Szkolenie dla pracowników z zakresu rozpoznawania oszustw: 6 rodzajów oszustw, na które warto się przygotować

Szkolenie z zakresu świadomości oszustw uczy pracowników, jak rozpoznawać i powstrzymywać oszustwa wymierzone osobiście w nich: fałszywe zlecenie od prezesa, faktura ze zmienionymi danymi bankowymi, telefon od „dostawcy”, który potrzebuje płatności jeszcze dzisiaj. Dobre szkolenie nie wyjaśnia oszustw w teorii. Pokazuje pracownikom konkretne wiadomości, które mogą otrzymać, pozwala im poćwiczyć ich rozpoznawanie i podaje jedną prostą zasadę na wypadek, gdy coś wydaje się podejrzane: zatrzymaj się, zweryfikuj przez znany kanał i zgłoś.

Większość oszustw płatniczych wymierzonych w organizacje nie polega na włamaniu do systemu. Polega na przekonaniu kogoś do zrobienia czegoś, do czego ma prawo, na przykład zatwierdzenia płatności lub zmiany danych dostawcy. Dlatego to zespół finansowy, kierownik biura i nowy pracownik działu rozliczeń z dostawcami są prawdziwymi celami, a sama technologia rzadko pozwala to wykryć. Poniżej znajdziesz sześć rodzajów oszustw, które powinien uwzględniać każdy program, dowiesz się, dlaczego coroczny moduł szkoleniowy to za mało i jak zorganizować szkolenie, które naprawdę zmieni zachowania pracowników.

Sześć oszustw wymierzonych w pracowników

1. Oszustwa typu „CEO fraud” i ataki typu „business email compromise”. Otrzymujesz wiadomość, która wygląda, jakby pochodziła od dyrektora, z prośbą o pilną, poufną płatność. Ton wiadomości jest pośpieszny, nadawca jest „na spotkaniu” i nie można do niego zadzwonić. W przypadku ataków typu „business email compromise” haker wykorzystuje prawdziwą, przejętą skrzynkę pocztową, co sprawia, że prośba wydaje się jeszcze bardziej przekonująca. Wyjaśniamy, jak to działa, w naszym artykule o tym, czym są oszustwa typu „CEO fraud” i jak się przed nimi bronić.
2. Oszustwa związane z fakturami. Fałszywa faktura albo prawdziwa z zmienionymi danymi przychodzi od kogoś, kto wygląda na znanego dostawcę. Często trafia pod koniec miesiąca, kiedy zespół przetwarza dużą partię faktur i sprawdza je mniej dokładnie.
3. Oszustwo związane z zleceniem. Ktoś podający się za dostawcę prosi cię o aktualizację swoich danych bankowych „bo zmieniliśmy bank”. Wszystkie przyszłe płatności trafiają wtedy do oszusta – często przez całe miesiące, zanim prawdziwy dostawca zacznie domagać się zapłaty za niezapłacony rachunek.
4. Oszustwo polegające na przekierowaniu płatności. Przestępca przechwytuje trwającą wymianę e-maili dotyczącą płatności – na przykład w związku z transakcją dotyczącą nieruchomości lub dużym zamówieniem – i w odpowiednim momencie podsuwa nowe dane konta.
5. Deepfake i oszustwa telefoniczne. Połączenie lub wiadomość głosowa, która brzmi jak głos kierownika lub dyrektora finansowego, potwierdza fałszywą prośbę. Klonowanie głosu sprawiło, że stało się to tanie i szybkie, dlatego omawiamy to osobno podczas szkoleń z zakresu świadomości zagrożeń związanych z deepfake’ami.
6. Oszukańcze SMS-y i oszustwa kurierskie. Oszustwa nie kończą się za drzwiami biura. Oszukańcze SMS-y, w których oszuści podszywają się pod bank lub firmę kurierską, oraz oszustwa kurierskie, w których dzwoniący podający się za policję lub bank przekonuje kogoś do oddania kart lub gotówki, dotykają pracowników w domu. Te same sztuczki perswazyjne pojawiają się potem w pracy. Dowiedz się więcej o smishingu.

To, co łączy te oszustwa, to nie sposób ich przeprowadzania, ale wywierana presja: poczucie pilności, autorytet i tajemnica. Szkolenie, które uczy ludzi dostrzegania tych trzech sygnałów, chroni ich przed wariantami, które jeszcze nie istnieją.

Dlaczego coroczny moduł dotyczący oszustw nie działa

Wiele organizacji porusza temat oszustw raz w roku, w ramach półgodzinnego modułu e-learningowego. Zaznacza się to jako zrobione, ale efekt znika w ciągu kilku tygodni. Świadomość zagrożeń związanych z oszustwami to nie wiedza, którą po prostu zapamiętujesz, tylko odruch, który trzeba wyrobić: to półsekundowe zawahanie przed kliknięciem „zatwierdź”. Odruchy wymagają powtarzania.

Drugim problemem jest wyczucie czasu. Oszuści śledzą kalendarz i aktualności: płatności na koniec roku, zastępstwa w dziale finansowym podczas urlopów, nowy system ERP, znany dostawca na pierwszych stronach gazet. Moduł z zeszłej wiosny nie jest w stanie tego przewidzieć. Krótkie, cykliczne szkolenia mogą przedstawić pracownikom taki scenariusz w momencie, gdy faktycznie ma on miejsce.

Co powinno obejmować dobre szkolenie z zakresu świadomości oszustw

• Realistyczne scenariusze dla poszczególnych rodzajów oszustw. Pracownicy ćwiczą na wiadomościach, z którymi naprawdę będą mieli do czynienia: pilny e-mail od prezesa, pismo z „nowymi danymi bankowymi”, telefon od dostawcy. Ważna jest rola, więc dział rozliczeń dostawców ma więcej scenariuszy związanych z płatnościami niż magazyn.
• Symulacje, a nie tylko teoria. Symulacje ataków phishingowych, które odtwarzają oszustwa związane z fakturami i podszywaniem się pod prezesa, pokazują, kto zareagowałby na fałszywe żądanie – bez powodowania rzeczywistych szkód.
• Jasna zasada weryfikacji. Każda zmiana danych bankowych lub nietypowa prośba o płatność jest potwierdzana przez kanał, który już znasz – na przykład numer telefonu podany w danych dostawcy – a nigdy przez numer podany w e-mailu.
• Prosty sposób na zgłoszenie. Osoby, które zgłaszają podejrzaną wiadomość, to twoje pierwsze ostrzeżenie. Spraw, żeby wystarczyło jedno kliknięcie, i podziękuj im za to – nawet jeśli okaże się, że to nic poważnego.
• Monitorowanie w czasie. Sprawdź, ile osób zgłasza incydenty, ile daje się nabrać na symulacje i jak te liczby zmieniają się w poszczególnych zespołach. To pokazuje, gdzie potrzebne są dodatkowe szkolenia, a audytorom dostarcza dowodów na zgodność z NIS2 i ISO 27001.

Jak zorganizować szkolenie z zapobiegania oszustwom w pięciu krokach

1. Oceń, na jakim etapie jesteś. Zacznij od pomiaru stanu wyjściowego, żeby wiedzieć, które zespoły i jakie rodzaje oszustw wymagają najpilniejszej uwagi.
2. Określ przebieg procesów płatniczych. Kto może zatwierdzać płatności, zmieniać dane dostawców lub zlecać pilne przelewy? To właśnie te osoby przejdą najbardziej intensywne szkolenie.
3. Uzgodnijcie zasady weryfikacji. Spiszcie zasady dotyczące oddzwaniania i poproście kierownictwo, żeby je publicznie potwierdziło, żeby nikt nie czuł się niezręcznie, sprawdzając prośbę dyrektora.
4. Ćwicz w krótkich, częstych sesjach. Kilka minut tygodniowo to lepsze niż jedno popołudnie w roku. Zmieniaj rodzaje oszustw, żeby każdy scenariusz pojawiał się regularnie.
5. Testuj, sporządzaj raporty i powtarzaj. Przeprowadzaj symulacje, dziel się wynikami w zespole bez wymieniania konkretnych osób i dostosowuj scenariusze do tego, co widzisz.

Wskazówka: naucz się rozpoznawać oszustwa kolejowe z Guardey

Guardey zamienia to podejście w cotygodniowy nawyk. Pracownicy dostają około trzyminutowe zadanie – na laptopie albo w aplikacji mobilnej na iOS i Androida – dotyczące oszustw typu „CEO fraud”, oszustw związanych z fakturami, phishingu, smishingu i deepfake’ów. Elementy grywalizacji, takie jak tabele wyników i serie sukcesów, sprawiają, że ludzie chętnie wracają, symulacje phishingu sprawdzają, czego się nauczyli, a raporty gotowe do audytu pokazują wasze postępy w zakresie NIS2 i ISO 27001. Z Guardey korzysta już ponad 500 organizacji, w tym Parlament Europejski. Zobacz, jak działa nasze szkolenie z zakresu świadomości bezpieczeństwa.

Czy twój partner IT dba też o aspekt ludzki?

Wiele małych firm zleca obsługę IT dostawcy usług zarządzanych (MSP) – firmie informatycznej, która za miesięczną opłatą zajmuje się ich systemami i bezpieczeństwem. Oszustwa to słaby punkt takiego rozwiązania: zapora sieciowa jest zarządzana, ale nikt nie szkoli osoby, która płaci faktury. Warto zapytać swojego dostawcę MSP, czy można to dodać do usługi.

Dla dostawców usług zarządzanych (MSP) rozwiązanie Guardey jest dostępne za pośrednictwem partnerów handlowych, takich jak dystrybutor rozwiązań z zakresu cyberbezpieczeństwa e92plus, który pomaga partnerom we wprowadzaniu nowych usług bezpieczeństwa dzięki gotowym kampaniom marketingowym i miesięcznemu rozliczaniu za każdego klienta.

Najczęściej zadawane pytania dotyczące szkoleń z zakresu rozpoznawania oszustw

Czym jest szkolenie z zakresu rozpoznawania oszustw?

Szkolenia z zakresu rozpoznawania oszustw uczą pracowników, jak rozpoznawać próby oszustw skierowane przeciwko nim – takie jak oszustwa typu „CEO”, oszustwa związane z fakturami czy fałszywe telefony – oraz jak właściwie na nie reagować. Skupiają się one raczej na praktycznych sygnałach ostrzegawczych i ustalonych zasadach weryfikacji niż na teorii. Najlepsze programy łączą krótkie lekcje z realistycznymi symulacjami.

Kto potrzebuje szkoleń dla pracowników z zakresu rozpoznawania oszustw?

Wszyscy, ale nie w takim samym stopniu. Pracownicy, którzy zatwierdzają płatności, zajmują się fakturami lub zmieniają dane dostawców, są głównymi celami i to właśnie dla nich potrzeba najwięcej scenariuszy. Pozostali pracownicy też skorzystają na podstawowych informacjach, bo oszuści wykorzystują je również do zbierania danych lub dotarcia do właściwej osoby.

Jak często powinny odbywać się szkolenia z zakresu rozpoznawania oszustw?

Krótkie szkolenia często są skuteczniejsze niż długie i rzadkie. Kilka minut tygodniowo pozwala utrzymać czujność i szybko reagować na nowe oszustwa, gdy tylko się pojawią. Jeden moduł rocznie szybko wyleci z pamięci.

Jaka jest różnica między oszustwem związanym z zleceniem a oszustwem związanym z fakturą?

W przypadku oszustwa związanego z fakturą płacisz raz za fałszywą lub sfałszowaną fakturę. W przypadku oszustwa związanego z upoważnieniem przestępca przekonuje cię do zmiany danych bankowych dostawcy, przez co każda przyszła płatność trafia na niewłaściwe konto, dopóki ktoś tego nie zauważy. Oba rodzaje oszustw można powstrzymać dzięki tej samej zasadzie: weryfikuj zmiany za pośrednictwem kanału, któremu już ufasz.

Oszustwa wymierzone w organizacje ciągle zmieniają swoją formę, ale presja, która za nimi stoi, pozostaje ta sama. Zespoły, które ćwiczyły rozpoznawanie sytuacji wymagających pilnego działania, autorytetu i poufności oraz które wiedzą, że zawsze można oddzwonić i sprawdzić, powstrzymują większość prób, zanim dojdzie do jakiegokolwiek przepływu pieniędzy.