Zagrożenia cyfrowe w mojej pracy
Oszust nie musi włamywać się do systemu. Wystarczy, że ty klikniesz link, podasz hasło albo wykonasz przelew. Dlatego ten moduł jest najważniejszy.
2.1 Kto i po co atakuje
Atakujący chcą trzech rzeczy: pieniędzy, danych i dostępu do systemów. Ośrodek pomocy społecznej jest dla nich łakomym celem. Ma pieniądze publiczne, wrażliwe dane i wielu pracowników, którzy się spieszą.
Ty masz numery kont firm, klucze, kontakty do wykonawców i dostęp do poczty. To bardzo cenne informacje. Zobacz rysunek 3: większość ataków zaczyna się od wiadomości lub telefonu.
Sprawdzasz innym kanałem. Gdy wiadomość prosi o kliknięcie, dane albo pieniądze, dzwonisz na numer, który znasz. Oszust liczy na to, że odpowiesz w pośpiechu.
2.2 Fałszywe e-maile (phishing)
Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane lub pieniądze. Mail wygląda jak zwykła sprawa służbowa. Udaje dostawcę, kuriera, bank albo kadry. Często dotyczy faktury, zamówienia lub zmiany konta.
Zobacz rysunek 4. Numery na rysunku odpowiadają numerom sygnałów na liście.
- 1Dziwny adres nadawcyNazwa firmy się zgadza, ale adres po „@” jest obcy.
- 2Pośpiech i groźba„Pilne”, „od dziś”, „zostanie wstrzymane”. Presja ma wyłączyć myślenie.
- 3Ogólne powitanieStały dostawca zna cię z imienia lub nazwiska.
- 4Zmiana numeru kontaTo najczęstszy cel oszustów. Zawsze sprawdzasz ją osobno.
- 5Prośba, by nie dzwonićUczciwa firma nie boi się pytań.
- 6Niespodziewany załącznikPlik .zip, .exe albo „faktura”, na którą nie czekasz.
- 7Coś się nie zgadzaBłędy językowe, dziwna godzina, inny styl niż zwykle.
Pośpiech to narzędzie oszusta. Im bardziej wiadomość cię pogania, tym wolniej ją czytasz.
2.3 Fałszywe telefony i SMS-y (vishing, smishing)
Vishing to oszustwo przez telefon. Smishing to oszustwo przez SMS. Dzwoni ktoś „z banku”, „z policji”, „z sądu”, „od kuriera” albo „od dyrektora”. Zna twoje nazwisko i nazwę ośrodka. Mówi pewnie i szybko.
Prosi o kod, hasło, przelew albo wpuszczenie kogoś do budynku. SMS zwykle zawiera link. Zobacz rysunek 5.
- 1Prywatny numerFirma kurierska zwykle nie pisze z numeru komórkowego.
- 2Mała dopłataChodzi o dane karty, nie o kwotę.
- 3Krótki termin„Do jutra” to presja.
- 4Obcy linkAdres nie należy do firmy.
- 5Brak numeru przesyłkiPrawdziwy SMS go podaje.
Prawdziwy czy fałszywy kurier
| Co sprawdzasz | Prawdziwy kurier | Fałszywy kurier |
|---|---|---|
| Dokument | ma list przewozowy i dowód | nie pokazuje dokumentów |
| Wejście na piętro | czeka przy wejściu na rejestr | naciska, że „nie ma czasu” |
| Dopłata | nie pobiera jej przez link | żąda małej kwoty przez link |
| Pytania | nie pyta o numery pracowników | pyta o numery i nazwiska |
| Ty robisz | przyjmujesz przy wejściu, wpisujesz do rejestru | sprawdzasz, nie wpuszczasz, zgłaszasz |
Co robisz, gdy ktoś dzwoni „z urzędu”
Rozmówca może podszywać się pod bank, policję lub sąd. Sprawdź go, zanim cokolwiek powiesz.
- Kończysz rozmowę i oddzwaniasz na numer z umowy lub karty.
- Pytasz, kto dzwoni, w jakiej sprawie i do kogo.
- Zgłaszasz próbę osobie z karty stanowiskowej.
- Nie podajesz kodów, haseł ani danych pracowników.
- Nie oddzwaniasz na numer podany przez rozmówcę.
- Nie klikasz linków z SMS-ów od „kuriera”.
Dlaczego: Numer na ekranie można podrobić. Tylko numer, który znasz, jest pewny.
2.4 Podszywanie się pod przełożonego i dostawcę
Oszust udaje dyrektora, kierownika albo stałego dostawcę. Prosi o pilny przelew lub zmianę numeru konta. Czasem używa podrobionego głosu. W zamówieniach to najgroźniejszy atak, bo pieniądze znikają bez śladu.
Gdy ktoś zmienia numer konta, stosuj cztery kroki z rysunku 6. Kolejność ma znaczenie.
Zmianę konta potwierdzasz telefonem. Dzwonisz na numer, który masz w umowie lub w starych dokumentach. Dzięki temu rozmawiasz z prawdziwą firmą, a nie z oszustem.
2.5 Hasła i logowanie dwuetapowe
Hasło to klucz do poczty, zamówień i bankowości. Dobre hasło to kilka losowych słów, na przykład „kubek-zegar-las-niebo”. Drugi składnik logowania to kod z SMS-a lub aplikacji.
- Telefon od „informatyka” z prośbą o hasło.
- Mail od „banku” z oknem logowania.
- Kod z SMS-a, choć nic nie robisz.
- Masz osobne hasło do każdego konta.
- Kod wpisujesz tylko sam.
- Podejrzaną prośbę zgłaszasz.
- Nie podajesz hasła nikomu.
- Nie zapisujesz go przy monitorze.
- Nie używasz tego samego hasła w pracy i prywatnie.
Dlaczego: Kto zna twoje hasło, działa w ośrodku jako ty.
2.6 Załączniki, linki, kody QR i pendrive’y
Złośliwy program wchodzi przez plik, link, kod QR lub nośnik. Kod QR to ukryty link, bo nie widzisz adresu. W zamówieniach dostajesz wiele plików od obcych firm, więc ryzyko rośnie.
- Załącznik .zip lub .exe.
- Faktura bez zamówienia.
- Kod QR na przypadkowej nalepce.
- Pendrive znaleziony na parkingu.
- Najeżdżasz na link i czytasz adres.
- Nadawcę pliku sprawdzasz innym kanałem.
- Pendrive oddajesz pomocy IT.
- Nie skanujesz kodów z przypadkowych kartek.
- Nie podłączasz obcych nośników.
- Nie włączasz makr w pliku od obcej firmy.
Dlaczego: Jeden otwarty plik może zablokować pracę całego ośrodka.
2.7 Złośliwe oprogramowanie i blokada danych (ransomware)
Ransomware to program, który blokuje pliki i żąda okupu. Na ekranie pojawia się komunikat z licznikiem czasu. Atak może zatrzymać pracę całego ośrodka, także wypłaty świadczeń.
- Pliki mają dziwne nazwy i się nie otwierają.
- Na ekranie jest żądanie okupu.
- Odłączasz kabel sieciowy albo Wi-Fi.
- Zostawiasz komputer włączony.
- Dzwonisz pod numer z karty stanowiskowej.
- Nie płacisz okupu.
- Nie próbujesz sam naprawiać.
- Nie podłączasz pendrive’a, żeby ratować pliki.
Dlaczego: Odcięcie sieci chroni inne komputery. Włączony komputer zachowuje ślady dla informatyka.
2.8 Telefon służbowy i prywatny
Telefon jest ważnym narzędziem twojej pracy. Rozmawiasz z firmami, robisz zdjęcia usterek, czytasz pocztę. Tabela 3 pokazuje, co robisz którym telefonem.
| Czynność | Telefon służbowy | Telefon prywatny |
|---|---|---|
| Rozmowa z wykonawcą | tak | nie |
| Zdjęcie usterki | tak, bez widocznych danych ludzi | nie |
| Zdjęcie dokumentu z danymi pracownika | tylko gdy konieczne, potem do systemu i usunięcie | nie |
| Nagranie z monitoringu | nie, udostępnia je ośrodek | nie |
| Komunikator z firmami | tylko zatwierdzony przez jednostkę | nie |
| Publiczne Wi-Fi | nie, używasz internetu z telefonu | nie |
Dlaczego? Dane z prywatnego telefonu trafiają do chmury i do kopii zapasowych, nad którymi ośrodek nie ma kontroli. Zgubiony telefon zgłaszasz od razu.
2.9 Sztuczna inteligencja: czego nie wklejam
Publiczne narzędzia AI należą do zewnętrznych firm. To, co wkleisz, może zostać zapisane. Sztuczna inteligencja potrafi też podrobić głos i obraz. Dyrektor może „zadzwonić” głosem skopiowanym z nagrania.
- Głos brzmi znajomo, ale prośba jest pilna i nietypowa.
- Pytasz AI o ogólne zasady bez danych ludzi i firm.
- Przy prośbie o przelew kończysz rozmowę i dzwonisz na znany numer.
- Opis wypadku piszesz w narzędziu jednostki.
- Nie wklejasz opisów wypadków, umów ani numerów kont.
- Nie wysyłasz nagrań z kamer do narzędzi AI.
Dlaczego: Dane o zdrowiu i umowy nie powinny trafiać do firm, których nie znasz.
2.10 Praca poza biurem
Poza biurem pracujesz w samochodzie, w terenie, czasem w domu. Wi-Fi w kawiarni jest dostępne dla każdego, a ekran widzą współpasażerowie.
- Używasz internetu z telefonu służbowego.
- Ustawiasz ekran tak, by nikt go nie widział.
- Laptop zabierasz ze sobą.
- Nie zostawiasz laptopa w samochodzie.
- Nie łączysz się z darmowym Wi-Fi.
- Nie czytasz umów w tramwaju na pełnym ekranie.
Dlaczego: Obcy w pociągu może przeczytać, co masz na ekranie.
Wiele zasad z tego modułu wynika z przepisów o ochronie danych i bezpieczeństwie sieci. Opisujemy je na końcu poradnika.