Kliknięcie już się wydarzyło. Strona wygląda dziwnie albo dopiero po chwili zauważasz, że wiadomość nie pochodzi od nadawcy, za którego się podaje. Przerwij działanie i jak najszybciej skontaktuj się z firmowym IT lub osobą odpowiedzialną za bezpieczeństwo. Nie musisz najpierw udowadniać, że doszło do ataku.
Samo wejście na stronę nie przesądza o przejęciu konta czy urządzenia. Znaczenie ma to, co stało się później: wpisanie hasła, zatwierdzenie logowania, pobranie pliku, jego uruchomienie lub wykonanie płatności. Tę różnicę trzeba jasno przekazać osobie, która pomaga.
Najpierw zatrzymaj kolejne działania
Nie wpisuj już żadnych danych. Nie zatwierdzaj komunikatów i nie instaluj programu, który strona przedstawia jako narzędzie naprawcze. Nie wracaj do podejrzanego formularza, żeby sprawdzić, czy nadal działa.
Jeżeli urządzenie zachowuje się nietypowo, uruchomiono podejrzany plik lub trwa zdalne sterowanie, odłącz je od sieci, o ile możesz to zrobić bezpiecznie, i zadzwoń do IT. Nie wyłączaj ani nie resetuj sprzętu bez ich wskazania. Po samym kliknięciu priorytetem jest zgłoszenie i ocena sytuacji, a nie samodzielne kasowanie wszystkiego.
Ustal, co dokładnie się wydarzyło
Odtwórz zdarzenie bez ponownego otwierania linku. Pomocne są cztery pytania:
- Czy tylko otwarto stronę, czy również coś na niej wpisano?
- Czy pobrano plik, a jeśli tak, czy został otwarty lub uruchomiony?
- Czy zaakceptowano prośbę o logowanie, nadanie dostępu aplikacji lub zdalną pomoc?
- Czy podano dane karty albo wykonano przelew?
To nie egzamin z informatyki. Jeśli nie pamiętasz któregoś kroku, powiedz o tym. Rzetelny opis jest bardziej użyteczny niż uspokajające zapewnienie, że „chyba nic się nie stało”.
NCSC zaleca powiadomienie firmowego IT, a przy ujawnieniu danych bankowych również kontakt z bankiem. Wskazuje także zmianę ujawnionych haseł i sprawdzenie urządzenia odpowiednim oprogramowaniem ochronnym. Zalecenia NCSC.
Wpisano hasło? Zabezpiecz konto
Zmień ujawnione hasło przez oficjalną aplikację lub znany adres usługi. Jeśli jest podejrzenie infekcji urządzenia, użyj innego, zaufanego sprzętu. Gdy to samo hasło było używane gdzie indziej, te konta również wymagają zabezpieczenia.
Poinformuj IT, czy wpisano kod jednorazowy albo zatwierdzono powiadomienie MFA. Nie zakładaj, że dodatkowy kod automatycznie zatrzymał atak.
Przy koncie służbowym sama zmiana hasła może nie zakończyć sprawy. Administrator powinien sprawdzić aktywne sesje, metody logowania, uprawnienia aplikacji i reguły skrzynki. Microsoft opisuje te czynności w procedurze reagowania na przejęcie konta. Dokumentacja Microsoft.
Pobrano plik? Nie uruchamiaj go ponownie
Przekaż nazwę pliku oraz informację, czy został tylko zapisany, otwarty czy uruchomiony. Nie próbuj samodzielnie sprawdzać zawartości na innym komputerze. Nie wysyłaj służbowego dokumentu do przypadkowego internetowego skanera: może zawierać dane firmy lub klientów.
Postępuj według firmowej procedury. IT może zlecić skanowanie, zabezpieczyć urządzenie i sprawdzić, czy plik wykonał jakieś działania. Brak widocznych objawów nie jest wystarczającym potwierdzeniem, że sprzęt jest bezpieczny.
Podano dane płatnicze albo wysłano pieniądze?
Niezwłocznie skontaktuj się z bankiem przez znaną aplikację lub oficjalny numer. Opisz sytuację i zastosuj wskazówki dotyczące zabezpieczenia karty, konta lub próby zatrzymania przelewu. Jednocześnie poinformuj osobę zarządzającą finansami w firmie.
Zachowaj potwierdzenia transakcji i korespondencję. Szybka reakcja ma znaczenie, ale nie gwarantuje odzyskania pieniędzy. W przypadku oszustwa potrzebne może być też zgłoszenie policji.
Co napisać w zgłoszeniu do IT?
Poniższy przykład jest fikcyjny i pokazuje użyteczny poziom szczegółowości:
Około 10:20 kliknąłem link w mailu dotyczącym udostępnionego dokumentu. Wpisałem służbowy adres i hasło, ale nie zatwierdzałem logowania w telefonie. Niczego nie pobierałem. Pracowałem na firmowym laptopie. Zachowałem wiadomość.
Nie podawaj w zgłoszeniu samego hasła, kodów ani pełnych danych karty. Nie usuwaj wiadomości i historii, dopóki IT nie wskaże, jakie informacje trzeba zachować. Jeśli podejrzewasz przejęcie poczty, zgłoś sprawę telefonicznie lub innym uzgodnionym kanałem.
Co powinien zrobić przełożony?
Pierwsza odpowiedź powinna ułatwiać reakcję: „Dzięki za szybkie zgłoszenie. Sprawdźmy, co się wydarzyło”. Pytanie, kto zawinił, nie pomaga zabezpieczyć konta.
Po opanowaniu sytuacji sprawdźcie, czy instrukcja zgłaszania była dostępna, a kontakt do pomocy łatwy do znalezienia. Do szkolenia zespołu można wykorzystać opis sytuacji bez ujawniania osoby, której się przydarzyła. Przećwiczenie takiej reakcji warto połączyć z pierwszą symulacją phishingu.
Gdzie zgłosić podejrzaną stronę poza firmą?
W Polsce służy do tego formularz CERT Polska. Nie zastępuje on pilnego kontaktu z IT lub bankiem. Kanały zgłaszania wiadomości opisuje też poradnik gov.pl.
Jeśli przygotowujesz zespół na takie sytuacje, poznaj SafeLure. Kontrolowane ćwiczenie daje okazję, by omówić zarówno sygnały oszustwa, jak i właściwą reakcję po błędzie.
