Dziś, 27 lutego, obchodzimy Światowy Dzień Organizacji Pozarządowych – moment, w którym doceniamy pracę tysięcy NGO działających na rzecz społeczeństwa. Czy w natłoku codziennych wyzwań organizacje pamiętają o swoim bezpieczeństwie w sieci? Cyberprzestępcy nie świętują – wykorzystują każdą lukę, by przejąć dane, wyłudzić pieniądze lub podszyć się pod organizację. choćby drobne zaniedbanie, jak brak aktualizacji systemu czy słabe hasło, może otworzyć cyberprzestępcom drzwi do Waszych zasobów. W trosce o bezpieczeństwo organizacji społecznych, we współpracy z ekspertami z NASK, przygotowaliśmy poradnik, który pomoże Wam zminimalizować ryzyko cyberataków. Sprawdźcie, jakie zagrożenia mogą Was dotyczyć i jak skutecznie się przed nimi chronić – nie tylko od święta.
Małe zaniedbania, duże ryzyko – jak dbać o cyberbezpieczeństwo w NGO
Nawet najsolidniejsze drzwi antywłamaniowe nie spełnią swojej funkcji, jeżeli ktoś zostawi otwarte okno. Podobnie jest z cyberbezpieczeństwem – choćby najlepsze zabezpieczenia techniczne nie ochronią organizacji przed zagrożeniami, jeżeli zaniedbane zostaną podstawowe zasady bezpieczeństwa.
To codzienne nawyki stanowią pierwszą i najważniejszą tarczę ochronną Waszej organizacji. To one decydują, czy osłania Was cienka zasłona, przez którą łatwo się przebić, czy solidna zbroja, odporna na cyberataki.
Najczęstsze błędy osłabiające cyberbezpieczeństwo w NGO – sprawdź, czy je popełniasz.
Do najczęstszych problemów z cyberbezpieczeństwem w organizacjach społecznych należą:
- brak regularnych aktualizacji systemów operacyjnych i oprogramowania,
- używanie słabych (poniżej 14 znaków) lub identycznych haseł do różnych usług,
- brak weryfikacji dwuetapowej na kluczowych kontach,
- pozostawianie urządzeń bez nadzoru i blokady ekranu,
- nadmierne uprawnienia dostępu dla pracowników i wolontariuszy,
- przechowywanie poufnych danych na niezabezpieczonych nośnikach,
- brak procedur tworzenia kopii zapasowych.
Dbanie o te z pozoru „błahe” aspekty znacząco wzmacnia ochronę przed cyberzagrożeniami, zmniejsza ryzyko wycieku danych oraz nieautoryzowanego dostępu do kont np. bankowych czy poczty e-mail.
Cyberbezpieczeństwo a transparentność NGO – jak chronić organizację przed oszustami?
Wiele informacji, które w życiu prywatnym traktujemy jako poufne i chronimy (np. adres, dane finansowe), w organizacjach pozarządowych jest publicznie dostępnych ze względu na wymogi prawne. Transparentność jest kluczowa dla budowania zaufania i wiarygodności NGO, ale jednocześnie wymaga dodatkowej czujności i odpowiednich zabezpieczeń. Oszuści mogą wykorzystywać powszechnie dostępne informacje do przeprowadzania precyzyjnych, spersonalizowanych ataków phishingowych.
Dane takie jak:
- informacje o członkach zarządu (np. z rejestru KRS),
- wyniki konkursów dotacyjnych i wysokość przyznanych środków,
- sprawozdania finansowe (głównie w przypadku OPP),
mogą posłużyć im do tworzenia przekonujących wiadomości, które wyglądają jak oficjalna korespondencja od instytucji grantowych, partnerów czy urzędów. Otrzymane e-maile lub SMS-y mogą zawierać m.in. linki do stron łudząco podobnych do oryginalnych stron logowania np. do bankowości elektronicznej. Wpisane tam dane, zamiast trafić do zaufanej instytucji, trafiają bezpośrednio do oszustów, co może skutkować przejęciem konta organizacji, wyciekiem wrażliwych informacji oraz kolejnymi oszustwami. Takie działania mogą narazić organizację na straty finansowe, wizerunkowe oraz konsekwencje prawne.
Linki do stron phishingowych są rozpowszechniane nie tylko poprzez e-maile i SMS-y. Można je znaleźć także w postach na portalach społecznościowych oraz w prywatnych wiadomościach wysyłanych z przejętych kont.
Te sytuacje powinny zapalić czerwoną lampkę!
Każda sytuacja dotycząca finansów organizacji, szczególnie gdy:
- otrzymasz niespodziewaną wiadomość od członka zarządu z prośbą o pilny przelew na wskazane konto,
- pojawi się prośba o zmianę numeru rachunku bankowego do regulowania faktur, zwłaszcza od stałych kontrahentów,
- dostaniesz informację o domniemanej nadpłacie lub konieczności zwrotu środków na konkretne konto.
Każda sytuacja wymagająca logowania na konta organizacji (bankowe, e-mail lub społecznościowe), m.in. gdy:
- otrzymasz wiadomość z pilnym wezwaniem do działania np. „Twój dostęp zostanie zablokowany w ciągu 24 godzin”,
- konto nagle wymaga resetu hasła, którego nie inicjowaliście,
- dostajesz ostrzeżenie o „nietypowej aktywności” np. logowaniu z nieznanej lokalizacji i prośbę o natychmiastowe zweryfikowanie sytuacji.
Jak rozpoznać fałszywą wiadomość e-mail?
Fałszywe e-maile mogą zwierać błędy ortograficzne i stylistyczne. Jednak nie jest to regułą. Nawet poprawnie brzmiący e-mail może być fałszywy, dlatego zawsze weryfikuj uważnie pole nadawcy.
Widoczny nagłówek wiadomości e-mail to zwykle nazwisko lub nazwa firmy np. „Jan Kowalski” lub „Twój Bank”. Warto jednak zapamiętać, iż oszuści mogą dowolnie modyfikować nazwę wyświetlaną w polu „Od”, dlatego zawsze należy sprawdzić pełny adres e-mail.
Ważne, aby zwrócić uwagę na domenę, czyli część znajdującą się po znaku „@”, i upewnić się, iż nawiązuje ona do oficjalnej strony instytucji. Pełny adres można zobaczyć, klikając na pole nadawcy. Powyższy przykład jest oczywiście oszustwem.
Zdarza się jednak, iż adres jest poprawny, ale w treści opisana jest nagląca sytuacja wymagająca szybkiego działania – wtedy skontaktuj się z nadawcą inną drogą i potwierdź otrzymaną prośbę. jeżeli serwis pocztowy nie był odpowiednio zabezpieczony, poczta partnera czy kontrahenta mogła zostać przejęta przez oszustów.
To, czy Wasza poczta jest odporna na takie działania, możecie łatwo sprawdzić przy pomocy narzędzia: Bezpieczna poczta. Korzystanie z niego jest możliwe także w ramach nowego serwisu moje.cert.pl, o którym więcej piszemy poniżej.
Jak rozpoznać fałszywą stronę? Mit „zielonej kłódki”.
Symbol „zielonej kłódki” przed adresem internetowym informuje, iż dane przesyłane między użytkownikiem a stroną są szyfrowane, ale nie świadczy to o wiarygodności ani intencjach właściciela strony. Fałszywe strony także posiadają „zielone kłódki”, dlatego zawsze dokładnie sprawdzaj poprawność domeny: czy nie ma literówek lub drobnych zmian w adresie.
Gdy wydaje Ci się, iż odwiedzasz adekwatną stronę np. twojbank.pl, oszuści mogą przekierować Cię na fałszywą witrynę łudząco podobną do oryginału, ale z subtelną różnicą w adresie np. twoj-bank.pl lub bank-logowanie.com.
Samo kliknięcie linka nie jest największym zagrożeniem – problemem jest to, iż strona, na którą trafisz, została spreparowana przez oszustów. Zwykle wymaga ona wykonania dodatkowej czynności np. podania loginu i hasła, co stanowi największe ryzyko, ponieważ dane te trafiają bezpośrednio do cyberprzestępców.
Pełen adres strony to ciąg znaków, który znajduje się pomiędzy „//” a pierwszym kolejnym”/”.
Przestępcy, chcąc uśpić Twoją czujność, mogą stosować np. bardzo długie adresy, aby ukryć prawdziwą domenę i sprawić, iż na pierwszy rzut oka strona wydaje się autentyczna. Poniżej przykład, jak może wyglądać próba oszustwa:
Zgłoś, gdy otrzymasz niepokojąca wiadomość!
Jeśli otrzymasz niepokojącą wiadomość, zgłoś ją za pośrednictwem strony incydent.cert.pl, aplikacji mObywatel lub SMS-em na numer 8080 (dotyczy wiadomości tekstowych). Dzięki temu specjaliści z CERT Polska (krajowy zespół reagowania na incydenty w sieci, działający w Instytucie NASK) mogą szybciej blokować fałszywe strony, ostrzegać innych i ograniczać działalność cyberprzestępców. Każde zgłoszenie zwiększa bezpieczeństwo w sieci i pomaga zapobiegać kolejnym atakom, chroniąc zarówno Twoją organizację, jak i innych użytkowników.
Sprawdź, czy Twoja domena jest narażona na cyberataki!
Zespół CERT Polska stworzył także bezpłatne narzędzie (moje.cert.pl) do kompleksowej ochrony stron, adresowane do wszystkich administratorów. To jedyny tego rodzaju projekt na świecie, dostępny tak szeroko i całkowicie za darmo.
Dzięki temu rozwiązaniu Twoja organizacja może:
- wykonać skanowanie bezpieczeństwa wszystkich swoich domen – otrzymasz informację o wykrytych lukach;
- uzyskać informacje na temat wycieków haseł użytkowników w swojej domenie. jeżeli CERT Polska wykryje, iż doszło do ich wycieku, wyśle właścicielowi/administratorowi domeny alert;
- sprawdzić, czy Twoja sieć jest chroniona Listą Ostrzeżeń przed niebezpiecznymi stronami;
- otrzymać alerty o infekcjach szkodliwym oprogramowaniem oraz o innych zagrożeniach w swoich sieciach.
Aby skutecznie chronić się przed cyberzagrożeniami, warto nie tylko dbać o zabezpieczenia techniczne, ale także stale poszerzać swoją wiedzę i być na bieżąco z metodami stosowanymi przez cyberprzestępców.
Cyberbezpieczeństwo w NGO – materiały do pogłębienia tematu
Cyberbezpieczeństwo w NGO to temat, który warto zgłębiać na bieżąco. Aby ułatwić organizacjom społecznym zdobywanie wiedzy i wdrażanie skutecznych zabezpieczeń, przygotowaliśmy zestaw dodatkowych materiałów edukacyjnych. Dzięki nim można lepiej zrozumieć zagrożenia oraz nauczyć się, jak skutecznie chronić dane organizacji i jej użytkowników.
Strony internetowe i zasoby
- Europejski Miesiąc Cyberbezpieczeństwa – ogólnoeuropejska kampania, znana jako ECSM (European Cyber Security Month). Organizowana jest przez ENISA z inicjatywy Komisji Europejskiej. W Polsce kampanię koordynuje NASK. Znajdziesz tu bogatą bazę wiedzy.
- CERT Polska – zespół specjalistów zwalczających zagrożenia w sieciach komputerowych. Publikuje praktyczne wskazówki oraz poradniki dotyczące cyberbezpieczeństwa.
Podcast Sektor 3.0: O hasłach, linkach i bezpieczeństwie w sieci – rozmowa z Anną Kwaśnik
W rozmowie poruszamy najważniejsze kwestie:
- Czym są dane osobowe i jakie są konsekwencje ich kradzieży?
- Kto może paść ofiarą cyberprzestępców?
- Czy cykliczne zmiany haseł mają sens?
Bezpłatne kursy e-learningowe nt. cyberbezpieczeństwo w NGO
- Cyberbezpieczeństwo w organizacji – od teorii do praktyki Dowiesz się m.in., jak zabezpieczyć sieć i urządzenia, chronić dane podczas pracy zdalnej i opracować procedury bezpieczeństwa dla NGO.
- Cyfrowa defensywa – wprowadzenie do cyberbezpieczeństwa w organizacji: Nauczysz się rozpoznawać realne zagrożenia, zabezpieczać dokumenty oraz sprawdzać, czy dane organizacji nie wyciekły do sieci.
Podsumowanie: Cyberbezpieczeństwo to codzienność, nie jednorazowe działanie
Działalność organizacji społecznych opiera się na zaufaniu – zarówno darczyńców, jak i społeczności, którym pomagają. W cyfrowym świecie transparentność i otwartość muszą iść w parze z ostrożnością. Cyberprzestępcy wykorzystują choćby drobne zaniedbania, by przejąć dane, środki finansowe lub dostęp do kont organizacji. Warto pamiętać, iż skuteczna ochrona zaczyna się od podstaw i wymaga konsekwencji w codziennych działaniach. Światowy Dzień Organizacji Pozarządowych to okazja do docenienia pracy sektora społecznego, ale także moment, by pomyśleć o jego bezpieczeństwie. To dobry dzień, by przyjrzeć się swoim nawykom, zastanowić, czy organizacja jest odpowiednio zabezpieczona i czy nie warto wdrożyć zmian, które pomogą uniknąć zagrożeń.
NASK (Naukowa i Akademicka Sieć Komputerowa) to polski instytut badawczy, który zajmuje się szeroko pojętą działalnością w zakresie cyberbezpieczeństwa, telekomunikacji oraz technologii informacyjnych. NASK odpowiada za zarządzanie domeną internetową .pl, prowadzenie badań naukowych, a także edukację i podnoszenie świadomości w zakresie bezpieczeństwa w sieci. Instytut prowadzi również działalność w zakresie monitorowania i reagowania na incydenty bezpieczeństwa komputerowego poprzez CERT Polska, który jest jednym z krajowych zespołów reagowania na incydenty, zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa.
