Zagrożenia cyfrowe w mojej pracy
2.1 Kto i po co atakuje
Atakujący chcą pieniędzy, danych albo dostępu do systemu. Dane osób w kryzysie można sprzedać lub wykorzystać do szantażu. Twoja rola jest ważna dla oszustów. Masz upoważnienia, wiele kont i kontakt z organami. Oszust nie musi włamywać się do systemu. Wystarczy, że namówi ciebie.
Rysunek 3 pokazuje, którędy próby oszustwa trafiają do biura. Najczęściej to e-mail.
Dlaczego to ważne? Skoro większość prób przychodzi pocztą, największy efekt daje ostrożność przy poczcie.
Oszust szuka pośpiechu, strachu i autorytetu. Gdy czujesz presję, zatrzymaj się.
2.2 Fałszywe wiadomości e-mail (phishing)
Phishing (fałszywa wiadomość, która ma wyłudzić hasło lub dane) udaje urząd, sąd, kuriera albo przełożonego. W twojej pracy najczęściej udaje kontrolę, skargę lub pismo od organu. Wiadomość ma załącznik albo link.
Rysunek 4 pokazuje taki mail. Poszukaj sygnałów z listy.
- 1Dziwny adres nadawcyAdres kończy się na obcej domenie. Urząd pisze z własnej.
- 2Pośpiech w temacie„PILNE” i krótki termin mają wyłączyć ostrożność.
- 3Ogólne powitanie„Szanowni Państwo” zamiast nazwy jednostki i numeru upoważnienia.
- 4Załącznik ZIP z hasłem w treściTak omija się ochronę poczty.
- 5Link do logowaniaPrzycisk prowadzi do obcej strony, która zbiera hasła.
- 6Podpis bez osobyBrak imienia, telefonu i numeru sprawy. Nie ma kogo sprawdzić.
Siódmy sygnał: wiadomość prosi o hasło lub dane. Urząd nie robi tego w mailu.
- Patrzę na adres nadawcy w całości.
- Nie otwieram załącznika, gdy coś mnie niepokoi.
- Sprawdzam urząd telefonem na znany numer.
- Zgłaszam wiadomość zgodnie z zasadami jednostki.
- Nie klikam linków do logowania.
- Nie odpisuję oszustowi.
- Nie przesyłam podejrzanego maila koledze.
- Nie podaję hasła w odpowiedzi.
Dlaczego? Odpowiedź potwierdza oszustowi, że adres działa. Przesłany dalej mail naraża kolejną osobę.
2.3 Fałszywe telefony (vishing) i SMS-y (smishing)
Vishing to oszustwo przez telefon. Smishing to oszustwo przez SMS. Rozmówca podaje się za prokuraturę, policję, sąd, kontrolera, bank lub kuriera. Zna nazwę jednostki, a czasem nazwiska. Mówi szybko i naciska.
W twojej pracy najgroźniejsza jest prośba o dane skarżącego lub sygnalisty. Organ, który naprawdę ich potrzebuje, wysyła pismo z podstawą i podpisem. Taką prośbę rozpatruje osoba upoważniona w jednostce. Nie robi tego każdy pracownik przez telefon.
| Kto dzwoni | Co mówi | Co robisz |
|---|---|---|
| „Prokuratura”, „policja” | „Sprawa pilna. Proszę o adres skarżącego.” | Nie podajesz danych. Kończysz rozmowę. Kontakt sprawdzasz na oficjalnej stronie. Pytasz przełożonego. |
| „Sąd” | „Jutro rozprawa. Potrzebny numer PESEL.” | Numer sądu bierzesz z akt. Dane przekazuje osoba upoważniona, na piśmie. |
| „Kontroler” | „Jestem w drodze. Przygotujcie wszystkie akta.” | Prosisz o upoważnienie na piśmie. Sprawdzasz urząd. Wydajesz tylko wskazany zakres. |
| „Bank” | „Podaj kod z SMS-a. Konto jest zagrożone.” | Kończysz rozmowę. Kodu nie podajesz nikomu. Zgłaszasz. |
| „Kurier” | SMS: „Dopłać 1,80 zł do przesyłki.” | Nie klikasz. Przesyłkę sprawdzasz na stronie, którą sam wpisujesz. |
| „Dyrektor” | „Pilnie wyślij dokumenty na mój prywatny adres.” | Dzwonisz do dyrektora na znany numer. Zgłaszasz próbę oszustwa. |
Tabela 2. Kto dzwoni i co robisz. Nazwy instytucji są przykładowe.
Rysunek 5 pokazuje fałszywy SMS. Rysunek 6 pokazuje cztery kroki sprawdzenia rozmówcy.
- 1Zwykły numer komórkowyFirma kurierska nie pisze z prywatnego numeru.
- 2Brak numeru przesyłkiPrawdziwy SMS ma numer, który możesz sprawdzić.
- 3Mała dopłataChodzi o dane karty, nie o kwotę.
- 4Obcy linkAdres nie jest adresem kuriera.
- 5Krótki termin„Do końca dnia” to presja czasu.
- Kończę rozmowę, gdy ktoś prosi o dane osób.
- Numer instytucji biorę z oficjalnej strony lub z akt.
- Pytam przełożonego, kto odpowiada organom.
- Zgłaszam próbę wyłudzenia.
- Nie podaję danych przez telefon.
- Nie oddzwaniam na numer podany przez rozmówcę.
- Nie klikam linków z SMS-a.
- Nie ukrywam rozmowy, gdy ktoś o to prosi.
Dlaczego? Prośba o milczenie to sygnał oszustwa. Uczciwy rozmówca nie boi się sprawdzenia.
2.4 Podszywanie się pod przełożonego i kontrahenta
Oszust pisze lub dzwoni jako dyrektor, kierownik, dostawca albo wykonawca. Prosi o pilny przelew, skan umowy lub zmianę numeru konta. Podrabia adres, głos, a czasem wideo. Zmiana konta dostawcy usług, na przykład strony BIP, to częsty trik.
- 1Adres nadawcyRóżni się jedną literą od adresu dostawcy z umowy.
- 2Zmiana numeru kontaNowy rachunek podany w mailu, bez potwierdzenia.
- 3Kod QR zamiast danych przelewuNie widzisz, dokąd prowadzi kod.
- 4Termin „dziś”Nacisk na płatność w jeden dzień.
- 5Brak numeru umowyPrawdziwa faktura odwołuje się do znanej umowy.
- Zmianę konta potwierdzam telefonem na numer z umowy.
- Adres sprawdzam znak po znaku.
- Dane do przelewu biorę z umowy lub z ewidencji umów.
- Prośbę „od dyrektora” sprawdzam na znany numer.
- Nie płacę kodem QR z maila.
- Nie reaguję na słowa „dziś” i „pilne”.
- Nie wysyłam skanów umów na prywatny adres.
- Nie podaję danych na prośbę z nowego numeru.
Dlaczego? Pomyłka w przelewie rzadko wraca. Jeden telefon do dostawcy ją zatrzymuje.
2.5 Hasła i logowanie dwuetapowe
Dobre hasło to długa fraza z kilku słów. Na przykład cztery losowe słowa. Każda usługa ma inne hasło. Hasła trzymasz w narzędziu zatwierdzonym przez jednostkę. Logowanie dwuetapowe (dodatkowy kod lub potwierdzenie w telefonie) chroni konto, nawet gdy hasło wycieknie.
Kod z SMS-a to klucz do konta. Podajesz go tylko tam, gdzie sam się logujesz. Nikt, kto dzwoni, nie ma prawa go żądać.
W twojej pracy ważne są konta główne usług, takich jak BIP i poczta ogólna. Nie powinna ich mieć jedna osoba. Każda osoba ma własne konto. Co najmniej dwie osoby mają uprawnienia administratora. Dlaczego? Gdy jedyna osoba zachoruje lub odejdzie, nikt nie poprawi błędu w BIP. Wspólne hasło ukrywa też, kto co zmienił.
| Konto | Kto powinien mieć dostęp | Jak chronisz |
|---|---|---|
| Konto główne BIP | dwie osoby administrujące, reszta z własnymi kontami | dwuetapowe logowanie, hasła w menedżerze, przegląd uprawnień |
| Poczta ogólna | osoby wskazane w upoważnieniu | osobne loginy, bez wspólnego hasła |
| Folder ze zgłoszeniami sygnalistów | tylko osoby z upoważnienia | dostęp nadaje jedna wyznaczona osoba, ślad w dzienniku |
| Ewidencja umów | osoby, które muszą wpisywać lub czytać | odrębne uprawnienia do odczytu i zmiany |
Tabela 3. Kto powinien mieć dostęp do czego.
Hasło jest osobiste. Nie dajesz go koledze ani przełożonemu. Dlaczego? Bo pod twoim kontem odpowiadasz za wszystko, co ktoś zrobi.
2.6 Załączniki, pliki, kody QR i pendrive’y
Załącznik lub link od nieznanego nadawcy może uruchomić złośliwy program. Kod QR to ukryty link. Nie widzisz, dokąd prowadzi. Pendrive znaleziony na parkingu może być przynętą.
Pliki, które sam wysyłasz lub publikujesz, też zdradzają więcej, niż widać. Zaczernienie kolorem ukrywa tekst tylko przed okiem. Rysunek 8 pokazuje różnicę. W pliku mogą zostać komentarze, autor i historia zmian. Dlatego dane w BIP usuwasz z pliku, a nie z widoku.
- 1Czarne pasy na ekranieTo tylko kolor czcionki lub tła. Tekst pod spodem nadal jest.
- 2Tekst da się zaznaczyćWystarczy zaznaczyć i skopiować, by zobaczyć dane.
- 3Właściwości plikuAutor, nazwa komputera i inne dane zostają w pliku.
- 4Komentarze i historia zmianWewnętrzne uwagi mogą trafić do publiczności.
- Otwieram tylko załączniki, których się spodziewam.
- Adres strony wpisuję ręcznie.
- Przed publikacją zaznaczam, kopiuję i czytam właściwości pliku.
- Znaleziony pendrive oddaję osobie wskazanej w jednostce.
- Nie skanuję kodów QR z kartek i naklejek.
- Nie podłączam obcych pendrive’ów.
- Nie zaczerniam tekstu kolorem.
- Nie publikuję plików z komentarzami.
Dlaczego? Raz opublikowany plik pobiorą setki osób. Cofnąć tego się nie da.
2.7 Złośliwe oprogramowanie i blokada danych (ransomware)
Ransomware (program, który szyfruje pliki i żąda okupu) zatrzymuje pracę całej jednostki. Zwykle zaczyna się od jednego kliknięcia. Widzisz komunikat o zaszyfrowanych plikach albo żądanie zapłaty. Komputer może też działać bardzo wolno, a pliki zmieniają nazwy.
- Odłączam komputer od sieci: kabel albo Wi-Fi.
- Nie wyłączam komputera, chyba że pomoc IT każe.
- Dzwonię: informatyk lub pomoc techniczna jednostki.
- Zapisuję godzinę i to, co się działo.
- Nie płacę okupu.
- Nie próbuję naprawiać sam.
- Nie ukrywam problemu.
- Nie przenoszę plików na pendrive.
Dlaczego? Odłączenie zatrzymuje rozchodzenie się szkodnika. Ślady w komputerze pomagają informatykowi.
2.8 Telefon służbowy i prywatny, komunikatory, zdjęcia dokumentów
Prywatny komunikator wygodnie wysyła zdjęcia. Ale kopie lądują w chmurze i na innych urządzeniach. Jednostka nie ma nad nimi kontroli. Dane skarżących i sygnalistów zostają w kanałach, które jednostka zatwierdziła.
- Używam poczty i telefonu służbowego.
- Dokument od interesanta przyjmuję kanałem urzędowym.
- Gdy zdjęcie jest niezbędne, robię je sprzętem służbowym.
- Po przeniesieniu zdjęcia do akt usuwam je z telefonu.
- Nie rozmawiam o sprawach przez prywatny komunikator.
- Nie wysyłam skanów umów na prywatne konto.
- Nie podaję prywatnego numeru interesantom.
- Nie udostępniam zdjęć dokumentów w grupach.
Dlaczego? Zdjęcie w prywatnej chmurze zostaje tam latami. Usunąć je trudno.
2.9 Sztuczna inteligencja: czego nie wklejam, podrobiony głos i obraz
Publiczne narzędzia AI przechowują wpisany tekst i mogą go czytać. Skarga, notatka z kontroli albo zgłoszenie sygnalisty nie trafiają do takiego narzędzia. Samo usunięcie nazwiska nie wystarcza, bo szczegóły wskazują osobę. Korzystasz tylko z narzędzi zatwierdzonych przez jednostkę.
Głos i obraz można dziś podrobić (deepfake). „Dyrektor” może zadzwonić głosem dyrektora. Przy nietypowej prośbie oddzwaniasz na znany numer.
- Streszczam skargi sam lub w narzędziu zatwierdzonym.
- Przy dziwnej prośbie głosem przełożonego oddzwaniam.
- Pytam, jakie narzędzia AI wolno mi używać.
- Nie wklejam skarg, zgłoszeń i notatek z kontroli do publicznych czatów.
- Nie wysyłam do AI zdjęć dokumentów.
- Nie wierzę głosowi tylko dlatego, że brzmi znajomo.
Dlaczego? Tekst wpisany do czatu trafia do obcej firmy. Nie wiesz, gdzie zostanie.
Prośba o dane głosem przełożonego to nadal prośba do sprawdzenia.
2.10 Praca poza biurem
Jedziesz na kontrolę, do sądu albo pracujesz z domu? Zasady są te same. Ekran widać w pociągu i w kawiarni. Publiczne Wi-Fi bywa podsłuchiwane. Laptop w samochodzie to łakomy łup. Szczegóły wyjazdów opisuje procedura pracy w terenie.
- Pracuję z danymi tam, gdzie nikt nie widzi ekranu.
- Łączę się przez sieć wskazaną przez jednostkę.
- Laptop i teczkę mam przy sobie.
- Blokuję ekran, gdy odchodzę.
- Nie łączę się z darmowym Wi-Fi, gdy pracuję na danych.
- Nie zostawiam sprzętu w samochodzie.
- Nie wysyłam plików na prywatny adres.
- Nie rozmawiam o sprawach w pociągu.
Dlaczego? Obca osoba zobaczy ekran i usłyszy rozmowę. Skradziony laptop to wyciek wszystkich danych.
Która z opisanych prób oszustwa jest w twojej pracy najbardziej prawdopodobna? Dlaczego?
Co ustalisz z zespołem w sprawie kont głównych BIP i poczty?