Cyberpedia

Fałszywa strona logowania przekazuje na żywo hasło i kod MFA, a atakujący przejmuje sesję. Jak to działa i jak się chronić.

Jak atakujący testuje tysiące haseł, online lub na skradzionej bazie, oraz co widzi pracownik i co może zrobić.

Strona, którą odwiedza się co tydzień, może być pułapką. Jak działa atak watering hole, co można zauważyć i jakie nawyki chronią.

Dźwięk klawiszy, szum zasilacza albo włączony mikrofon mogą zdradzić, co Pan/Pani pisze lub mówi, choć na ekranie nic się nie pojawia.

Spectre i Meltdown: jak złośliwy kod odczytuje sekrety przez procesor, nic nie pokazując na ekranie, i jak się przed tym chronić.

Fałszywa weryfikacja „Nie jestem robotem” każe wkleić polecenie w oknie Windows+R. Jak działa ClickFix i co zrobić, gdy już się to stało.

Hasła wykradzione podczas wycieku są testowane przez boty w innych serwisach. Jak działa ten atak i jak się przed nim chronić.

Podstawiona strona lub wiadomość może uruchomić w Państwa przeglądarce działanie w serwisie, w którym są Państwo zalogowani. Mechanizm i ochrona.

Jak tysiące przejętych maszyn przeciążają usługę, co pracownik widzi na ekranie i jakie odruchy powinna mieć organizacja.

Jak osoba, która zostaje na kilka minut sama z laptopem w pokoju hotelowym, może go skompromitować, i co zrobić, by się chronić.

Fałszywa stacja bazowa może znaleźć się między Pana/Pani telefonem a siecią. Co mówią źródła o tym ryzyku i co można zrobić.

Podstawione urządzenie lub port USB może zainfekować telefon albo komputer. Co widzi ofiara i jakich odruchów warto się nauczyć.

Kabel lub pendrive USB może udawać klawiaturę i wpisywać polecenia w Pana/Pani imieniu. Oto jak się przed tym chronić.

Zbliżeniową kartę dostępu można skopiować lub przekazać dalej bez wiedzy właściciela. Co wiadomo, co można zauważyć i jak reagować.

Jak atakujący przejmuje firmową skrzynkę lub podszywa się pod znanego nadawcę i jak sprawdzić prośbę o płatność.

Skradzione ciasteczko sesji pozwala podszyć się pod pracownika bez hasła i drugiego składnika. Mechanizm, prawdziwy przypadek i odruchy.

Fałszywy pracownik wsparcia IT dzwoni lub pisze, by wyłudzić hasło: jak działa pretexting i jak go rozbroić.

Podstawiony kod QR ukrywa adres w obrazie i prowadzi do fałszywej strony logowania. Jak go rozpoznać i co zrobić przed zeskanowaniem.

Rowhammer zmienia zawartość pamięci DRAM urządzenia bez bezpośredniego dostępu do niej. Co widzi pracownik, jak to działa i jakie nawyki pomagają.

Aplikacja zainstalowana spoza oficjalnych sklepów może wykraść hasła i SMS-y. Co widzi pracownik, jak to działa i co zrobić.

Spear-phishing to e-mail przygotowany na podstawie publicznych informacji o odbiorcy i jego firmie. Jak go rozpoznać.

Wiadomość z groźbami, przytoczone hasło, zapowiedź publikacji: co mówią źródła o phishingu i inżynierii społecznej oraz jakie odruchy pomagają.

Uprzejmy nieznajomy wchodzi za Panem/Panią albo za Pana/Pani zgodą. Co widzi pracownik, jak zawodzi kontrola dostępu i jakie odruchy warto mieć.

Jak atakujący rejestruje domenę zbliżoną do domeny marki, by wykraść Pana/Pani dane logowania, i jak rozpoznać podstawiony adres.

Fałszywy pracownik wsparcia IT lub bankier dzwoni do Pana/Pani, a na ekranie widnieje znajomy numer: jak rozpoznać vishing i jak reagować.

Co mówią źródła o podszywaniu się pod przełożonego w rozmowie lub wiadomości z użyciem AI: co widzi pracownik, mechanizm, kontrole.

Luka w Apache Struts z marca 2017 (CVE-2017-5638): jak można przejąć serwer dostępny z Internetu z nieaktualnym komponentem i co robi pracownik.

Co źródła mówią o Pegasusie na iPhonie: wykorzystane luki, poprawki Apple z września 2021 i proste odruchy dla pracownika.

W marcu 2024 r. w XZ Utils 5.6.0 i 5.6.1 wykryto złośliwy kod. Co mówi alert CISA i co może zrobić pracownik.

Katalog firmowy decyduje, kto jest kim i kto ma do czego dostęp. Co robi pracownik, co robi administrator oraz jakie są pułapki.

Co adres IP mówi o organizacji, czego nie mówi, czym są IPv4 i IPv6 oraz jak powinien postępować pracownik.

Dlaczego komputery w firmie muszą pokazywać ten sam czas, co robi pracownik i jakie pułapki kryje źle ustawiony serwer czasu.

BGP wskazuje sieciom, którędy wysyłać ruch. Jego słabości (przejęcia, wycieki tras) i zabezpieczenie RPKI, wyjaśnione pracownikom.

DNS łączy nazwę strony z jej adresem, a nikt tego nie widzi. Dlaczego atakujący go wybierają i co może zrobić pracownik.

Fałszywy serwer, dokument, klucz dostępu: czym są wabiki bezpieczeństwa i co powinien zrobić pracownik, który na jeden trafi.

JWT to poświadczenie, które aplikacja wydaje po zalogowaniu. Co sprawdza jego podpis, jakie są pułapki i jak postępować.

Jak menedżer haseł szyfruje sejf na podstawie hasła głównego i co zrobić, aby naprawdę chronił Państwa konta.

Zasada najmniejszych uprawnień ogranicza prawa do tego, co niezbędne, a dostęp Just-In-Time przyznaje je na ograniczony czas. Co robi pracownik.

Jak OAuth 2.0 daje aplikacji ograniczony dostęp do Pana/Pani konta bez podawania hasła i jak czytać ekran zgody.

Test penetracyjny, symulowany atak, zespoły obrony: co oznaczają te pojęcia i co zrobić, gdy zauważą Państwo podejrzane zachowanie.

Jak SCIM tworzy, zmienia i wyłącza konta w aplikacjach, gdy Pan/Pani zaczyna pracę, zmienia stanowisko lub odchodzi, i co należy zrobić.

Podział sieci na strefy (VLAN, wewnętrzne zapory, mikrosegmentacja) ogranicza ransomware. Co robi pracownik, by ten podział działał.

Jedno konto otwiera wiele aplikacji dzięki tokenowi. Co robią SAML i OpenID Connect oraz jak pracownik może reagować na pułapki.

Jak działa Tor i trasowanie cebulowe oraz dlaczego pracownik nie powinien instalować Tora na komputerze służbowym bez zgody działu IT.

Konto administratora otwiera wszystkie drzwi. Oto jak chroni je PAM i co na co dzień robią pracownik oraz jego przełożony.

Agent AI wywołuje narzędzia w Państwa imieniu: poczta, pliki, API. Co może pójść nie tak i jak ograniczyć jego uprawnienia.

Transformer, opisany w czerwcu 2017 r.: co architektura oparta na uwadze zmienia dla pracownika, jakie ma ograniczenia i czym jest prompt injection.

Polecenie wpisane w czacie bywa wystarczające, by asystent AI wyszedł poza swoje zasady: mechanizm, objawy na ekranie, przypadki z datami, zapobieganie.

Oszust może przyjąć twarz i głos członka kierownictwa podczas wideokonferencji. Co mówią źródła i jaka weryfikacja chroni.

Jak sztuczna inteligencja uczona na tekstach AI traci różnorodność i jak sprawdzić wygenerowaną treść, zanim użyje jej Pan/Pani w pracy.

Asystent AI, taki jak ChatGPT, pisze wiarygodny tekst, którego nikt nie sprawdził. Co to zmienia dla Państwa odpowiedzi, danych i zasad.

Asystent AI przewiduje tekst, niczego nie rozumie ani nie odczuwa. Co z tego wynika dla pracownika: dane, weryfikacja i ostrożność.

Jak prowadzić asystenta AI za pomocą dwóch lub trzech przykładów, a potem dzielić zadanie na etapy sprawdzane po kolei, bez ujawniania danych.

Ponowne trenowanie modelu (fine-tuning, LoRA) albo dostęp do dokumentów (RAG): różnica, ryzyka i Pana/Pani odruchy.

Model językowy przewiduje najbardziej prawdopodobne słowo, nie sprawdzając, czy jest prawdziwe: może zmyślać fakty, źródła i pakiety kodu.

Jak ułożyć polecenie dla generatywnej AI metodą ACTIF, chronić dane firmy i sprawdzać każdą odpowiedź, zanim się z niej skorzysta.

Generatywna AI potrafi z przekonaniem podawać fałszywe fakty. Jak wskazać twierdzenia do sprawdzenia i porównać je z trzema niezależnymi źródłami.

AI na komputerze (układ NPU) i AI w chmurze rodzą inne pytania: wybór dozwolonego narzędzia, co wolno wpisywać, kogo poinformować.

Model z opublikowanymi wagami czy usługa online: co to zmienia dla danych firmy oraz co pracownik robi, a czego unika.

Jak działają modele AI rozumujące krok po kroku, kiedy warto ich używać w pracy i dlaczego ich odpowiedzi zawsze trzeba sprawdzać.

Atakujący, który odpytuje model AI, może odgadnąć, czy dany dokument posłużył do jego trenowania, a nawet wydobyć zapamiętane fragmenty.

Dlaczego asystent AI przyznaje Panu/Pani rację, jak to zniekształca jego odpowiedzi i jak nie brać jego zgody za dowód.

E-mail, strona internetowa lub PDF może ukrywać polecenia, które AI wykona zamiast Pana/Pani. Jak działa ten atak i jak się przed nim chronić.

Asystent AI potrafi zmyślić wiarygodnie brzmiące orzeczenia sądowe. Dlaczego tak się dzieje i jak sprawdzić cytat, zanim trafi do dokumentu w pracy.

Pretrening, fine-tuning, RLHF i DPO: etapy tworzenia asystenta AI i to, co zmieniają w korzystaniu z niego w pracy.

Jak AI odpowiada na podstawie dokumentów wewnętrznych, jak sprawdzać jej cytaty i jakie pułapki czekają: wycieki, spreparowane pliki, błędy.

Transkrypcja spotkania lub rozmowy z pomocą AI: co narzędzie robi z Pana/Pani głosem, co sprawdzić wcześniej i co mówią RODO oraz CNIL.

Model językowy może odpowiedzieć inaczej na to samo pytanie. Co regulują temperatura, Top-p i Top-k oraz co Pan/Pani może z tym zrobić.

Wklejenie umowy do internetowego tłumacza AI ujawnia jej treść. Co mówią CNIL, OWASP i NIST oraz co robi pracownik.

Model językowy czyta fragmenty tekstu, a nie zdania. Co to oznacza dla pracownika i jakie pułapki bezpieczeństwa się z tym wiążą.

AI powtarza stereotypy z danych treningowych, choć wygląda na neutralną. Co sprawdza pracownik i co przewiduje AI Act.

Wyszukiwarka AI pokazuje linki obok odpowiedzi. Jak je otworzyć, porównać z twierdzeniem i rozpoznać, kiedy nie można im ufać.

Agent AI może przygotować działanie, ale niektóre musi zatwierdzić człowiek. Co pracownik czyta, akceptuje lub odrzuca.

Jak C2PA i Content Credentials dołączają podpisaną historię do obrazu, nagrania wideo lub dźwięku oraz co ten podpis dowodzi, a czego nie.

Pisanie do wielu odbiorców zewnętrznych bez ujawniania ich adresów: odruch UDW, typowe pułapki i postępowanie po popełnieniu błędu.

Fałszywy doradca bankowy dzwoni, mówi o oszustwie i żąda kodu. Jak rozpoznać taką rozmowę oraz co zrobić w trakcie i po niej.

Co wpis w mediach społecznościowych zdradza o miejscu pracy i zwyczajach pracownika oraz jak ograniczyć to narażenie.

Wyciek danych wprowadza Pana/Pani hasło do obiegu. Jak zareagować od razu i dlaczego brak adresu w bazie niczego nie dowodzi.

Nieznajomy w stroju technika, drzwi przytrzymane z uprzejmości: jak socjotechnika dostaje się do biur i co wtedy robić.

Dostawca lub członek zarządu żąda nowego numeru konta albo pilnego przelewu: oddzwonić na znany już numer, a dopiero potem zatwierdzić prośbę.

Firmowy menedżer haseł a menedżer wbudowany w przeglądarkę: czym się różnią, co robi pracownik i jakich pułapek unikać.

Osoba bez identyfikatora w biurze może przygotowywać włamanie lub podłączyć spreparowane urządzenie. Grzeczny odruch: zaprowadzić ją do recepcji.

Pilna aktualizacja bezpieczeństwa chroni dopiero po instalacji. Co zrobić po otrzymaniu powiadomienia i jak rozpoznać fałszywe aktualizacje.

Jak wyciek z prywatnego serwisu może otworzyć Pana/Pani konto służbowe i jak temu zapobiec: unikalne hasło, menedżer haseł, dwuetapowe logowanie.

Wspólne Wi-Fi, ciekawscy sąsiedzi, obcy zadający pytania: zagrożenia w coworkingu i odruchy, które warto wypracować jako pracownik.

Kamery, głośniki i telewizory podłączone do internetu mogą otworzyć drzwi do Państwa sieci. Oto jak je skonfigurować i oddzielić od pracy.

Włączanie uwierzytelniania dwuskładnikowego w prywatnej poczcie: metody, kody awaryjne, przekierowania do sprawdzenia i pułapki, które warto znać.

Przejęcie firmy, pozyskanie kapitału, audyt: jak rozpoznać fałszywe linki, przelewy i rozmówców, którzy atakują pokój danych.

Przepisy USA mogą otwierać dostęp do danych przechowywanych w Europie. Co mówi RODO, co zmieniają ramy UE-USA oraz SecNumCloud.

Rozporządzenie UE 2024/2847 nakłada wymogi cyberbezpieczeństwa na producentów produktów cyfrowych: co to zmienia dla Pana/Pani.

Czego dyrektywa NIS 2 wymaga od organizacji i ich kadry kierowniczej, co zmienia dla każdego pracownika i na jakim etapie jest ustawa we Francji.

Rozporządzenie UE o AI dzieli zastosowania AI na cztery poziomy ryzyka i zobowiązuje pracodawców do rozwijania kompetencji pracowników w zakresie AI.

Co system zarządzania bezpieczeństwem informacji zmienia dla pracownika i dla zarządu, z wykorzystaniem zasobów NIST i NCSC.

ISO/IEC 42001 i AI w firmie: co źródła mówią o rozporządzeniu UE, ramach NIST i wskazówkach dla pracowników.

Dlaczego jedno szkolenie rocznie nie wystarcza: co ENISA, NIST, NCSC i CISA mówią o projektowaniu i mierzeniu programów świadomości.

Do czego służą kwalifikacje ANSSI (SecNumCloud, PASSI, PRIS, PDIS) i co zmieniają dla pracowników oraz dla kierownictwa.

Czym jest operator o znaczeniu życiowym, co nakłada na niego francuska ustawa o programowaniu wojskowym z 2013 r. i co zmienia NIS 2.

NIST Cybersecurity Framework 2.0, opublikowane w lutym 2024 roku: sześć funkcji i zmiany, jakie przynoszą pracownikom oraz zarządowi.

Dlaczego szkolenie obejrzane tylko raz nie wystarcza i co o ciągłej edukacji pracowników piszą NIST, ENISA i NCSC.

Czego ubezpieczenie cyber oczekuje od pracowników i zarządu: kopie offline, uwierzytelnianie dwuskładnikowe, pierwsze kroki i zgłoszenie.