Moduł 2 · Zagrożenia cyfrowe w mojej pracy

Moduł 2 · ok. 40 min

Zagrożenia cyfrowe w mojej pracy

Oszuści dzwonią, piszą i naklejają kody. Ten moduł uczy, jak rozpoznać atak i co zrobić w pierwszej minucie. Nie musisz znać się na komputerach.

2.1Kto i po co atakuje punkt informacji turystycznej

Punkt informacji turystycznej ma dla oszusta trzy zalety. Przyjmuje pieniądze za bilety i rezerwacje. Ma dane turystów. Działa w pośpiechu, zwłaszcza w sezonie. Pośpiech jest sprzymierzeńcem oszusta.

Rysunek 4 pokazuje, którymi drogami atak może dotrzeć do twojego stanowiska.

Rysunek 4. Siedem dróg, którymi atak może dotrzeć do twojego stanowiska. Wszystkie kończą się na człowieku.

Zasada

Oszust nie włamuje się do systemu, jeśli może poprosić o hasło, pieniądze lub dane. Dlatego ostatnią linią obrony jest człowiek przy okienku.

2.2Fałszywe telefony i SMS-y

Fałszywa wiadomość lub telefon zawiera zwykle cztery elementy: pośpiech, autorytet (bank, Policja, dyrektor), groźbę i prośbę o dane lub pieniądze. Rysunek 5 pokazuje SMS, który turysta pokazuje przy okienku.

Rysunek 5. SMS „zwrot za bilet” z czterema sygnałami oszustwa.

1
Nadawca nie jest nazwą jednostkiNazwę nadawcy łatwo podrobić. Nie dowodzi niczego.
2
Prośba o dane karty i pośpiechPrawdziwy zwrot nie wymaga podawania danych karty w wiadomości.
3
Skrócony adresNie wiesz, dokąd prowadzi. Nie klikasz.
4
Groźba utraty zwrotuTo nacisk na pośpiech.

Jak to zrobić: SMS i telefon z prośbą o dane

Sytuacja	Co robisz	Dlaczego
Turysta pokazuje SMS przy okienku	1. Mówisz: „Zwroty robimy tym samym sposobem, którym zapłacono. O dane karty przez SMS nie prosimy”. 2. Prosisz, by nie klikał. 3. Prosisz, by zostawił wiadomość w telefonie, i zgłaszasz kierownikowi.	Oszuści podszywają się pod punkt i mogą pisać do innych turystów.
SMS przychodzi do ciebie	1. Nie klikasz. 2. Nie odpowiadasz. 3. Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Kliknięcie może zainstalować szkodliwy program albo wyłudzić dane.
Telefon „z banku”, „z IT”, „od dyrektora”	1. Nie podajesz kodów, haseł ani numeru karty. 2. Kończysz rozmowę: „Oddzwonię na numer z listy kontaktów”. 3. Oddzwaniasz na numer z listy jednostki. Pomoc IT: informatyk lub pomoc techniczna jednostki.	Numer dzwoniącego da się podrobić.

Tabela 5. Trzy sytuacje z prośbą o dane i pierwszy krok.

2.3Fałszywe wiadomości e-mail

Najgroźniejszy dla punktu jest e-mail „od biura podróży” lub „od przewoźnika” ze zmianą rachunku. Wygląda jak zwykła korespondencja, bo oszust zna nazwę partnera. Rysunek 6 pokazuje taką wiadomość.

Rysunek 6. E-mail „od biura podróży” z sześcioma sygnałami oszustwa.

1
Adres nadawcy podobny do prawdziwegoRóżni się jedną literą lub końcówką. Porównaj z adresem w umowie.
2
Słowo „PILNE”Pośpiech nie daje czasu na sprawdzenie.
3
Zmiana rachunkuTo główny cel oszusta: przekierować wpłaty.
4
Groźba utraty rezerwacjiNacisk emocjonalny.
5
Zakaz dzwonieniaOszust boi się prawdziwego numeru.
6
Plik z podwójnym rozszerzeniemTo program, nie dokument. Nie otwierasz.

Jak to zrobić: e-mail ze zmianą rachunku

Krok	Co robisz	Dlaczego
1	Nie odpowiadasz i nie otwierasz załącznika.	Odpowiedź potwierdza oszustowi, że adres działa.
2	Przekazujesz wiadomość osobie od rozliczeń.	To ona decyduje o zmianie rachunku.
3	Sprawdzasz zmianę telefonem pod numer partnera z umowy.	Numer z wiadomości prowadzi do oszusta.
4	Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Wiadomość zostaje jako ślad.	Ślad pozwala ocenić, czy atak dotknął też innych.

Tabela 6. Cztery kroki przy e-mailu ze zmianą rachunku.

Dane karty nie przychodzą e-mailem. Jeśli turysta je przysłał, nie odpisujesz z danymi, zgłaszasz sprawę i proponujesz płatność terminalem albo w bramce płatności wskazanej przez jednostkę. Dlaczego? Numer karty w skrzynce zostaje na długo i może wpaść w niepowołane ręce.

2.4Fałszywe strony rezerwacji i kody QR

Oszust tworzy stronę, która wygląda jak oferta punktu: to samo logo, opisy tras, zdjęcia. Adres różni się jedną literą. Cena jest zbyt niska, a płatność idzie przelewem na rachunek osoby prywatnej. Rysunek 7 pokazuje taką ofertę.

Rysunek 7. Fałszywa strona rezerwacji pod logo punktu z czterema sygnałami.

1
Adres z zerem zamiast literyAdres różni się od prawdziwego jednym znakiem.
2
Bardzo niska cena i „tylko dziś”Pośpiech i okazja to klasyczna przynęta.
3
Płatność na rachunek osoby prywatnejPrawdziwa sprzedaż idzie na rachunek jednostki lub bramki płatności.
4
Brak regulaminu i danych sprzedawcyPrawdziwa strona podaje, kto sprzedaje.

Drugi sposób to obca naklejka z kodem QR na tablicy lub ulotce. Kod QR to ukryty adres. Rysunek 8 pokazuje tablicę z taką naklejką.

Rysunek 8. Tablica z obcą naklejką z kodem QR i trzema sygnałami.

1
Naklejka, której jednostka nie zamawiałaNikt w jednostce jej nie wydrukował ani nie przykleił.
2
Naklejka na oficjalnej ulotceZasłania prawdziwy adres i kod. Dlatego jest dowodem.
3
Brak nazwy jednostkiPrawdziwy materiał punktu jest podpisany.

Jak to zrobić: podejrzana oferta i obca naklejka

Sytuacja	Co robisz	Dlaczego
Turysta pokazuje podejrzaną ofertę	1. Przyglądasz się adresowi w pasku przeglądarki. 2. Mówisz: „To nie jest strona naszego punktu. Proszę nie płacić”. 3. Zapisujesz adres i zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. 4. Proponujesz rezerwację przy okienku albo na stronie wpisanej ręcznie.	Zgłoszenie pozwala ostrzec innych turystów i zgłosić fałszywą stronę.
Obca naklejka z kodem QR	1. Nie skanujesz kodu. 2. Nie zrywasz naklejki, możesz ją zasłonić kartką. 3. Zgłaszasz od razu: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. 4. Turystom mówisz: „Nie wiemy, skąd jest ten kod. Prosimy go nie skanować”.	Naklejka jest dowodem. Zerwana, zostawia tylko pytanie, co na niej było.

Tabela 7. Dwie sytuacje z fałszywymi adresami i pierwszy krok.

2.5Podszywanie się i drugi kanał

Oszust podaje się za kogoś, kogo znasz: bank, dyrektora, biuro podróży, serwis. Drugi kanał to inna droga sprawdzenia prośby niż ta, którą przyszła. Przyszła e-mailem, sprawdzasz telefonem. Przyszła telefonem, oddzwaniasz sam. Rysunek 9 pokazuje ten ciąg.

Rysunek 9. Drugi kanał: od prośby do decyzji osoby od rozliczeń.

Zasada

Prośba o pieniądze, zmianę rachunku, hasło lub dostęp zawsze wymaga drugiego kanału. Numer, adres i głos da się podrobić, więc prośbę potwierdzasz sam, na numer ze znanego źródła.

2.6Hasła i logowanie dwuetapowe

Hasło jest kluczem do konta. Dobre hasło jest długie, składa się z kilku słów i jest inne w każdej usłudze. Logowanie dwuetapowe dodaje drugi zamek: kod z aplikacji lub telefonu.

Zasada	Dlaczego
Długie hasło, kilka słów, inne w każdej usłudze	Jedno hasło w wielu miejscach otwiera wszystkie drzwi po jednym wycieku.
Nie zapisujesz hasła na kartce przy monitorze	Kartkę widzi każdy, kto przejdzie obok.
Konto jednostki w mediach prowadzą tylko osoby wyznaczone	Im mniej osób zna hasło, tym mniej miejsc, z których może uciec.
Logowanie dwuetapowe włączasz tam, gdzie jest dostępne	Zatrzymuje włamywacza, który zna samo hasło.
Kod z SMS-a lub aplikacji nie wychodzi poza ciebie	Kod to drugi zamek. Oddany oszustowi otwiera drzwi.

Tabela 8. Pięć zasad haseł i dlaczego obowiązują.

2.7Załączniki, linki, kody QR i pendrive turysty

Na komputerze, na którym pracujesz w systemie rezerwacji, jest wiele danych. Dlatego nie otwierasz podejrzanych plików i nie wkładasz obcych nośników.

Jak to zrobić: pendrive turysty i załączniki

Sytuacja	Co robisz	Dlaczego
Turysta podaje pendrive z biletem	1. Mówisz: „Nie mogę użyć nośnika na tym komputerze”. 2. Wskazujesz stanowisko dla gości (zasady: moduł MW-13) albo punkt usługowy w mieście. 3. Zgłaszasz brak drukarki: informatyk lub pomoc techniczna jednostki.	Obcy nośnik może zawierać szkodliwy program. Twój komputer ma dostęp do danych innych turystów.
Załącznik .zip, .exe, .scr lub „włącz makra”	1. Nie otwierasz. 2. Nie odpowiadasz. 3. Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.	Wiele ataków zaczyna się od otwarcia jednego pliku.
Link w wiadomości	1. Najeżdżasz kursorem i czytasz prawdziwy adres. 2. Gdy się różni od napisu, nie klikasz. 3. Zgłaszasz.	Napis linku i prawdziwy adres to dwie różne rzeczy.

Tabela 9. Trzy sytuacje z plikami i nośnikami.

2.8Okup w systemie biletów i rezerwacji

Okup (ransomware) to szkodliwy program, który szyfruje pliki i żąda zapłaty. Ekran z napisem „twoje pliki zostały zaszyfrowane” jest sygnałem alarmowym. W sezonie oznacza wstrzymane rezerwacje i brak dostępu do list turystów.

Krok	Co robisz	Dlaczego
1	Nie klikasz w komunikat i nie płacisz.	Płatność nie gwarantuje odzyskania danych i zachęca do kolejnych ataków.
2	Odłączasz komputer od sieci (kabel albo Wi-Fi), jeśli wiesz, jak.	Ogranicza to rozprzestrzenianie się szkodliwego programu.
3	Zgłaszasz od razu: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Mówisz, co widzisz na ekranie.	Im szybciej, tym więcej uda się uratować.
4	Niczego nie uruchamiasz ponownie i nie usuwasz plików.	Dalsze kroki wskaże osoba wyznaczona.

Tabela 10. Cztery kroki przy żądaniu okupu.

2.9Konto jednostki w mediach społecznościowych

Konto jednostki ma wielu odbiorców. Przejęte konto może rozsyłać fałszywe oferty pod nazwą punktu. Konta prowadzą tylko osoby wyznaczone: osoba prowadząca stronę i konta jednostki w mediach społecznościowych.

Sytuacja	Co robisz	Dlaczego
Komunikat „konto naruszyło zasady, zaloguj się”	1. Nie klikasz linku. 2. Wpisujesz adres serwisu ręcznie i sprawdzasz stan konta. 3. Zgłaszasz osobie prowadzącej konta: osoba prowadząca stronę i konta jednostki w mediach społecznościowych.	Link prowadzi do fałszywej strony logowania.
Wiadomość prywatna od turysty z danymi osobowymi	1. Odpowiadasz ogólnie. 2. Prosisz o przejście na e-mail lub formularz jednostki. 3. Nie kopiujesz danych do prywatnych notatek.	Wiadomość prywatna zostaje u usługodawcy, poza kontrolą jednostki.

Tabela 11. Dwie sytuacje na koncie w mediach społecznościowych.

2.10Sztuczna inteligencja, podrobiony głos, ekran i telefon

Dziś głos znanej osoby da się podrobić, a e-mail napisać bezbłędnie. Poprawna polszczyzna i znajomy głos nie dowodzą niczego. Liczy się to, o co prosi rozmówca, a nie jak brzmi.

Robisz

oddzwaniasz na numer z listy jednostki — oszust nie odbierze pod prawdziwym numerem
blokujesz ekran, gdy odchodzisz od okienka — kolejka widzi więcej, niż myślisz
chronisz telefon służbowy kodem — zgubiony telefon otwiera dostęp do poczty

Nie robisz

nie robisz przelewu na ustne polecenie „dyrektora” — przelewy należą do osoby od rozliczeń
nie wklejasz danych turystów do narzędzi sztucznej inteligencji — dane trafiają poza jednostkę
nie zostawiasz telefonu służbowego na ladzie — ktoś może go zabrać lub podejrzeć

Moje notatki z tematu · moduł 2

Który z dziewięciu ataków najbardziej zagraża twojemu stanowisku?
Jak sprawdzasz prośbę o zmianę rachunku w swojej jednostce?

Krok 2 · Zrozum

Zagrożenia cyfrowe w moim punkcie i co robić w pierwszej minucie

Poradnik mówi, jak wyglądają fałszywe wiadomości, strony i telefony. Tutaj ćwiczysz pierwszą minutę: co robisz, kogo zawiadamiasz i dlaczego tak. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.

AKto i po co atakuje punkt informacji turystycznej

Punkt informacji turystycznej ma dla oszusta trzy zalety: ma pieniądze z biletów i rezerwacji, ma dane turystów i działa w pośpiechu, zwłaszcza w sezonie. Pośpiech jest sprzymierzeńcem oszusta.

Kanał	Jak wygląda atak	Co robisz
Telefon	„pracownik banku”, „dyrektor”, „Policja”, „serwis”	oddzwaniasz na numer ze znanej listy
SMS	„zwrot za bilet”, „dopłata”, „potwierdź dane”	nie klikasz, zgłaszasz
E-mail	„biuro podróży zmieniło rachunek”, „pilne zamówienie”	drugi kanał, zgłaszasz
Strona internetowa	kopia strony rezerwacji z adresem różniącym się jedną literą	nie płacisz, zgłaszasz adres
Kod QR	obca naklejka na tablicy lub ulotce	nie skanujesz, zostawiasz ślad, zgłaszasz
Pendrive i komputer gościa	plik z biletem na nośniku turysty	nie wkładasz do swojego komputera
Media społecznościowe	komunikat „konto naruszyło zasady”	nie klikasz, zgłaszasz

Dlaczego to ważne

Oszust nie włamuje się do systemu, jeśli może poprosić o hasło, pieniądze albo dane. Dlatego ostatnią linią obrony jest człowiek przy okienku.

BFałszywe telefony i SMS-y

Fałszywy telefon lub SMS zwykle zawiera cztery elementy: pośpiech, autorytet (bank, Policja, dyrektor), groźbę i prośbę o dane lub pieniądze.

Fałszywy SMS „zwrot za bilet”: jak to zrobić krok po kroku

Nie klikaj linku i nie wpisuj numeru karty. Prawdziwy zwrot nie wymaga podawania danych karty.
Turysta pokazuje SMS przy okienku: mówisz, że zwroty robicie tym samym sposobem, którym zapłacono, a o dane karty przez SMS nie prosicie.
Poproś, by nie klikał i zostawił wiadomość w telefonie, dopóki nie pokaże jej kierownikowi.
Zgłoś: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Oszuści podszywają się pod punkt i mogą pisać do innych turystów.

Fałszywy telefon „z banku” lub „z IT”: jak to zrobić krok po kroku

Nie podawaj kodów z SMS-a ani z ekranu, hasła ani numeru karty.
Zakończ rozmowę jednym zdaniem: „Oddzwonię na numer z listy kontaktów”.
Oddzwoń na numer z listy jednostki. W razie IT: informatyk lub pomoc techniczna jednostki. W sprawach banku: numer banku z umowy.
Zgłoś rozmowę: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Dlaczego

Numer dzwoniącego i nazwę nadawcy SMS-a da się podrobić. Nie dowodzą niczego. Dlatego kod, hasło i dane karty zostają u ciebie bez względu na to, kto prosi.

CFałszywe wiadomości e-mail

Najgroźniejszy e-mail dla punktu to wiadomość „od biura podróży” lub „od przewoźnika” ze zmianą rachunku. Wygląda jak zwykła korespondencja, bo oszust zna nazwę partnera.

Sygnał	Co oznacza
Pilna zmiana rachunku	oszust chce przekierować wpłaty
Pośpiech i groźba utraty rezerwacji	oszust nie daje czasu na sprawdzenie
„Proszę nie dzwonić”	oszust boi się prawdziwego numeru
Plik .zip lub podwójne rozszerzenie (na przykład .pdf.exe)	szkodliwe oprogramowanie
Adres nadawcy podobny do prawdziwego	domena z jedną literą różnicy

E-mail ze zmianą rachunku: jak to zrobić krok po kroku

Nie odpowiadaj i nie otwieraj załącznika.
Przekaż wiadomość osobie od rozliczeń. To ona decyduje o zmianie rachunku.
Sprawdź zmianę telefonem pod numer partnera z umowy, nie z wiadomości.
Zgłoś: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Wiadomość zostaje w skrzynce jako ślad.

DFałszywe strony rezerwacji i kody QR

Oszust tworzy stronę, która wygląda jak oferta punktu: to samo logo, opisy tras, zdjęcia. Adres różni się jedną literą albo końcówką. Cena jest zbyt niska, a płatność przez inny kanał niż zwykle.

Turysta pokazuje podejrzaną ofertę: jak to zrobić krok po kroku

Przyjrzyj się adresowi w pasku przeglądarki. Zwróć uwagę na literówki i nietypowe końcówki.
Powiedz wprost: „To nie jest strona naszego punktu. Proszę nie płacić”.
Zapisz adres strony i zgłoś: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Jednostka może ostrzec innych turystów i zgłosić stronę.
Zaproponuj bezpieczną drogę: rezerwacja przy okienku albo na stronie wpisanej ręcznie w przeglądarkę.

Obca naklejka z kodem QR: jak to zrobić krok po kroku

Nie skanuj kodu własnym telefonem. Kod QR to ukryty adres.
Nie zrywaj naklejki. To dowód. Możesz ją zasłonić kartką bez zrywania.
Zgłoś od razu: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.
Turystom powiedz prawdę: „Nie wiemy, skąd jest ten kod. Prosimy go nie skanować”.

Dlaczego

Naklejka z kodem QR wygląda jak ulotka punktu, a po zeskanowaniu otwiera stronę wyłudzającą dane. Zostawiona na tablicy, może zaszkodzić wielu turystom.

EPodszywanie się i drugi kanał

Drugi kanał: jak to zrobić krok po kroku

Odłóż prośbę. Nie odpowiadaj od razu, nawet gdy rozmówca ponagla.
Znajdź numer w pewnym źródle: umowa, lista kontaktów jednostki, strona internetowa wpisana ręcznie.
Zadzwoń sam i zapytaj, czy prośba jest prawdziwa.
Rozbieżność lub brak potwierdzenia: zgłoś bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Robisz

oddzwaniasz na numer z umowy lub z listy kontaktów jednostki — oszust nie odbierze pod prawdziwym numerem
prosisz osobę od rozliczeń o decyzję w sprawie rachunku — nie decydujesz w pojedynkę
zapisujesz godzinę i treść rozmowy — pomoże to ocenić sprawę

Nie robisz

nie dzwonisz pod numer podany w wiadomości lub w stopce — prowadzi on do oszusta
nie ufasz numerowi wyświetlonemu na ekranie — da się go podrobić
nie odpowiadasz na prośbę o „potwierdzenie” w tej samej wiadomości — oszust dostaje dowód, że adres działa

FHasła i logowanie dwuetapowe

Hasło jest kluczem do konta. Dobre hasło jest długie i znane tylko tobie. Dwuetapowe logowanie dodaje drugi zamek: kod z aplikacji lub telefonu.

Zasada	Dlaczego
Długie hasło, kilka słów, inne w każdej usłudze	jedno hasło w wielu miejscach otwiera wszystkie drzwi po jednym wycieku
Hasła nie zapisujesz na kartce przy monitorze	kartkę widzi każdy, kto przejdzie obok
Konto jednostki w mediach prowadzą tylko osoby wyznaczone	im mniej osób zna hasło, tym mniej miejsc, z których może uciec
Logowanie dwuetapowe włączasz tam, gdzie jest dostępne	zatrzymuje włamywacza, który zna samo hasło
Kod z SMS-a lub aplikacji nie wychodzi poza ciebie	kod zastępuje drugi zamek, więc oddany oszustowi otwiera drzwi

Zapamiętaj

Hasło i kod zostają u ciebie. Prosi o nie tylko oszust, nawet jeśli podaje się za informatyka, dyrektora albo bank.

GZałączniki, linki, kody QR i pendrive turysty

Pendrive turysty: jak to zrobić krok po kroku

Nie wkładaj obcego nośnika do komputera, na którym pracujesz w systemie rezerwacji.
Powiedz uprzejmie: „Nie mogę użyć nośnika na tym komputerze”.
Wskaż stanowisko dla gości zgodne z zasadami komputerów publicznych (moduł MW-13) albo punkt usługowy w mieście.
Brak drukarki lub awarię stanowiska zgłoś kierownikowi: informatyk lub pomoc techniczna jednostki.

Załącznik i link w e-mailu: jak to zrobić krok po kroku

Najedź kursorem na link i przeczytaj prawdziwy adres. Gdy się różni od napisu, nie klikaj.
Nie otwieraj plików .zip, .exe, .scr i dokumentów z prośbą o „włączenie makr”.
Kliknąłeś lub otworzyłeś? Nie wyłączaj komputera, odłącz go od sieci, jeśli umiesz, i zgłoś bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Zasady stanowiska dla gości (komputer publiczny, Wi-Fi) opisuje moduł MW-13. Tutaj pamiętasz tylko jedno: cudzy nośnik nie wchodzi do twojego komputera.

HOkup w systemie biletów i rezerwacji

Okup (ang. ransomware) to szkodliwy program, który szyfruje pliki i żąda zapłaty. Ekran z napisem „twoje pliki zostały zaszyfrowane” jest sygnałem alarmowym.

Żądanie okupu na ekranie: jak to zrobić krok po kroku

Nie klikaj w komunikat i nie płać. Płatność nie gwarantuje odzyskania danych.
Odłącz komputer od sieci (kabel albo Wi-Fi), jeśli wiesz, jak.
Zgłoś od razu: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Powiedz, co widzisz na ekranie i co było otwarte.
Niczego nie uruchamiaj ponownie i nie usuwaj plików. Dalsze kroki wskaże osoba wyznaczona.

Dlaczego

Im szybciej odłączysz komputer od sieci i zgłosisz sprawę, tym mniej komputerów zostanie zaszyfrowanych. Zwłoka w sezonie oznacza wstrzymane rezerwacje i brak dostępu do list turystów.

IKonto jednostki w mediach społecznościowych

Konto jednostki w mediach społecznościowych ma wielu odbiorców. Przejęte konto może rozsyłać fałszywe oferty pod nazwą punktu albo publikować treści szkodzące jednostce.

Komunikat „konto naruszyło zasady”: jak to zrobić krok po kroku

Nie klikaj linku z wiadomości i nie logując się przez niego.
Wpisz adres serwisu ręcznie w przeglądarce i sprawdź stan konta.
Zgłoś osobie prowadzącej konta: osoba prowadząca stronę i konta jednostki w mediach społecznościowych.
Nie przesyłaj hasła w wiadomości, nawet koleżance z zespołu.

Robisz

włączasz logowanie dwuetapowe — jedno przejęte hasło nie wystarczy
wiadomości prywatne od turystów przenosisz na kanał służbowy — prywatna rozmowa w serwisie zostaje u usługodawcy

Nie robisz

nie prowadzisz spraw turystów z prywatnego profilu — dane zostają poza kontrolą jednostki
nie udostępniasz hasła do konta jednostki innym osobom — nie wiadomo wtedy, kto je zna

JSztuczna inteligencja, podrobiony głos, ekran i telefon

Dziś głos znanej osoby da się podrobić, a e-mail napisać bezbłędnie. Poprawna polszczyzna i znajomy głos nie dowodzą niczego. Liczy się to, o co prosi rozmówca, a nie to, jak brzmi.

Telefon „od dyrektora”: jak to zrobić krok po kroku

Zauważ prośbę o pieniądze lub dane i pośpiech.
Przerwij rozmowę: „Oddzwonię”.
Oddzwoń do dyrektora na numer z listy jednostki.
Przelewy zostawiasz osobie od rozliczeń. Nie robisz ich na ustne polecenie.
Zgłoś próbę: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów.

Robisz

blokujesz ekran, gdy odchodzisz od stanowiska — kolejka i przechodnie widzą więcej, niż myślisz
telefon służbowy chronisz kodem — zgubiony telefon otwiera dostęp do poczty i kont

Nie robisz

nie wklejasz danych turystów do narzędzi sztucznej inteligencji — dane trafiają poza jednostkę
nie zostawiasz telefonu służbowego na ladzie — ktoś może go zabrać lub podejrzeć

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Przeczytaj e-mail „od biura podróży”. Kliknij fragmenty, które zdradzają oszustwo.

Szanowni Państwo, pilna zmiana: od dziś wpłaty za bilety grupowe prosimy kierować na nowy rachunek w innym banku. Dotychczasowy rachunek jest zablokowany. Potwierdźcie zmianę jeszcze dziś, inaczej rezerwacja grupy wygaśnie. Dyrektor biura jest na urlopie, więc prosimy nie dzwonić do biura. Dane rachunku w pliku Nowy_rachunek.pdf.exe.

Ćwiczenie 2. Ta wiadomość lub rozmowa jest bezpieczna czy podejrzana?

SMS: „Zwrot za bilet. Podaj dane karty w ciągu godziny pod linkiem”

Telefon turysty z pytaniem o godziny otwarcia punktu

E-mail od partnera: „Zmieniliśmy rachunek, potwierdź odpowiedzią”

Nowa naklejka z kodem QR na tablicy, której nikt nie zamawiał

Oddzwonienie na numer partnera zapisany w umowie

Ćwiczenie 3. Dostajesz e-mail ze zmianą rachunku partnera. Ułóż kroki.Klikaj kolejno.

Zgłaszam pod numer incydentów i zostawiam wiadomość jako ślad
Dzwonię pod numer partnera z umowy
Przekazuję wiadomość osobie od rozliczeń
Nie odpowiadam i nie otwieram załącznika

Ćwiczenie 4. Uzupełnij zasady.Wpisz jedno słowo w każdą lukę.

Kod z SMS-a i hasło zostają …. Obcy nośnik nie wchodzi do mojego …. Naklejki z kodem QR nie zrywam i nie …. Okupu nie ….

Ćwiczenie 5. Dzwoni „dyrektor”: „Pilnie zapłać zaliczkę, numer rachunku dostaniesz SMS-em”. Napisz, co robisz.

Przerywam rozmowę i oddzwaniam do dyrektora na numer z listy jednostki. Przelewy zostawiam osobie od rozliczeń. — Głos można podrobić, więc rozpoznanie głosu nie wystarcza.