Telefon dzwoni podczas pracy. Rozmówca przedstawia się jako konsultant, zna nazwę sklepu i twierdzi, że trzeba pilnie usunąć problem z systemem. Prosi o uruchomienie programu albo odczytanie kodu. Taka sytuacja wymaga sprawdzenia tożsamości dzwoniącego, nawet jeśli jego wypowiedź brzmi fachowo. Poniższy scenariusz jest przykładem możliwej próby wyłudzenia, a nie opisem zdarzenia w konkretnej sieci handlowej.

Znajomość nazwy firmy nie potwierdza tożsamości

W oszustwie telefonicznym określanym jako vishing przestępca podszywa się pod zaufaną osobę lub instytucję, aby uzyskać informacje albo skłonić odbiorcę do działania. Ministerstwo Cyfryzacji opisuje również wariant z rzekomą pomocą techniczną. Dla pracownika sklepu istotne jest zatem rozróżnienie dwóch rzeczy: co rozmówca wie oraz jakie ma uprawnienie do wydawania instrukcji. Pierwsza informacja nie rozstrzyga drugiej.

Nazwa placówki czy dostawcy oprogramowania nie jest hasłem uwierzytelniającym. Również wcześniejsze zgłoszenie usterki nie sprawia, że każdy kolejny telefon dotyczący aplikacji można automatycznie uznać za odpowiedź na tę sprawę.

Na ekranie może pojawić się znajomy numer. NASK w materiałach OSE zwraca uwagę na spoofing, czyli możliwość podszywania się pod numer telefonu. Wyświetlany kontakt nie powinien więc stanowić jedynego dowodu, z kim rozmawiasz. Jeżeli prośba dotyczy dostępu do systemów lub danych, przejdź do ustalonego sposobu potwierdzenia kontaktu. Nie oceniaj wiarygodności wyłącznie po głosie, uprzejmości czy znajomości słownictwa technicznego.

Przerwij pośpiech i wróć przez znany kanał

Możesz zapytać o imię i nazwisko, organizację oraz sprawę, której dotyczy telefon. Zanotowanie odpowiedzi pomoże w dalszej weryfikacji, lecz samo przedstawienie się nie jest jej zakończeniem. Gdy pojawia się nieoczekiwana prośba o wrażliwą czynność, zakończ połączenie i skontaktuj się ze wsparciem drogą znaną z zatwierdzonej dokumentacji lub używanego wcześniej oficjalnego panelu. Wybierz numer samodzielnie.

Nie korzystaj do tego z numeru dopiero podyktowanego przez dzwoniącego.

Podobnie potraktuj wiadomość wysłaną w trakcie rozmowy. Logo, podpis konsultanta lub informacja „zgodnie z ustaleniami” nie potwierdzają niezależnie jego tożsamości, skoro pochodzą z tego samego kontaktu. Potwierdzenie powinno nastąpić poza drogą wskazaną przez niezweryfikowaną osobę. Jeśli nie masz dostępu do właściwych danych kontaktowych, zwróć się do wyznaczonej w firmie osoby. Nie szukaj skrótu przez przypadkowy wynik reklamy czy publiczny komentarz.

• Ustal, kto w sklepie może potwierdzić kontakt ze wsparciem i dopuścić określone działania.
• Zachowaj zatwierdzone dane kontaktowe w miejscu dostępnym dla osób, które mogą ich potrzebować.
• Przy prawdziwym zgłoszeniu korzystaj z jego identyfikatora i oficjalnego kanału do ustalenia dalszych kroków.

Hasła i kody nie służą do uspokajania rozmówcy

Nie przekazuj niezweryfikowanej osobie hasła, kodu jednorazowego ani danych umożliwiających odzyskanie konta. Uwierzytelnienie wieloskładnikowe wymaga również ostrożności użytkownika: przepisanie kodu komuś innemu lub zatwierdzenie nieoczekiwanej prośby może pomóc w uzyskaniu dostępu. Czytaj treść komunikatu. Nie akceptuj operacji tylko dlatego, że dzwoniący określił ją jako test albo krok konieczny do anulowania awarii.

Jeśli podczas rozmowy pojawi się powiadomienie o logowaniu, którego nie rozpocząłeś, nie zatwierdzaj go. Przekaż tę obserwację osobie odpowiedzialnej za bezpieczeństwo, korzystając ze znanego kanału.

Właściciel sklepu nie musi sam wykonywać wszystkich czynności technicznych, ale powinien wiedzieć, komu i na jakiej podstawie udostępnia narzędzia pracy. O codziennych obowiązkach oraz wsparciu franczyzobiorców opowiada materiał: https://dziennikbialystok.pl/franczyza-oczami-przedsiebiorcow-co-franczyzobiorcy-zabki-mowia-o-prowadzeniu-sklepu/. Ogólna informacja o dostępnej pomocy nie zastępuje procedury potwierdzania konkretnego telefonu i nie oznacza zgody na przekazywanie danych dostępowych.

Zdalny dostęp wymaga osobnego uzgodnienia

Program do zdalnej obsługi może być legalnym narzędziem pracy serwisu, ale jego instalacja na polecenie nieznanej osoby tworzy inne ryzyko niż zwykła rozmowa o objawach usterki. Taki dostęp, zależnie od narzędzia i nadanych uprawnień, może pozwolić na oglądanie ekranu lub sterowanie urządzeniem. Nie uruchamiaj instalatora i nie przekazuj kodu sesji na podstawie niezweryfikowanego telefonu. Najpierw ustal autentyczność kontaktu oraz zgodność działania z zasadami firmy.

Samo potwierdzenie, że dana osoba pracuje dla dostawcy, nie wyjaśnia jeszcze zakresu potrzebnej sesji. Uprawniona osoba powinna uzgodnić, którego urządzenia i zadania dotyczy pomoc oraz czy takie działanie jest w danym środowisku dozwolone. Pracownik sklepu nie powinien samodzielnie wyłączać zabezpieczeń, uruchamiać dodatkowych kont ani ignorować ostrzeżeń, żeby przyspieszyć rozmowę.

• Nie instaluj programu wskazanego w nieoczekiwanym połączeniu przed weryfikacją i właściwą zgodą.
• Nie otwieraj prywatnych ani zbędnych dokumentów w trakcie udostępniania ekranu.
• Nie wykonuj przelewów i nie zatwierdzaj operacji finansowych jako rzekomego testu pomocy technicznej.

Gdy coś już przekazałeś, liczą się konkretne informacje

Jeżeli doszło do ujawnienia danych lub uruchomienia sesji, przerwij współpracę z rozmówcą i pilnie powiadom właściwą osobę w firmie przez niezależnie potwierdzony kanał. Powiedz, co dokładnie się wydarzyło. Sama informacja „odebrałem dziwny telefon” nie pozwala odróżnić rozmowy zakończonej bez działania od sytuacji, w której ktoś uzyskał dostęp do stanowiska. Nie ukrywaj wykonanych czynności ze strachu przed oceną.

Zachowaj wiadomości, czas połączenia i opis poleceń. Nie próbuj rozwiązywać sprawy, kontaktując się ponownie z podejrzanym konsultantem ani uruchamiając przesłane przez niego pliki. Jeżeli zagrożone są środki lub dane bankowe, potrzebny jest także pilny kontakt z bankiem przez jego oficjalny kanał. Osoby odpowiedzialne za system powinny ocenić potrzebę odcięcia dostępu, zmiany danych uwierzytelniających i zabezpieczenia informacji o zdarzeniu. Samodzielna zmiana jednego hasła nie daje pewności, że problem został zamknięty.

Podejrzaną próbę można również zgłosić do CERT Polska. Zgłoszenie nie zastępuje pilnych działań po stronie firmy, dostawcy czy banku. Sposób dalszej reakcji zależy od tego, co ujawniono i jakie czynności wykonano; nie da się go ustalić wyłącznie na podstawie faktu odebrania telefonu.

Ustal prostą zasadę dla całego zespołu

Ochrona dostępu nie powinna opierać się na tym, że jedna osoba potrafi rozpoznać podejrzany głos. Lepszym punktem wyjścia jest wspólne ustalenie, że nieoczekiwany kontakt dotyczący haseł, instalacji lub zdalnego sterowania wymaga potwierdzenia. Można przećwiczyć krótką odpowiedź: pracownik zakończy rozmowę i wróci do sprawy przez oficjalną pomoc. Nie trzeba wdawać się w spór ani udowadniać rozmówcy, że jest oszustem.

• Pracownik wie, gdzie znaleźć właściwy kontakt i komu przekazać podejrzaną prośbę.
• Właściciel określa, kto może zgodzić się na działania na urządzeniu.
• Informacja o zdarzeniu trafia dalej z opisem faktycznie wykonanych czynności.

Tę regułę warto przypominać przy zmianie personelu lub sposobu kontaktu z dostawcą. Jej użycie nie wymaga diagnozy całego zagrożenia. Wystarczy rozpoznać moment, w którym ktoś nieoczekiwanie prosi o kontrolę nad urządzeniem albo dane do konta, i zatrzymać się przed ich przekazaniem.

Artykuł partnera