasło w treści to sposób na ominięcie ochrony poczty.

Zasada

Sprawdzasz innym kanałem i nie odpisujesz „czy to Ty?”. Dlaczego: odpisuje ten sam oszust, więc odpowiedź niczego nie sprawdza.

BTelefon, SMS i podszycie pod pracownika lub dyrektora

Mail z adresu podobnego do adresu pracownika prosi o zmianę konta do wypłaty: dzwonisz do pracownika na numer z akt i prosisz o potwierdzenie. Sam mail niczego nie dowodzi, bo oszust potwierdzi w odpowiedzi, że to on — sprawdzasz innym kanałem.

Gdy pracownik dzwoni z nieznanego numeru, zna swój PESEL i prosi o zmianę konta, oddzwaniasz na numer z akt i wymagasz wniosku w ustalonej formie. PESEL oszust może znać z wycieku, a numer do oddzwonienia bierzesz z akt, nie od rozmówcy. Przy zmianie konta chronią Cię dwa niezależne sprawdzenia: oddzwonienie na numer z akt i wniosek w ustalonej formie. Dwa niezależne sprawdzenia chronią wypłatę, a odpowiedź na ten sam mail niczego nie potwierdza.

Robisz

nie podajesz hasła i zgłaszasz rozmowę, gdy „informatyk” prosi o hasło do systemu płac — prawdziwy informatyk nie pyta o hasło, a kto zna Twoje hasło, działa w systemie jako Ty
nie podajesz kodu, kończysz rozmowę i zgłaszasz, gdy ktoś prosi o kod z SMS-a, choć się nie logowałeś — ktoś próbuje wejść na Twoje konto
kończysz rozmowę i dzwonisz do dyrektora na znany numer, gdy dzwoni jego głos z prośbą o pilną zaliczkę bez wniosku — głos można podrobić przy pomocy AI

Nie robisz

nie podajesz danych o wynagrodzeniu pracownika „komornikowi” przez telefon — prosisz o pismo i przekazujesz sprawę kierownikowi według procedury, bo takie dane przekazuje jednostka właściwą drogą, na podstawie pisma, a nie przez telefon
nie wpisujesz kodu z SMS-a na prośbę rozmówcy — kod z SMS-a wpisujesz tylko sam
nie oddzwaniasz na numer podany przez rozmówcę — to może być ten sam oszust

CHasła, kody QR, pendrive i okup

Temat	Robisz	Nie robisz i dlaczego
Hasło	Hasło z kilku przypadkowych słów, np. bury-most-sowa-pole-lampa — kilka przypadkowych słów jest długie i łatwe do zapamiętania	Nie podajesz hasła nikomu i nie zapisujesz go przy komputerze
Kod QR	Adres strony wpisujesz sam	Nie skanujesz kodu z ulotki — kod QR to ukryty link, a naklejkę lub ulotkę może przygotować każdy
Pendrive	Obcy pendrive oddajesz do pomocy informatyk lub pomoc techniczna jednostki, a od kandydata prosisz o dokumenty w formie wskazanej przez jednostkę	Nie podłączasz go — obcy nośnik może zawierać wirusa, a zainfekowany komputer kadr otwiera drogę do danych wszystkich

Gdy na ekranie jest żądanie okupu (ransomware) i licznik czasu: odłączasz sprzęt od internetu, nie wyłączasz go i dzwonisz z karty stanowiskowej pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Odcięcie sieci zatrzymuje rozprzestrzenianie, a wyłączenie może zatrzeć ślady. Nie płacisz i nie piszesz do przestępców.

DCzat AI, telefon prywatny i praca poza biurem

Do publicznego czatu AI nie wklejasz: notatek z rozmowy kwalifikacyjnej, fragmentu listy płac ani opinii o pracowniku z opisem jego sytuacji. Szczegóły wskazują konkretne osoby, a usunięcie nazwiska nie wystarcza. Pytać możesz ogólnie, bez danych.

Gdy pracownik przysyła zdjęcie zwolnienia na Twój prywatny komunikator, prosisz o przesłanie zatwierdzoną drogą i nie zostawiasz zdjęcia w prywatnym telefonie. Zdjęcie w prywatnym telefonie wymyka się spod kontroli jednostki.

Gdy wracasz pociągiem i chcesz dokończyć listę płac na laptopie, odkładasz pracę na danych do biura albo bezpiecznego miejsca: w miejscu publicznym każdy może zobaczyć ekran albo podsłuchać połączenie.

Zapamiętaj

Dane ludzi nie trafiają do czatu AI. Dlaczego: raz wklejonego tekstu nie da się wycofać z cudzego serwera.

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Mail z adresu podobnego do adresu pracownika prosi o zmianę konta. Co robisz?

Zmieniam konto i odpisuję „Gotowe”.

Dzwonię do pracownika na numer z akt.

Odpisuję: „Czy na pewno to Ty?”

Ćwiczenie 2. Plik CV ma końcówkę „.docm” i prosi o włączenie zawartości. Co to znaczy?

W pliku jest makro, czyli mały program.

To zwykłe CV z ładnym formatowaniem.

To znak, że plik jest bezpieczny.

Ćwiczenie 3. Sygnał oszustwa czy niczego nie dowodzi?Przy każdej informacji wybierz jedną odpowiedź.

Prośba o kliknięcie „Włącz zawartość”

Konkretny, uprzejmy podpis

Adres różniący się jedną literą

Hasło do archiwum podane w treści maila

Ćwiczenie 4. Ułóż reakcję na żądanie okupu.Klikaj kolejno.

Dzwonisz pod numer z karty stanowiskowej
Odłączasz sprzęt od internetu
Nie wyłączasz komputera

Ćwiczenie 5. Zaznacz, co robisz zawsze.

Sprawdzam prośbę o zmianę konta drugim kanałem.
Nie podaję hasła ani kodu nikomu.
Nie wklejam danych pracowników do czatu AI.