WPISY

Jako samorządowcy każdego dnia realizujemy szereg zadań wynikających z kompetencji JST. Budowa nowego żłobka, szkoły, chodnika, drogi czy sprawny odbiór odpadów jest dla każdego burmistrza celem nadrzędnym, aby mieszkańcom żyło się wygodniej i bezpieczniej. Często zadania merytorczne absorbują naszą uwagę zbyt mocno by dostrzec zagrożenie cybernetyczne. Jedno kliknięcie może spowodować lawinę problemów. Warto zastanowić się, czy Twoja jednostka samorządowa jest przygotowana na ataki cyfrowe, które mogą zniszczyć efektywność codziennego zarządzania.

 

Źródło Photo by FlyD on Unsplash

Jak podaje „Herbapol-Lublin” S.A. – w wyniku działalności grupy hakerów systemy informatyczne spółki zostały zaszyfrowane za pomocą złośliwego oprogramowania, co skutkowało czasową utratą dostępności.

W związku z powyższym nie można wykluczyć, że mogło dojść do nieuprawnionego dostępu do danych osobowych, co w konsekwencji może skutkować próbą ich wykorzystania.

Zarząd Spółki „HERBAPOL-LUBLIN” S. A. zwraca się do zainteresowanych o wzmożoną czujność i informuje o możliwych skutkach.

„Ewentualny nieuprawniony dostęp do Państwa danych osobowych może się wiązać z:

• uzyskaniem przez osoby trzecie, na szkodę osób, których dane naruszono, kredytów w

instytucjach pozabankowych, ponieważ wiele takich instytucji umożliwia uzyskanie pożyczki

lub kredytu w łatwy i szybki sposób np. przez Internet lub telefonicznie bez konieczności

okazywania dokumentu tożsamości,

• kradzieżą lub sfałszowaniem tożsamości, np. posłużeniem się Państwa danymi przez osobę

nieuprawnioną w celu zawarcia umowy, zaciągnięcia zobowiązania finansowego, podszycia

się pod Państwa w przypadku otrzymania mandatu,

• uzyskaniem autoryzacji do usług bankowych, ubezpieczeniowych lub telekomunikacyjnych,

np. w celu zamówienia dodatkowych usług lub urządzeń w Państwa imieniu.

• uzyskaniem dostępu do korzystania ze świadczeń opieki zdrowotnej przysługujących osobom,

których dane naruszono oraz ich danych o stanie zdrowia, ponieważ często dostęp do

systemów rejestracji pacjenta można uzyskać telefonicznie potwierdzając swoją tożsamość

za pomocą numeru PESEL,

• zarejestrowaniem przedpłaconej karty telefonicznej (pre-paid), która może posłużyć do celów

przestępczych.

• skorzystaniem z praw obywatelskich osób, których dane naruszono, np.: do głosowania nad

środkami budżetu obywatelskiego, co z kolei uniemożliwiałoby to osobom, których dane w

sposób nieuprawniony użyto skorzystanie z przysługującego im prawa.”

Patrząc przez pryzmat powyższego, taka sytuacja może spotkać każdego z nas. Zadbajmy o poprawę kompetencji pracowników samorządowych poprzez organizacje szkoleń i testów. Przypominajmy pracownikom o zagrożeniach i odpowiedzialności za dane, jakie przetwarzamy w ramach pełnionych obowiązków.

Praktyczne wskazówki na zwiększenie cyberbezpieczeństwa:

• Szkolenia i poprawa świadomość pracowników.

• Redundancja infrastruktury krytycznej.

• Implementacja oprogramowania antywirusowego, firewalla, szyfrowania danych oraz systemów wykrywania intruzów.

• Regularne aktualizacje i patchowanie oprogramowania.

• Samowystarczalność energetyczna na min. 24h.

Źródła:

Komunikat dotyczący ataku hakerskiego na infrastrukturę informatyczną Herbapol – Lublin S.A https://www.herbapol.com.pl/assets/files/zawiadomienie-o-naruszeniu-danych-bylych-pracownikow-herbapol-lublin-s.a_.pdf

AI ACT- Niniejszy tekst i/lub grafika zostały wygenerowane lub poprawione przy użyciu narzędzi SI.

BEC (Business‑Email‑Compromise) to wysoce ukierunkowany atak socjotechniczny przeprowadzany drogą e‑mail. Atakujący podszywa się pod zaufane osoby np.: burmistrzów, wójtów, skarbików, mieszkańców i nakłania cię do przesłania pieniędzy lub ujawnienia danych. Hakerzy raczej nie używają malware, załączników, ani linków. Wystarczy tekst e‑maila, precyzyjnie spersonalizowany, na podstawie informacji o organizacji zaczerpniętych z danych publicznych. Takie ataki nie są wykrywane przez tradycyjne filtry antyspamowe.

 

Źródło https://bezpiecznymiesiac.pl/

Schemat ataku BEC

‑ Rozpoznanie: często wystarczy OSINT, atakujący zdobywa dane o strukturze organizacji, osobach decyzyjnych, stylu komunikacji.

‑ Uwiarygodnienie wiadomości: Atakujący może użyć konta identycznego lub bardzo podobnego do oryginalnego (np. drobna zmiana domeny) albo włamać się na konto, by wysyłać żądania w imieniu skarbnika do burmistrza z prośbą o elektroniczne podpisanie umowy czy przelewu.

‑ Treść wiadomości: zgłaszanie „pilnych”, „poufnych” żądań, czasem w trakcie realnych wątków e‑mailowych.

Przykłady:

– Przejęcie konta – monitorowanie treści e-mail prze kilka tygodni, atak następuje w momencie głównych miesięcznych płatności – np. wypłaty dla pracowników. Wysyłanie wiadomości z przejętego adresu.

– Podszywanie się pod prawnika, skarbnika, kierownika – zwykle do nowych lub młodszych pracowników z pilnym zadaniem.

– Modyfikacja faktur – w rzeczywistych wątkach zmieniają numer konta bankowego w fakturze.

Najnowsze badania wykazują, że LLM potrafią samodzielnie generować spersonalizowane e‑maile. Ataki zautomatyzowane przez AI działały porównywalnie z ekspertami i o 350% lepiej niż grupa kontrolna jak podaje Cornell University. Według badań przeprowadzonych przez Eye Security w oparciu o dane klientów, ataki typu Business Email Compromise (BEC) znacząco wzrosły w roku 2024, stanowiąc 73% wszystkich zgłoszonych incydentów cybernetycznych – to gwałtowny wzrost w porównaniu z 44% w 2023 roku.

Pytania dla kadry wysokiego szczebla:

• Czy przeprojektowałeś procedury w instytucji, by przelewy wymagały potwierdzenia przed realizacją?

• Czy pracownicy znają schematy najczęstszych ataków i wiedzą jak je rozpoznać?

• Czy filtrowanie e‑maili dostrzega tylko malware, czy analizuje też zachowania?

• Czy wdrożyłeś MFA odporne na phishing, np. tokeny fizyczne, analiza anomalii?

Wskazówki

1. Weryfikuj każdą pilną prośbę o zmianę danych bankowych lub wykonanie przelewu – Zadzwoń do źródła pod oficjalny znany numer, niezależnie od tego, kto prosi.

2. Sprawdzaj adres e‑mail dokładnie – drobne litery, różnice jednej litery w domenie; kliknij „reply” i sprawdź adres docelowy.

3. Opracuj i egzekwuj bezpieczne procedury: każda faktura, zmiana danych, duża płatność musi przejść przez formalny proces wewnętrzny.

4. Szkolenie pracowników powinno być ciągłym procesem. Przeprowadzaj testy po szkoleniach.

5. Wdrażaj nowoczesne technologie – AI‑based monitoring, który rozpoznaje anomalie zachowania e‑maili zamiast tylko treści, stosuj MFA (tokeny, biometria).

6. Opracuj plan na wypadek incydentu –blokuj podejrzane konta, zgłaszaj do banku, raportuj do CERT.

Źródła:

NASK, „Ataki typu Buisness E-mail Compromise” https://bezpiecznymiesiac.pl/bm/aktualnosci/1433,Ataki-typu-Buisness-E-mail-Compromise.html?sid=6a7cc6b0daec7ad495edd61d2afba45d

Microsoft, „Istota naruszenia biznesowej poczty e-mail (BEC)” https://www.microsoft.com/pl-pl/security/business/security-101/what-is-business-email-compromise-bec

Eye Security, „Eye Security Warns: BEC Incidents Surge in 2024, Driving Up Insurance Costs” https://www.eye.security/press/bec-incidents-surge-in-2024-driving-up-insurance-costs

Cornell University, „Evaluating Large Language Models’ Capability to Launch Fully Automated Spear Phishing Campaigns: Validated on Human Subjects” https://arxiv.org/abs/2412.00586?utm_source=chatgpt.com

 

AI ACT- Niniejszy tekst i/lub grafika zostały wygenerowane lub poprawione przy użyciu narzędzi SI.