Zagrożenia cyfrowe w mojej pracy
Ten moduł pokazuje, jak oszuści docierają do placówki. Przy każdym zagrożeniu dowiesz się, co zrobić w 10 sekund.
2.1Kto atakuje placówkę i po co
Atakujący chcą pieniędzy, informacji albo dostępu do dziecka. Placówka ma wszystkie trzy rzeczy.
- Dane dzieci można wykorzystać do szantażu i oszustw.
- System można zablokować i żądać okupu.
- Kieszonkowe, zaliczki i zakupy to pieniądze, które można wyłudzić.
- Najgorszy cel to dziecko. Osoba z zakazem kontaktu lub obcy szuka adresu szkoły, godzin i zdjęć.
Zobacz rysunek 4. Atak zaczyna się zwykle od wiadomości albo telefonu. Rzadko od włamania.
Oszust rzadko włamuje się do systemu. Częściej prosi, żeby ktoś otworzył mu drzwi.
2.2Fałszywe e-maile (phishing)
Fałszywy e-mail wygląda jak wiadomość od dostawcy, sądu albo przełożonego. Ma cię skłonić do kliknięcia, zalogowania się lub wysłania listy dzieci.
Zobacz rysunek 5. To fikcyjny e-mail „od dostawcy IT”. Siedem sygnałów widać od razu. Numery na rysunku odpowiadają numerom w tabeli 4.
Siedem sygnałów fałszywej wiadomości
| Nr | Sygnał | Co robisz |
|---|---|---|
| 1 | Obcy adres nadawcy | Nazwa wygląda znajomo, ale część po znaku @ jest inna niż zwykle. Sprawdź ją. |
| 2 | Pośpiech i presja | Słowa „pilne”, „dziś”, „ostatnia szansa” mają wyłączyć ostrożność. |
| 3 | Ogólne powitanie | „Szanowny użytkowniku” zamiast twojego imienia. Prawdziwy dostawca cię zna. |
| 4 | Link i prośba o dane | Przycisk każe się zalogować i „potwierdzić dane”. Prawdziwy serwis nie prosi o to w wiadomości. |
| 5 | Nietypowy załącznik | Plik .zip lub .exe bez zapowiedzi może zawierać wirusa. |
| 6 | Brak podpisu | Brak imienia, nazwiska i telefonu. Nie ma kogo zapytać. |
| 7 | „Nikomu nie mów” | Prośba o tajemnicę ma cię odciąć od kolegów i kierownika. |
Nie klikasz, nie otwierasz, nie odpisujesz. Zgłaszasz. Dlaczego? Jedno kliknięcie może otworzyć drogę do danych wszystkich dzieci.
Zgłoszenie przekazujesz pod: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Wiadomości nie usuwasz, bo informatyk potrzebuje śladu. Wiadomość „z sądu” z prośbą o listę dzieci ćwiczysz w symulacji 8.
2.3Fałszywe telefony i SMS-y
Telefon placówki jest czynny dzień i noc. Dlatego oszuści często dzwonią właśnie tu. Nocą odbiera jedna osoba i nie ma kogo zapytać.
Dzwonią jako ojciec, „kurator”, „policjant”, „ktoś z sądu”, „informatyk” albo „serwis systemu”. Każdy ma pilną historię i prosi o drobiazg.
Przykłady drobiazgu: „tylko czy dziewczynka jest zdrowa”, „podaj adres szkoły”, „podyktuj kod z SMS-a”. Samo „tak, jest u nas” to już informacja o dziecku.
Zobacz rysunek 6. To fikcyjny SMS, który ma wyłudzić dopłatę i dane.
- 1Nieznany numerPrawdziwy kurier wysyła wiadomości z podpisanego numeru.
- 2Nieoczekiwana paczkaPlacówka nic nie zamawiała. Nie ma czego odbierać.
- 3Obcy linkAdres nie należy do żadnego kuriera. Nie klikasz.
- 4Presja czasu i dopłataKrótki czas i mała kwota mają skłonić do kliknięcia.
Jak to zrobić: drugi kanał
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Telefon | 1. Nie podajesz danych ani kodu. 2. Mówisz: „Oddzwonię”. Kończysz rozmowę. 3. Numer bierzesz z teczki, z oficjalnej strony instytucji albo od kierownika. 4. Dzwonisz i pytasz, czy prośba jest prawdziwa. | Numer od rozmówcy jest jego numerem. Oddzwaniając na niego, rozmawiasz z oszustem. |
| SMS | 1. Nie klikasz linku i nie dzwonisz na numer z wiadomości. 2. Nie podajesz kodu. 3. Zgłaszasz SMS pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Oszust zakłada, że oddzwonisz. Dlatego nie oddzwaniaj. |
| 1. Nie odpisujesz na adres nadawcy. 2. Dzwonisz do nadawcy na numer, który już masz. 3. Pytasz, czy wysłał wiadomość. | Adres w polu „Od” można podrobić. Znany numer z akt nie. | |
| Osoba przy furtce | 1. Prosisz o pismo i dokument ze zdjęciem. 2. Dzwonisz do kierownika. 3. Nie wpuszczasz, dopóki kierownik nie zdecyduje. | Mundur i pewny głos nie są dowodem. Dowodem jest pismo i potwierdzenie z numeru, który znasz. |
— Dzwonię z sądu rodzinnego. Proszę o adres szkoły chłopca. Sprawa jest pilna.
— Nie podaję adresów przez telefon. Oddzwonię na numer sądu z teczki. Proszę o numer sprawy.
Masz wątpliwość? Nie rób nic i zapytaj kierownika. W nocy dzwonisz na numer dyżurny z karty stanowiskowej. Dlaczego? Prawdziwa instytucja poczeka kilka minut. Oszust nie.
2.4Podszywanie się pod sąd, kuratora, przełożonego i dostawcę
Oszust wybiera osobę, której placówka ufa. Tabela 5 pokazuje najczęstsze role i sposób sprawdzenia.
| Kto się podszywa | Czego chce | Jak sprawdzasz |
|---|---|---|
| „Kurator” lub „sąd” | adres szkoły dziecka, listę dzieci, akta | Oddzwaniasz na numer sądu z teczki. Prośbę przekazujesz kierownikowi. |
| „Policja” | adres lub miejsce pobytu dziecka | Prosisz o pismo. Dzwonisz na numer komendy z wykazu. Decyduje kierownik. |
| „Kierownik” | pilne przelewy, zmianę konta, listę dzieci | Dzwonisz do kierownika na numer, który znasz. |
| „Informatyk” | zdalny dostęp do komputera, hasło | Rozłączasz się i dzwonisz do informatyk lub pomoc techniczna jednostki. Informatyk nie prosi o hasło. |
| „Kurier” lub „bank” | dopłatę, dane karty, kod | Nie klikasz. Sprawdzasz u kierownika. Bank nie prosi o kod przez telefon. |
| „Dziennikarz” | wywiad, zdjęcia, liczbę dzieci | Odsyłasz do kierownika lub do osoba prowadząca stronę i konta jednostki w mediach społecznościowych. Niczego nie mówisz samodzielnie. |
Jak to zrobić: pytanie od policji, sądu, prokuratora lub komornika
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Telefon | 1. Nie podajesz żadnych danych dziecka. 2. Zapisujesz nazwę instytucji, nazwisko i numer rozmówcy. 3. Mówisz: „Proszę o pismo. Sprawę przekażę kierownikowi”. 4. Przekazujesz kierownikowi tego samego dnia. | Policja i sąd mogą pytać o dziecko. Robią to jednak na piśmie. Kierownik ocenia podstawę. |
| Pismo lub e-mail | 1. Rejestrujesz pismo. 2. Nie odpowiadasz. 3. Przekazujesz kierownikowi tego samego dnia. | Odpowiedź na pismo wysyła kierownik. Ty nie wysyłasz teczki ani listy dzieci. |
| Osobiście | 1. Prosisz o legitymację i pismo. 2. Zapisujesz dane funkcjonariusza. 3. Dzwonisz do kierownika. 4. Wskazujesz dziecko tylko wtedy, gdy kierownik tak zdecyduje. | Pilna interwencja policji przy zagrożeniu życia dziecka to wyjątek. Wtedy działasz według polecenia kierownika lub numeru 112. |
2.5Hasła i logowanie dwuetapowe
Hasło jest kluczem do systemu z danymi dzieci. Kod z SMS-a to drugi klucz. Oba zostają w twojej głowie.
W pokoju wychowawców często stoi jeden komputer dla wszystkich. Wspólne konto i hasło na karteczce wydają się wygodne. Są też najczęstszą drogą wycieku.
Jak to zrobić: hasło i kod
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Nowe hasło | 1. Wymyślasz hasło z kilku słów, które coś ci mówią. 2. Nie używasz imienia dziecka, daty urodzenia ani nazwy placówki. 3. Zmieniasz hasło, gdy ktoś je zobaczył. | Krótkie i znajome hasło odgadnie program w kilka minut. |
| Wspólny komputer | 1. Logujesz się na własne konto. 2. Wylogowujesz się przy odejściu od stanowiska. 3. Nie zapisujesz hasła w przeglądarce. | Wspólne logowanie odbiera ślad. Nie wiadomo wtedy, kto otworzył dokumentację dziecka. |
| Kod z SMS-a lub aplikacji | 1. Podajesz kod tylko w systemie, w którym właśnie się logujesz. 2. Kod, który przyszedł bez twojego logowania, zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Prawdziwy serwis nie prosi o kod przez telefon. Kto prosi, chce wejść na twoje konto. |
| Koleżanka lub kolega prosi o hasło | 1. Odmawiasz spokojnie. 2. Mówisz: „Poproś o własne konto u informatyk lub pomoc techniczna jednostki”. | Odpowiadasz za wszystko, co ktoś zrobi na twoim koncie. |
Hasło i kod zostają w twojej głowie. Nie dajesz ich nikomu, także kierownikowi i informatykowi. Dlaczego? Kto ma twoje hasło, jest w systemie jako ty.
2.6Załączniki, linki, kody QR i pendrive’y
Wirus potrzebuje, żeby ktoś coś otworzył, kliknął albo włożył do komputera. Do placówki trafiają zwykle cztery rzeczy.
- załącznik w e-mailu, np. „faktura”, „wezwanie”, „zdjęcia z wycieczki”,
- link w e-mailu, SMS-ie lub w czacie,
- kod QR na ulotce lub plakacie, który prowadzi na obcą stronę,
- pendrive lub płyta od wolontariusza, praktykanta, rodzica albo „znajomego dziecka”.
Jak to zrobić: nośnik, załącznik i link
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Pendrive lub płyta | 1. Nie wkładasz do żadnego komputera placówki. 2. Zapisujesz, kto go przyniósł i kiedy. 3. Oddajesz do sprawdzenia: informatyk lub pomoc techniczna jednostki. | Na nośniku mogą być zdjęcia i wirus. Wirus uruchamia się po włożeniu. |
| Załącznik | 1. Nie otwierasz plików, których się nie spodziewasz. 2. Pytasz nadawcę drugim kanałem. 3. Zgłaszasz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Plik z rozszerzeniem .exe, .zip lub „faktura” bez zapowiedzi jest podejrzany. |
| Link | 1. Najeżdżasz kursorem i czytasz adres. 2. Wpisujesz adres strony ręcznie, zamiast klikać. 3. Nie logujesz się przez link z wiadomości. | Napis na przycisku mówi jedno, adres pod nim drugie. |
| Kod QR | 1. Skanujesz tylko kody, które rozpoznajesz. 2. Przed otwarciem czytasz adres. 3. Ulotkę z obcym kodem zgłaszasz kierownikowi. | Kod QR to ukryty link. Nie widzisz, dokąd prowadzi. |
Zdjęcia dzieci od wolontariusza trafiają do druku lub na stronę dopiero po zgodzie kierownika. Pendrive ćwiczysz w symulacji 10.
2.7Blokada danych dla okupu (ransomware)
Ransomware to program, który blokuje pliki i żąda pieniędzy za odblokowanie. W placówce zatrzymuje dokumentację dzieci, listę leków i grafik dyżurów.
Na ekranie pojawia się komunikat z żądaniem okupu. Pliki mają dziwne rozszerzenia. Komputer zwalnia.
Jak to zrobić: pierwsza minuta
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Komputer w dyżurce | 1. Odłączasz kabel sieciowy albo wyłączasz Wi-Fi. 2. Nie wyłączasz komputera. 3. Dzwonisz pod bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. W nocy dzwonisz na numer dyżurny. 4. Zapisujesz godzinę i to, co widać na ekranie. | Wyłączony komputer traci ślady, których potrzebuje informatyk. Odłączona sieć zatrzymuje rozprzestrzenianie. |
| Okup | 1. Nie płacisz i nie odpisujesz oszustom. 2. Zostawiasz decyzję kierownikowi. | Zapłata nie gwarantuje odblokowania. Zachęca oszustów do kolejnych prób. |
2.8Telefon służbowy, komunikatory i zdjęcia
Wychowawcy często zakładają grupę w prywatnym komunikatorze. Piszą tam o dzieciach, wysyłają zdjęcia i zmieniają się na dyżurach. To wygodne i niebezpieczne.
Prywatny komunikator nie należy do placówki. Wiadomość może zostać na telefonie osoby, która odeszła z pracy. Telefon można zgubić.
- Do spraw dzieci używasz telefonu służbowego i kanałów placówki.
- W komunikatorze piszesz tylko o organizacji: „Spóźnię się 15 minut”.
- Zdjęcia dzieci przekazujesz do systemu placówki i usuwasz z telefonu.
- Zeszyt dyżurów lub system służą do przekazania spraw dzieci.
- Nie wysyłasz imienia dziecka razem ze zdrowiem lub sytuacją rodziny.
- Nie wysyłasz zdjęć dzieci prywatnym komunikatorem.
- Nie robisz zdjęć dzieci prywatnym telefonem.
- Nie dodajesz do grupy wolontariuszy ani praktykantów.
Zasady publikowania zdjęć opisuje czynność 9 w module 4. Symulacja 4 pokazuje, co może pójść źle.
2.9Telefon i internet dziecka: szantaż i groźby
Dzieci w placówce mają telefony i konta. Obca osoba może udawać rówieśnika. Prosi o zdjęcia, a potem grozi ich publikacją. Dziecko boi się i milczy.
Dziecko nie jest winne. Winny jest ten, kto grozi. Twoja reakcja decyduje, czy dziecko następnym razem poprosi o pomoc.
Jak to zrobić: dziecko pokazuje groźbę
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Rozmowa z dzieckiem | 1. Słuchasz spokojnie. Mówisz: „To nie twoja wina. Dobrze, że mi o tym mówisz”. 2. Nie obiecujesz milczenia. 3. Prosisz, by nie odpisywało i nie usuwało rozmowy. 4. Nie karzesz i nie zabierasz telefonu na własną rękę. | Kara za proszenie o pomoc uczy dzieci milczeć. Szantażysta liczy na wstyd. |
| Zgłoszenie | 1. Zgłaszasz od razu osobie odpowiedzialnej: osoba odpowiedzialna za standardy ochrony małoletnich w jednostce. 2. Informujesz kierownika. Nocą dzwonisz na numer dyżurny. 3. Zabezpieczenie rozmowy robi osoba z procedury, nie ty. | Nie kopiujesz zdjęć dziecka na swój telefon. Zdjęcia dziecka na prywatnym sprzęcie to kolejne ryzyko. |
| Zapis | 1. Zapisujesz godzinę, kto pokazał wiadomość i co powiedział. 2. Zapisujesz słowa dziecka dosłownie, tak jak padły. | Notatka pomaga policji i sądowi. Nie zawiera twoich domysłów. |
Pełną procedurę opisuje moduł 6.5. Symulacja 3 ćwiczy tę rozmowę. Standardy placówki: Standardy ochrony małoletnich.
2.10Sztuczna inteligencja i podrobiony głos
Program potrafi dziś podrobić głos kierownika albo sędziego z kilkusekundowego nagrania. Telefon brzmi znajomo i prosi o pilną rzecz.
- Głos nie jest dowodem tożsamości.
- Prośbę o dane dziecka lub pieniądze sprawdzasz drugim kanałem: oddzwaniasz na znany numer.
- Nie wklejasz opisów dzieci do publicznych czatów z AI. Tekst opuszcza placówkę, a szczegóły wskazują dziecko.
2.11Ekran, wspólny komputer i dyżurka
Dyżurka bywa pusta, bo wychodzisz na obchód. W tym czasie ekran, zeszyt i teczki widzi każdy, kto wejdzie.
- Wychodząc nawet na minutę, blokujesz ekran.
- Zeszyt dyżurów zamykasz w szafie lub zabierasz ze sobą.
- Teczki dzieci zostają w zamkniętej szafie. Klucz masz przy sobie.
- Nie pracujesz w sprawach dzieci przez publiczne Wi-Fi.
15 fiszek do powtórki
Zakryj odpowiedź i powiedz ją na głos. Na platformie odwracasz karty kliknięciem.
- Jaki telefon lub wiadomość w moim dyżurze wyglądały podejrzanie?
- Czy w mojej placówce jest wspólne konto lub hasło na kartce?