Moduł 2 · ok. 40 min

Zagrożenia cyfrowe w mojej pracy

Zagrożenia cyfrowe są na obiekcie codziennie. Pływalnię, halę czy lodowisko wybierają oszuści, bo dużo klientów płaci online, a mało osób ma czas to sprawdzać.

2.1Kto i po co atakuje obiekt sportowy

Oszuści chcą trzech rzeczy. Pierwsza to pieniądze: dane kart, przelewy za wynajem hali, zwroty. Druga to dane klientów, zwłaszcza rodziców dzieci, do dalszych wyłudzeń. Trzecia to dostęp do systemu wejść i rezerwacji, który można zablokować dla okupu.

Rysunek 4 pokazuje, skąd najczęściej przychodzą próby oszustwa. To dane przykładowe, ale proporcje są typowe: najwięcej prób idzie przez e-mail.

Phishing to fałszywa wiadomość, która ma wyłudzić hasło, dane lub pieniądze. Wiadomość udaje obiekt, bank, klub, kuriera albo przełożonego.

2.2Fałszywe telefony i SMS-y

Dzwonią i piszą „z banku”, „z Policji”, „od kuriera”, „z klubu”. Na obiekcie szczególnie często pojawia się SMS o zwrocie za karnet. Zobacz rysunek 5.

1. 1
   Nieznany nadawcaNumer lub nazwa nie pasują do obiektu. Oszust podszywa się pod markę.
2. 2
   „Zwrot czeka na Ciebie!”Pieniądze mają zachęcić do kliknięcia. Obiekt nie zwraca ich przez SMS.
3. 3
   Pośpiech: „w ciągu 2 godzin”Krótki termin odbiera czas na sprawdzenie.
4. 4
   Link do obcej stronyAdres nie należy do obiektu. Kliknięcie otwiera fałszywą stronę.
5. 5
   Prośba o dane kartyŻaden obiekt nie prosi o dane karty w wiadomości.

Jak to zrobić: rozmowa z klientem po fałszywym SMS-ie

2.3Fałszywe wiadomości e-mail

Przykład z obiektu: wiadomość „od klubu”, który wynajmuje halę. Prosi o zmianę rachunku do wpłat. Zobacz rysunek 6.

1. 1
   Adres nadawcyDomena po znaku @ nie jest domeną klubu z umowy. Prawdziwy nadawca pisze z adresu, który znasz.
2. 2
   Temat z pośpiechemSłowo „pilne” ma cię zmusić do działania bez sprawdzenia.
3. 3
   Zmiana rachunkuTo najczęstszy cel oszustów: pieniądze trafią na rachunek, którego nie znasz.
4. 4
   Termin „do końca dnia” i groźbaWstrzymanie rezerwacji ma wywołać strach. Prawdziwy klub da czas na potwierdzenie.
5. 5
   „Prezes jest w podróży, nie dzwoń”Zakaz dzwonienia to znak: oszust nie chce, żebyś użyła drugiego kanału.
6. 6
   Załącznik .zipArchiwum jako „dane rachunku” to typowy nośnik szkodliwego programu.

Siódmy sygnał to ogólne powitanie bez imienia i nazwiska. Prawdziwy klient zwraca się do konkretnej osoby.

2.4Fałszywe strony sprzedaży karnetów i biletów

Oszuści kopiują wygląd strony obiektu i sprzedają „karnety z rabatem” albo bilety na wydarzenia. Klient płaci, a przy bramce okazuje się, że kod nie istnieje. Pretensje spadają na ciebie.

• Klientowi z takim kodem nie wpuszczasz na obiekt „na słowo”. Spisujesz zgłoszenie i kierujesz go do oficjalnej oferty — bo wpuszczenie zachęca oszustów.
• Zgłaszasz fałszywą stronę osobie, która prowadzi stronę obiektu: osoba prowadząca stronę i konta jednostki w mediach społecznościowych. Ona prosi o usunięcie strony i ostrzega klientów.
• Klientom podajesz tylko jeden adres sprzedaży: z ulotki lub oficjalnego komunikatu — dlatego klient może sprawdzić adres sam.

2.5Podszywanie się i drugi kanał

Oszust może udawać klub, dostawcę, serwis systemu albo przełożonego. Prosi o zmianę rachunku, pilny przelew, zdalny dostęp do komputera lub hasło. Najlepsza obrona to drugi kanał: sprawdzasz prośbę inną drogą niż ta, którą przyszła.

• Numer do oddzwonienia bierzesz z umowy, z systemu lub ze strony oficjalnej, nie z wiadomości.
• „Serwis systemu” nigdy nie prosi o twoje hasło. Dostęp zdalny włącza tylko informatyk lub pomoc techniczna jednostki.
• Prośbę o pilny przelew „od kierownika” sprawdzasz osobiście lub telefonem na znany numer.

2.6Hasła i logowanie dwuetapowe

Na kasie często używa się jednego wspólnego konta „dla wygody”. To błąd: gdy ktoś anuluje sprzedaż lub zrobi zwrot, nie wiadomo kto. Każda osoba loguje się na własne konto.

• Hasło to długie zdanie, np. kilka słów, które znasz tylko ty.
• Hasło masz w głowie, nie na karteczce — bo karteczka daje dostęp każdemu, kto przejdzie obok.
• Kod z SMS-a podajesz tylko tam, gdzie sam się logujesz. Kod bez twojego logowania znaczy: ktoś zna twoje hasło. Nie podajesz kodu i zgłaszasz.
• Odchodząc od kasy, blokujesz ekran. Dzięki temu nikt nie zrobi zwrotu na twoim koncie.

2.7Załączniki, linki, kody QR i pendrive’y

Nie otwierasz załączników, których się nie spodziewałeś. Nie klikasz linków w pilnych wiadomościach. Najechanie na link pokazuje prawdziwy adres.

• Kod QR kryje link, którego nie widzisz. Plakat „bezpłatne zajęcia” z kodem w holu może prowadzić na fałszywą stronę. Nie skanujesz i zgłaszasz plakat.
• Pendrive od klienta („zdjęcia z zawodów”) nie trafia do komputera kasy. Klientowi wskazujesz wysłanie plików kanałem obiektu lub mówisz, że komputer ich nie przyjmuje.
• Pendrive znaleziony w szafce to rzecz znaleziona. Wpisujesz ją do rejestru i nie wkładasz do komputera. Szczegóły: moduł 4, część „Rzeczy znalezione”.

2.8Okup w systemie wejść i rezerwacji

Ransomware to szkodliwy program, który szyfruje pliki i żąda okupu. Na obiekcie oznacza to: bramki nie wpuszczają, kasa nie drukuje biletów, rezerwacji nie widać. Zobacz rysunek 8.

2.9Konto obiektu w mediach społecznościowych

Konto obiektu w mediach społecznościowych to jego wizytówka. Oszuści je przejmują, by publikować „konkursy”, zbierać dane od klientów i wysyłać wiadomości prywatne z linkami. Kto prowadzi konta: osoba prowadząca stronę i konta jednostki w mediach społecznościowych.

• Nie logujesz się na konto obiektu ze swojego prywatnego telefonu, jeśli nie masz takiego zadania — bo zgubiony telefon to utracone konto.
• Konkurs „wygraj karnet, podaj numer karty” to oszustwo. Zgłaszasz go osobie prowadzącej konta.
• Zdjęcia dzieci publikuje tylko osoba prowadząca konta i tylko według zasad obiektu. Ty nie robisz tego „z własnej inicjatywy”.

2.10Sztuczna inteligencja, podrobiony głos, ekran i telefon

Publiczne narzędzia sztucznej inteligencji przyjmują wklejony tekst. Ten tekst opuszcza obiekt i możesz nie wiedzieć, gdzie trafi. Nie wklejasz do nich list zapisów, danych dzieci ani opisów wypadków, nawet bez nazwiska.

Technika potrafi też podrobić głos. Telefon głosem „trenera” albo „kierownika” nie dowodzi, kto dzwoni. Zasada jest ta sama: sprawdzasz drugim kanałem.

• Ekran kasy ustawiasz tak, by nie widziała go kolejka.
• Telefonu służbowego nie zostawiasz w szatni ani w samochodzie.
• Na wyjeździe z grupą nie łączysz się z publicznym Wi-Fi w sprawach klientów — bo ktoś może podglądać ruch.

15 fiszek do powtórki

Zakryj odpowiedź i powiedz ją na głos. Na platformie odwracasz karty kliknięciem.