Zagrożenia cyfrowe w mojej pracy
Ten moduł pokazuje, jak oszuści docierają do urzędnika. Dla każdego zagrożenia dowiesz się, co zrobić w 10 sekund.
2.1Kto atakuje urząd i po co
Atakujący chcą dwóch rzeczy: pieniędzy i informacji. Urząd ma jedno i drugie. Przechowuje dane mieszkańców i firm oraz prowadzi płatności.
Urząd nie może długo przerwać pracy, bo terminy w sprawach biegną dalej. Dlatego atak na system boli go szczególnie. Atakujący o tym wiedzą.
Rzadko łamią zabezpieczenia. Zwykle proszą człowieka, by sam otworzył drzwi. Dlatego ty jesteś ważniejszy niż najlepszy program. Rysunek 4 pokazuje, skąd zwykle przychodzi atak.
Prośba o dane, hasło, kod, pieniądze albo o zainstalowanie programu to sygnał do sprawdzenia.
Dlaczego? Bo atak zaczyna się od prośby, a nie od włamania.
2.2Fałszywe e-maile i SMS-y „z ePUAP, e-Doręczeń, sądu, komornika, ministerstwa”
Phishing to e-mail, który udaje kogoś zaufanego. Smishing to taki sam SMS. Chcą, żebyś kliknął, otworzył plik albo podał hasło.
W urzędzie oszuści udają ePUAP, e-Doręczenia, sąd i komornika. Udają też ministerstwo, bank, kuriera i dostawcę systemu. Najczęstsza prośba brzmi: „odbierz pismo, kliknij link”.
Pismo z e-Doręczeń odbierasz po zalogowaniu do skrzynki w systemie, który znasz. Nie logujesz się z linku w wiadomości. Dlaczego? Bo link może prowadzić na stronę oszustów.
Zobacz rysunek 5. Na makiecie jest pięć sygnałów, że wiadomość jest podrobiona.
- 1Adres nadawcyDomena nie należy do systemu urzędowego. Prawdziwy nadawca pisze z własnej domeny.
- 2Temat „PILNE” i 24 godzinyPośpiech ma sprawić, że nie sprawdzisz wiadomości.
- 3Ogólne powitanie„Szanowny Użytkowniku” — prawdziwy system zna twoją nazwę lub funkcję.
- 4Przycisk prowadzi na obcą stronęAdres pod przyciskiem nie jest adresem systemu. Najedź kursorem i przeczytaj.
- 5Załącznik .zipArchiwum z „pismem” to typowy nośnik wirusa. Pismo urzędowe nie przychodzi w archiwum.
Siedem sygnałów fałszywej wiadomości
| Nr | Sygnał | Co robisz |
|---|---|---|
| 1 | Dziwny adres nadawcy | Czytasz domenę po znaku @. Nie ufasz samej nazwie nadawcy. |
| 2 | Pośpiech lub groźba | Zwalniasz. Pośpiech ma wyłączyć ostrożność. |
| 3 | Ogólne powitanie | Pytasz: czy nadawca znałby mój urząd? |
| 4 | Link z innym adresem niż napis | Nie klikasz. Najeżdżasz kursorem i czytasz adres. |
| 5 | Nietypowy załącznik | Nie otwierasz. Zgłaszasz. |
| 6 | Prośba o hasło, kod lub dane | Nikt prawdziwy nie prosi o to w wiadomości. Zgłaszasz. |
| 7 | Błędy i dziwny język | Traktujesz jako dodatkowy alarm. Brak błędów to jeszcze nie dowód. |
Jak to zrobić: podejrzana wiadomość w 10 sekund
| Kanał | Co robisz | Czego nie robisz |
|---|---|---|
| Nie klikasz. Nie otwierasz załącznika. Zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. | Nie odpisujesz. Nie usuwasz od razu — informatyk potrzebuje śladu. | |
| SMS | Nie klikasz. Robisz zrzut ekranu. Zgłaszasz. | Nie dzwonisz pod numer z SMS-a. Należy do oszustów. |
| Komunikator | Nie otwierasz pliku od nieznanej osoby. Zgłaszasz. | Nie przekazujesz wiadomości koleżankom „dla ostrzeżenia”. |
| Telefon | Kończysz rozmowę. Zgłaszasz numer i treść. | Nie podajesz kodu, hasła ani danych. |
Zobacz rysunek 6. Drugi kanał to inna droga sprawdzenia prośby. Dzwonisz na numer z akt, z umowy albo z listy urzędu. Nie na numer z wiadomości.
Nie klikasz. Nie odpisujesz. Zgłaszasz.
2.3Fałszywe pełnomocnictwo w PDF i załączniki od „strony”
Oszust podaje się za pełnomocnika. Przysyła e-mailem „pełnomocnictwo” w PDF i prosi o decyzję albo o dostęp do akt. Plik może być sfałszowany. Może też zawierać wirusa.
| Rodzaj pliku | Ryzyko | Co robisz |
|---|---|---|
| PDF, JPG | Mniejsze, ale PDF może mieć link. Dokument może być podrobiony. | Nie klikasz linków w pliku. Pełnomocnictwo sprawdzasz według 1.5. |
| .docm, .xlsm lub prośba „włącz edycję” | Makro może zainstalować wirusa. | Nie włączasz edycji ani zawartości. Zgłaszasz. |
| .zip, .rar, szczególnie z hasłem w wiadomości | Archiwum ukrywa plik przed ochroną. | Nie otwierasz. Zgłaszasz. |
| .exe, .js, .iso, .lnk | Uruchamiają program. | Nigdy nie otwierasz. Zgłaszasz od razu. |
Pliki od stron przyjmujesz przez ePUAP, e-Doręczenia albo okienko. Plik z zwykłego e-maila otwierasz tylko wtedy, gdy pozwalają na to zasady urzędu: polityka bezpieczeństwa informacji. Wiadomości od „strony” z innego adresu niż w aktach nie otwierasz.
2.4Kod QR na piśmie i w wiadomości
Kod QR to kwadratowy kod, który zawiera ukryty link. Oszuści wklejają go na pisma „z urzędu”, na naklejki i w e-maile. Chcą, żebyś zeskanował kod prywatnym telefonem i zapłacił „zaległość”.
Zobacz rysunek 7. Na piśmie jest kod QR i cztery sygnały alarmowe.
- Kodu z nieznanego pisma nie skanujesz — nie widzisz, dokąd prowadzi.
- Pismo sprawdzasz po numerze sprawy w system dziedzinowy i w EZD.
- Mieszkańcowi, który pyta o takie pismo, mówisz: „Proszę nie skanować i nie płacić. Sprawdzę w systemie”.
- Pismo zgłaszasz: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Inni mieszkańcy mogli dostać to samo.
2.5Telefon „z serwisu”, zdalny dostęp i pilne polecenie „od burmistrza”
Dzwoni „serwis systemu dziedzinowego”. Mówi, że wykrył włamanie. Prosi o kod z SMS-a albo o zainstalowanie programu do zdalnej pomocy. Zdalny dostęp daje obcej osobie pełną kontrolę nad komputerem.
Drugi schemat to „pilne polecenie od przełożonego”. Wiadomość lub SMS „od burmistrza” prosi o przelew albo o zmianę numeru konta. Czasem żąda listy osób lub zakupu kart podarunkowych. Pisze oszust.
| Prośba | Co robisz | Dlaczego |
|---|---|---|
| Dzwoni „serwis” i prosi o kod z SMS-a | Nie podajesz. Kończysz rozmowę. Dzwonisz do informatyk lub pomoc techniczna jednostki na numer z listy urzędu. | Kod to klucz do konta. Dostaje go ten, kto się loguje. |
| „Serwis” prosi o instalację programu do zdalnej pomocy | Odmawiasz i zgłaszasz. | Zdalny dostęp daje pełną kontrolę nad komputerem. |
| E-mail „od burmistrza”: pilny przelew na nowe konto | Nie wykonujesz. Sprawdzasz drugim kanałem: dzwonisz do przełożonego na jego numer. | Adres nadawcy można podrobić. Pośpiech ma wyłączyć ostrożność. |
| SMS „od wójta”: kup karty podarunkowe | Nie wykonujesz. Zgłaszasz. | Prawdziwy przełożony tak nie pracuje. |
Kodu z SMS-a nie podajesz nikomu. Ani przełożonemu, ani informatykowi, ani „serwisowi”.
2.6Ransomware w EZD i w systemie dziedzinowym
Ransomware to program, który szyfruje pliki i żąda okupu. Zobacz rysunek 8. Na ekranie widać trzy objawy.
- 1Komunikat o zaszyfrowanych plikachPliki mają dziwne rozszerzenia i nie otwierają się.
- 2Żądanie okupu i presja czasuAtakujący wyznaczają termin i grożą.
- 3Pliki z dopiskiem .lockedTo skutek szyfrowania. Kopia pliku nie pomoże, jeśli leży na tym samym dysku.
Co robisz? Odłączasz kabel sieciowy albo wyłączasz Wi-Fi. Nie wyłączasz komputera. Nie płacisz. Nie piszesz do przestępców. Zgłaszasz od razu: bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów i informatyk lub pomoc techniczna jednostki. Pierwsze 15 minut opisuje moduł 6.
W urzędzie dochodzi jeszcze jedno: terminy w sprawach biegną mimo awarii. Dlatego zgłaszasz od razu, a kierownik decyduje, jak pracować na papierze według procedura zgłaszania incydentów.
2.7Publiczne narzędzia AI i nośniki USB
Publiczne narzędzie AI to czat, który odpowiada na pytania. Wklejony tekst trafia do firmy, która go prowadzi. Nie odzyskasz go.
| Co chcesz wkleić | Wolno? | Dlaczego |
|---|---|---|
| Ogólne pytanie bez danych: „Jak uprzejmie zakończyć pismo?” | Tylko według polityka bezpieczeństwa informacji | Brak danych, ale zasady urzędu mogą ograniczać użycie. |
| Fragment decyzji z imieniem, adresem i numerem sprawy | Nie | Kontekst zdradza człowieka, nawet po zmianie nazwiska. |
| Tabela wniosków z numerami PESEL | Nie | To masowy wyciek jednym kliknięciem. |
| Treść wniosku o dodatek razem z dochodami | Nie | Dochody i zdrowie to dane wrażliwe. |
Pendrive i płyta od wnioskodawcy to drugi kanał wirusów. Nośnika od interesanta nie wkładasz do swojego komputera. Przyjmujesz go do sprawy i przekazujesz do sprawdzenia: informatyk lub pomoc techniczna jednostki. Dopiero potem ktoś otwiera pliki.
Z akt nie wklejasz niczego do publicznego AI. Nośnik od interesanta zanosisz do informatyka.
- Który rodzaj ataku jest u mnie najbardziej prawdopodobny? Co zrobię w pierwszych 10 sekundach?