Cyberbezpieczeństwo nie polega wyłącznie na znajomości pojęć takich jak phishing, wirus czy uwierzytelnianie dwuskładnikowe. Najważniejsze jest to, jak zachowujemy się w konkretnej sytuacji: gdy przychodzi podejrzana wiadomość, ktoś prosi o kod, strona chce uzyskać dostęp do danych albo komputer zaczyna działać nietypowo.
Większość takich sytuacji nie zaczyna się od komunikatu „Uwaga, atak!”. Częściej pojawia się presja czasu, obietnica nagrody, prośba od znajomego albo wiadomość wyglądająca na szkolny komunikat. Dlatego warto wyrobić sobie prosty nawyk: zatrzymaj się, sprawdź źródło, oceń konsekwencje, dopiero wtedy działaj.
Wyobraź sobie e-mail o konieczności pilnego zalogowania do e-dziennika. Zawiera logo szkoły, poprawne imię i nazwisko, a nawet podpis „administrator”. To wszystko da się skopiować. Podobnie działają SMS-y o niedopłacie do przesyłki, rzekome konkursy i wiadomości z linkiem do „odzyskania konta”.
Oszuści często wykorzystują dwa mechanizmy psychologiczne: pośpiech („masz 15 minut”) oraz strach przed stratą („konto zostanie zablokowane”, „paczka wróci do nadawcy”). W takiej chwili nie musisz natychmiast odpowiadać. Najpierw sprawdź sprawę z innego źródła: uruchom samodzielnie znaną aplikację lub wpisz znany adres serwisu. W szkole możesz zapytać nauczyciela albo administratora.
Istotna jest domena, czyli właściwa nazwa strony internetowej. Podobne logo, znajomy nagłówek i nawet symbol kłódki nie dowodzą, że znajdujesz się we właściwym serwisie. HTTPS oznacza szyfrowane połączenie, ale fałszywa strona także może używać HTTPS.
Kod QR jest wygodnym sposobem otwarcia adresu. Nie jest jednak certyfikatem bezpieczeństwa. Kod umieszczony na plakacie może prowadzić do nieznanej strony; ktoś może też nakleić fałszywy kod na prawdziwe ogłoszenie. Zanim podasz hasło lub dane płatnicze, sprawdź otwarty adres i cel logowania. Jeśli szkolna informacja budzi wątpliwości, zweryfikuj ją u organizatora.
Przykład do przemyślenia: jeżeli SMS informuje o dopłacie 1,49 zł, to niewielka kwota nie oznacza małego ryzyka. Celem może być pozyskanie całych danych karty, a nie jedynie pobranie 1,49 zł.
Komunikator pokazuje zdjęcie kolegi, który prosi o szybki kod BLIK. Numer telefonu albo profil się zgadza. Czy to wystarczy? Nie. Konto mogło zostać przejęte. Oszust może znać styl pisania, imiona znajomych i szczegóły z publicznych wpisów.
Podobna sytuacja dotyczy osoby podającej się za pracownika pomocy technicznej. Nikomu nie podawaj jednorazowych kodów logowania ani nie zatwierdzaj operacji, której sam nie rozpocząłeś. Jeśli rozmówca prosi o pilne działanie, skontaktuj się z daną osobą przez wcześniej znany numer lub oficjalny kanał — nie przez numer podany w podejrzanej wiadomości.
Współczesne narzędzia pozwalają na tworzenie fałszywych nagrań głosu i obrazu. Nawet głos przypominający dyrektora nie jest wystarczającym dowodem, by przesłać listę uczniów, numery telefonów czy inne dane. W takich sprawach ważna jest nie tylko tożsamość nadawcy, lecz także uprawnienie do otrzymania informacji.
Jedno hasło do poczty, gry i platformy szkolnej może wydawać się wygodne. Jest też ryzykowne. Jeśli hasło wycieknie z jednego serwisu, przestępcy mogą sprawdzić je w pozostałych. Dlatego używaj długich, unikalnych haseł do różnych usług. W ich tworzeniu i przechowywaniu pomaga menedżer haseł.
Przejdź do materiału Cyber-Soft – Hasło i zastanów się, co sprawia, że hasło jest trudne do odgadnięcia. Porównuj wyłącznie wymyślone przykłady, a nie hasła do swoich prawdziwych kont. Sama obecność cyfr i znaków specjalnych nie zastąpi odpowiedniej długości ani nie sprawi, że popularne, przewidywalne hasło będzie bezpieczne.
Najważniejsze konta, zwłaszcza pocztę, warto zabezpieczyć dodatkowym składnikiem logowania: aplikacją uwierzytelniającą, kluczem bezpieczeństwa lub inną metodą oferowaną przez usługę. Ten mechanizm nazywa się MFA (uwierzytelnianie wieloskładnikowe); często spotkasz określenie 2FA.
Jeżeli telefon prosi o zatwierdzenie logowania, którego nie wykonujesz, odrzuć prośbę. Ktoś może próbować dostać się na Twoje konto. Sprawdź wtedy zabezpieczenia i aktywne sesje w oficjalnej aplikacji, a gdy zachodzi podejrzenie przejęcia — zmień hasło. Nie zatwierdzaj powiadomień tylko po to, żeby przestały się pojawiać.
Gdy dowiesz się o wycieku hasła, zmiana tylko w jednym serwisie może nie wystarczyć. Zmień je także wszędzie, gdzie użyto tego samego hasła, sprawdź aktywne urządzenia i włącz MFA. Usunięcie historii przeglądarki nie unieważnia skradzionego hasła.
Na komputerze w bibliotece lub pracowni komputerowej kończ pracę przez wylogowanie z konta, a nie samo zamknięcie karty. Nie zapisuj hasła w przeglądarce. Jeśli pobrałeś dokument z danymi, sprawdź, czy nie został w folderze Pobrane. Na własnym komputerze zadbaj o blokadę ekranu i aktualizacje.
Nie podłączaj znalezionego pendrive'a, nawet jeśli jest opisany jako „odpowiedzi do sprawdzianu”. Zagrożeniem może być nie tylko szkodliwy plik — niektóre urządzenia USB mogą udawać inne typy sprzętu, np. klawiaturę. Znaleziony nośnik przekaż nauczycielowi lub administratorowi.
Uważaj również na załączniki proszące o włączenie makr i na rozszerzenia przeglądarki żądające zbyt wielu uprawnień. Nie każdy arkusz z makrami jest szkodliwy, ale nieoczekiwany plik z niepewnego źródła należy zweryfikować przed uruchomieniem aktywnej zawartości. Jeżeli rozszerzenie chce czytać i zmieniać dane na wszystkich stronach, zastanów się, czy rzeczywiście jest Ci potrzebne.
Publiczna sieć Wi-Fi może być użyteczna, ale jej nazwa nie mówi, kto ją faktycznie udostępnia. W ważnych sprawach — np. podczas logowania do banku lub przesyłania poufnych dokumentów — rozważ użycie własnej transmisji komórkowej. Niezależnie od sieci sprawdzaj prawidłową domenę i szyfrowanie HTTPS.
Aktualizacje systemu i aplikacji usuwają nie tylko błędy, ale często także luki bezpieczeństwa. Instaluj je z oficjalnych mechanizmów aktualizacji. Przed restartem zapisz pracę. Nie pobieraj przypadkowej „poprawki zabezpieczeń” ze strony znalezionej w reklamie.
Udostępnianie pliku przez link jest wygodne, ale opcja „Każdy, kto ma link, może edytować” bywa zbyt szeroka. Dotyczy to zwłaszcza arkuszy z nazwiskami, telefonami, ocenami czy innymi danymi uczniów. Wybieraj dostęp tylko dla uprawnionych osób, a rolę „wyświetlanie” zamiast „edycja”, jeśli odbiorca nie musi wprowadzać zmian.
Nie zakładaj, że link pozostanie tylko u jednej osoby. Można go przesłać dalej. Podobnie rozważnie przyznawaj uprawnienia aplikacjom w telefonie i rozszerzeniom przeglądarki. Dostęp do mikrofonu, kontaktów czy lokalizacji powinien mieć konkretny cel.
Zanim udostępnisz plik, zapytaj: czy ta osoba musi dostać wszystkie dane, czy wystarczy mniejszy zakres? Często bezpieczniejsze będzie przekazanie wyłącznie potrzebnego fragmentu dokumentu.
Nawet bardzo ostrożna osoba może stracić dane wskutek awarii dysku, przypadkowego skasowania plików, zgubienia laptopa albo ataku. Dlatego ważne projekty zapisuj nie tylko w jednym miejscu. Kopia na tym samym dysku nie ochroni przed jego awarią.
Dobra kopia zapasowa powinna znajdować się w niezależnej i odpowiednio zabezpieczonej lokalizacji — np. na odłączanym nośniku albo w zaufanej usłudze chmurowej z kontrolą dostępu. Przydatne jest wersjonowanie, czyli możliwość powrotu do wcześniejszej wersji pliku. Od czasu do czasu sprawdź, czy dane naprawdę da się przywrócić.
Jeśli szkolny komputer nagle wyświetla żądanie okupu, pliki są zaszyfrowane albo system zachowuje się nietypowo, nie próbuj udowadniać, że sam wszystko naprawisz. Przerwij pracę i jak najszybciej zgłoś zdarzenie nauczycielowi lub administratorowi. W przypadku podejrzenia ransomware należy odizolować zagrożony komputer od sieci, jeśli można to bezpiecznie zrobić. Nie podłączaj dodatkowych nośników, nie usuwaj na własną rękę śladów zdarzenia i nie płać okupu.
Jeżeli przypadkowo podałeś hasło na podejrzanej stronie, działaj szybko: otwórz właściwy serwis samodzielnie, zmień hasło, zakończ podejrzane sesje i włącz MFA. Gdy podałeś dane płatnicze, niezwłocznie skontaktuj się z bankiem. Zgłoszenie błędu może ograniczyć szkody — ukrywanie go zwykle tylko zwiększa ryzyko.
W Polsce podejrzane wiadomości i strony można zgłaszać przez incydent.cert.pl, a podejrzane SMS-y przesyłać do CERT Polska na numer 8080.
Przerobione zdjęcie kolegi, wyśmiewanie na czacie czy publikowanie czyjegoś numeru telefonu to nie tylko „żart w internecie”. Takie działania mogą prowadzić do realnej krzywdy. Jeśli widzisz cyberprzemoc, nie rozpowszechniaj materiału dalej. Możesz zachować dowód w sposób nienaruszający prywatności i powiadomić zaufanego dorosłego, wychowawcę, pedagoga lub administratora serwisu.
W sytuacjach poważnego zagrożenia bezpieczeństwa potrzebna bywa pomoc odpowiednich służb. Reagowanie jest odpowiedzialnością także świadków, nie wyłącznie osoby poszkodowanej.
Przed kolejnym podejrzanym linkiem, załącznikiem, prośbą lub instalacją zastosuj krótki test:
Jeśli nie potrafisz bezpiecznie odpowiedzieć na te pytania, wstrzymaj działanie i sprawdź sytuację z innego źródła. To rozsądna decyzja, a nie brak umiejętności.
W kartach znajdziesz krótkie historie z życia ucznia: wiadomości, konta, urządzenia, pliki i sytuacje społeczne. W każdym pytaniu wybierz najbezpieczniejszą i najbardziej odpowiedzialną reakcję. Nie zawsze trzeba znać trudną nazwę zagrożenia. Ważniejsze jest zrozumienie, co może się wydarzyć po podjęciu danej decyzji.