Powiatowy Urząd Pracy w Łodzi, realizując obowiązki informacyjne wynikające z art. 9 ust. 1 pkt 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, udostępnia informacje pomagające rozpoznawać cyberzagrożenia i skutecznie chronić się przed nimi podczas korzystania z usług Urzędu. 
Poniżej przedstawiamy również sposób zgłaszania cyberzagrożeń, incydentów i podatności związanych z usługami Urzędu, zgodnie z art. 9 ust. 1 pkt 3 tej ustawy. 

Czym jest cyberbezpieczeństwo?

Cyberbezpieczeństwo obejmuje działania służące ochronie sieci i systemów informatycznych, ich użytkowników oraz innych osób przed cyberzagrożeniami. 
Ochrona ta dotyczy w szczególności poufności danych, ich poprawności i kompletności, dostępności usług oraz autentyczności informacji i komunikacji. 

Zagrożenia podczas korzystania z usług Urzędu

Zachowaj ostrożność zwłaszcza podczas elektronicznego składania wniosków, przesyłania dokumentów, przeglądania ofert pracy oraz odbierania korespondencji dotyczącej rejestracji, świadczeń, szkoleń lub dofinansowań.

Do zagrożeń należą w szczególności:

1. Socjotechnika - zespół metod, technik oraz narzędzi oddziaływania psychologicznego i społecznego, których celem jest celowe kształtowanie postaw, zachowań lub decyzji jednostek oraz grup ludzkich. Opiera się na praktycznym wykorzystaniu wiedzy z zakresu psychologii społecznej, socjologii oraz teorii komunikacji w celu osiągnięcia zamierzonego rezultatu, często bez pełnej świadomości osób poddawanych temu wpływowi.
2. Phishing – podszywanie się pod Urząd, pracodawcę, bank lub inną instytucję w celu wyłudzenia danych, pieniędzy albo nakłonienia do otwarcia złośliwego załącznika. Wiadomość może dotyczyć np. rzekomej konieczności uzupełnienia wniosku lub potwierdzenia danych. 
3. Smishing i vishing – oszustwa prowadzone przez SMS-y i rozmowy telefoniczne.  Nazwa nadawcy wiadomości lub numer wyświetlony na telefonie nie gwarantują tożsamości rozmówcy. 
4. Fałszywe oferty pracy – ogłoszenia służące wyłudzeniu danych, skanów dokumentów, opłat albo nakłanianiu do instalowaniu aplikacji umożliwiających zdalny dostęp do urządzenia. 
5. Złośliwe oprogramowanie (malware) – programy służące m.in. do kradzieży danych i haseł, szpiegowania użytkownika lub zakłócania działania urządzeń. 
6. Ransomware – złośliwe oprogramowanie, które blokuje dostęp do danych lub je szyfruje, często połączone z żądaniem okupu i groźbą ujawnienia informacji. 
7. Przejęcie konta – uzyskanie przez osobę nieuprawnioną dostępu np. do poczty elektronicznej lub konta  w serwisie obsługującym sprawy urzędowe.
8. Ataki DDoS – celowe sparaliżowanie działania systemu komputerowego lub usługi sieciowej poprzez przeciążenie ich sztucznie wygenerowanym ruchem, napływającym jednocześnie z wielu przejętych przez hakerów urządzeń. Sam atak DDoS nie oznacza kradzieży danych. 

Jak bezpiecznie korzystać z usług elektronicznych?

1. Korzystaj z oficjalnych stron i serwisów. Do usług elektronicznych przechodź z oficjalnych stron Urzędu albo poprzez samodzielnie wpisany, sprawdzony adres. Uważnie sprawdzaj nazwę domeny. Szyfrowane połączenie HTTPS nie potwierdza uczciwości właściciela strony. 
2. Weryfikuj wiadomości i rozmówców. Nie otwieraj podejrzanych załączników, linków ani kodów QR. Jeżeli wiadomość wywołuje presje czasu, grozi utartą świadczenia lub żąda nietypowej opłaty, potwierdź jej autentyczność, korzystając z danych kontaktowych opublikowanych na oficjalnej stronie Urzędu. 
3. Chroń dane osobowe. Przekazuj wyłącznie dane niezbędne do załatwienia sprawy, przez kanały wskazane dla danej usługi. Nie przesyłaj skanów dokumentów ani danych finansowych na podstawie niezweryfikowanej prośby. 
4. Stosuj długie i unikalne hasła. Zalecane są hasła składające się z co najmniej 14 znaków, np. nieprzewidywalna fraza z kilu słów. Do każdej usługi używaj innego hasła. Możesz korzystać z zaufanego menadżera haseł. Uwzględniaj wymagania danego systemu. 
5. Włącz uwierzytelnianie wieloskładnikowe, jeżeli usługa je udostępnia. Nie przekazuj innym osobom haseł, kodów logowania ani kodów odzyskiwania dostępu. Nie zatwierdzaj logowania lub operacji, których samodzielnie nie rozpoczęto. 
6. Zmieniaj hasło niezwłocznie, jeżeli podejrzewasz jego ujawnienie, wpiszesz je na fałszywej stronie lub otrzymasz informacje o wycieku. Nie ma potrzeby zmieniania silnego, unikalnego hasła wyłącznie z powodu upływu czasu, jeśli nie występują oznaki jego ujawnienia. 
7. Aktualizuj urządzenia i oprogramowanie. Włącz automatyczne aktualizacje sytemu, przeglądarki i aplikacji. Korzystaj ze wspieranego oprogramowania oraz aktywnej ochrony przed złośliwym oprogramowaniem. 
8. Instaluj aplikacje wyłącznie z zaufanych źródeł. Nie uruchamiaj programów ani makr w dokumentach na polecenie niezidentyfikowanej osoby. Nie instaluj aplikacji do zdalnego dostępu na prośbę rzekomego urzędnika lub rekrutera. 
9. Zabezpieczaj urządzenia i połączenia. Stosuj blokadę ekranu. Unikaj załatwiania spraw wymagających podania danych osobowych na cudzych lub publicznie dostępnych komputerach. W niezaufanej sieci Wi-Fi wybierz, jeśli to możliwe, własne połączenie komórkowe. 
10. Dbaj o bezpieczne przekazywanie dokumentów. Preferuj przeznaczone do tego oficjalne usługi elektroniczne. Jeżeli uzgodniono przesłanie zaszyfrowanego pliku, hasło przekaż odbiorcy innym, wcześniej zweryfikowanym kanałem. 
11. Twórz kopie zapasowe ważnych danych. Zabezpieczaj je przed nieuprawnionym dostępem i przechowuj przynajmniej jedną kopię odłączoną od urządzenia lub chronią przed nadpisem. Sprawdzaj możliwość odtworzenia danych. 

Zgłaszanie cyberzagrożeń, incydentów i podatności

Jeżeli zauważysz cyberzagrożenie, incydent lub podatność dotyczącą strony internetowej, usługi elektronicznej albo innej usługi świadczonej przez Powiatowy Urząd Pracy w Łodzi, przekaż informację do Urzędu. 

Dane kontaktowe do zgłoszeń:

1. E-mail: cyberalert@pup-lodz.pl
2. Telefon: +48 42 251 65 35

W zgłoszeniu warto wskazać:

1. co się wydarzy;
2. kiedy zdarzenie wystąpiło lub zostało zauważone;
3. jakiej strony internetowej lub usługi dotyczy;
4. w jaki sposób problem został zauważony. 

Pomocny może być również zrzut ekranu lub treść podejrzanej wiadomości. Przed ich przesłaniem usuń lub zasłoń dane, które nie są potrzebne do wyjaśnienia sprawy. 

W przypadku zgłoszenia pocztą elektroniczną wpisz w temacie wiadomości: "CYBERBEZPIECZEŃSTWO”.

Przekazuj tylko informacje potrzebne do opisania zdarzenia. Nie przesyłaj haseł, kodów jednorazowych, kodów BLIK, numerów PIN ani innych danych umożliwiających dostęp do kont i usług. 

Podejrzane wiadomości, strony i inne incydenty można również zgłaszać do CERT Polska przez formularz incydent.cert.pl. Podejrzane SMS-y zawierające link można przekazywać na bezpłatny numer 8080. 

Zgłoszenie do CERT Polska nie zastępuje poinformowania Urzędu o problemie dotyczącym jego usług. 

Co zrobić w przypadku podejrzenia oszustwa?

1. Przerwij kontakt z podejrzanym nadawcą lub rozmówcą. 
2. Jeżeli ujawniono hasło, zmień je z zaufanego urządzenia. Zmień je również w innych usługach, w których było takie samo, i zakończ obce sesje, jeśli usługa na to pozwala. 
3. Jeżeli ujawniono dane bankowe lub wykonano przelew, niezwłocznie skontaktuj się z bankiem przez oficjalny kanał. 
4. Przy podejrzeniu infekcji odłącz urządzenie od sieci i skorzystaj z pomocy technicznej.
5. Zachowaj dowody, np. wiadomości, adresy stron i potwierdzenia operacji. 
6. Poinformuj Urząd, jeżeli zdarzenie dotyczy jego usług. W przypadku podejrzenia przestępstwa zawiadom Policję lub prokuraturę. 

Gdzie szukać aktualnych informacji?

Zachęcamy do korzystania z ostrzeżeń i materiałów edukacyjnych publikowanych przez:

1. https://csirt.gov.pl/
2. https://www.cert.pl/ 
3. https://www.cert.pl/ouch/
4. https://cyber.gov.pl/
5. https://www.gov.pl/web/cyfryzacja/walczymy-z-dezinformacja