BLUETEAM ACADEMY — PRAKTYCZNY PRZEWODNIK PO ROZPOZNAWANIU PHISHINGU Microsoft 365 / Entra, Google Workspace i zagrożenia AI Edycja kursu: październik 2026. Postępuj zgodnie z zatwierdzonymi procedurami swojej organizacji. 1. WSTRZYMAJ SIĘ I SPRAWDŹ ŻĄDANIE O co jestem proszony: zmiana, ujawnienie, autoryzacja, płatność, pobranie lub uruchomienie? Czy oczekiwałem tej pracy? Czy nadawca ma uprawnienia do tego działania? Znana nazwa, logo, istniejący wątek, poprawna gramatyka, HTTPS, głos lub wideo nie odpowiada na te pytania. Prawdziwe konto może zostać przejęte. 2. ZWERYFIKUJ NIE UŻYWAJĄC ŚCIEŻKI WIADOMOŚCI Użyj ustalonej zakładki, firmowego uruchamiacza, service desk albo zapisanych danych kontaktowych. W przypadku płatności i zmian rachunków bankowych stosuj zasadę oddzwonienia i podwójnej autoryzacji. Nie dzwoń na numer podany w podejrzanej prośbie ani nie zatwierdzaj wyjątku. ponieważ żądanie uzasadnia pilność, poufność lub status osoby wyższej rangą. 3. LINKI I KODY QR Jeśli Twój klient oferuje bezpieczny podgląd, sprawdź pełny adres docelowy bez otwierania go to. Host nie jest nazwą marki występującą wcześniej w subdomenie ani później w ścieżka. Skrócony adres URL lub kod QR mogą ukryć miejsce docelowe. Nie otwieraj linku do sprawdź, czy jest bezpieczne. Skorzystaj bezpośrednio ze znanej usługi biznesowej. 4. KODY URZĄDZEŃ MICROSOFT I ZGODY Prawdziwa strona Microsoft może zatwierdzić żądanie zainicjowane przez atakującego. Nie wpisuj kodu urządzenia z niezamówionego spotkania, wiadomości od rekrutera lub wsparcia. Kończ tylko taki proces device flow, który sam celowo uruchomiłeś dla znanej, zatwierdzonej aplikacji. Logowanie różni się od nadania aplikacji uprawnień do poczty lub plików. Zweryfikuj tożsamość aplikacji, żądane zakresy, cel biznesowy i status zatwierdzenia. Nigdy nie zatwierdzaj nieoczekiwanego monitu MFA, nawet na prośbę dzwoniącego. 5. GOOGLE WORKSPACE Prawdziwe powiadomienie o udostępnieniu w Drive nie stanowi dowodu na bezpieczeństwo dokumentu. Zewnętrzny dokument lub zaproszenie z Kalendarza może zawierać niebezpieczny link lub prośbę. Zastosuj znaną ścieżkę Drive/Kalendarza i osobno zweryfikuj cel biznesowy. Zweryfikuj uprawnienia aplikacji zewnętrznych z IT. Usunięcie dostępu później nie przywraca dane już skopiowane. Google wspiera również legalną autoryzację urządzenia; traktuj nieoczekiwane instrukcje dla urządzenia potraktuj jako pytanie autoryzacyjne, nie pytanie o markę. 6. SZTUCZNA INTELIGENCJA, WSPÓŁPRACA I ZAŁĄCZNIKI Przekonujący głos/wideo nie zastępuje kontroli tożsamości i autoryzacji płatności. Podsumowanie AI może powtórzyć złośliwe instrukcje z podsumowywanego dokumentu. Wiadomości Teams lub chat spoza organizacji wymagają tych samych sprawdzeń, co e-mail. Nie otwieraj archiwów zabezpieczonych hasłem, by ominąć skanowanie, nie uruchamiaj plików wykonywalnych ani nie włączaj makr tylko po to, by przeczytać dokument. Fałszywy CAPTCHA lub prośba o naprawę spotkania mogą poprosić abyś wkleił i wykonał polecenie. Zatrzymaj się: nie wykonuj go. Nie instaluj niezatwierdzonego rozszerzenia przeglądarki lub narzędzia do zdalnego wsparcia. 7. DRZEWO DECYZYJNE VIRUSTOTAL — PRZED KAŻDYM ZAPYTANIEM LUB PRZESŁANIEM A. Czy polityka firmy oraz regulamin usługi zezwalają na takie użytkowanie? NIE / NIEPEWNY -> użyj zatwierdzonego wewnętrznego kanału bezpieczeństwa. B. Czy plik lub wskaźnik zawiera poufne, osobiste lub dostępowe informacje? TAK / NIEPEWNOŚĆ -> nie przesyłaj ani nie wklejaj do publicznych usług skanowania. Przykłady: kadry, umowy, dane pacjentów/klientów, prywatne linki do udostępniania, linki do resetowania hasła, podpisane adresy URL do pobierania, tokeny dostępu oraz informacje wewnętrzne. C. Czy dla dozwolonego pliku już bezpiecznie przechowywanego, dostępny jest zatwierdzony SHA-256? Zapytaj dział bezpieczeństwa lub użyj zatwierdzonego, lokalnego narzędzia bez uruchamiania pliku. Nie pobieraj podejrzanego załącznika tylko po to, by uzyskać jego hash. D. Przeszukaj dozwolony hash w poszukiwaniu ISTNIEJĄCEGO raportu. To nie przesyła bajtów pliku, ale ujawnia zapytanie stronie trzeciej strona trzecia. Brak raportu oznacza nieznane; nie upoważnia do przesyłania pliku. E. Dla dozwolonego publicznego adresu URL sprawdź, czy cały ciąg nie zawiera informacji wrażliwych informacje przed zapytaniem. Wyszukiwania URL mogą być skanowane i udostępniane; nie zakładaj, że wyszukiwanie jest prywatne lub że usunięcie tokena sprawdza ten sam obiekt. F. Sprawdź analizowany identyfikator, typ pliku, datę analizy oraz pojedyncze wyniki. Brak wykryć nie jest dowodem bezpieczeństwa. Stary raport może nie opisywać aktualnego treść. Detekcja może wymagać interpretacji; nie omijaj narzędzi firmowych. G. Raport nie zatwierdza płatności, nadania zgody, logowania ani wydania danych. Trzymaj się zatwierdzonych procedur badania incydentu i eskalacji. DLACZEGO POUFNE PLIKI MUSZĄ POZOSTAĆ POZA SYSTEMEM Zwykłe zgłoszenia i raporty VirusTotal mogą być udostępniane wewnątrz jego społeczności bezpieczeństwa ekosystem, w tym partnerzy i klienci. Publiczny skan może stworzyć nowe ujawnienie danych. Private Scanning to osobna usługa, która wymaga zatwierdzenia i skonfigurowane pod kątem Twojej organizacji. Samo logowanie lub płatność nie są wystarczające. Jeśli przypadkowo przekazałeś materiały wrażliwe, niezwłocznie zgłoś ten fakt; nie zakładaj, że usunięcie lokalnej kopii lub zmiana nazwy pliku to cofa. 8. SZABLON RAPORTU Z INCYDENTU — UŻYWAJ WYŁĄCZNIE ZATWIERDZONYCH KANAŁÓW WEWNĘTRZNYCH Dotknięte konto/urządzenie: Przybliżony czas i strefa czasowa: Kanał i deklarowany nadawca: Co zaobserwowałem(am): Co rzeczywiście zrobiłem(am) (obejrzałem / kliknąłem / wpisałem hasło / ukończyłem MFA / wprowadzony kod urządzenia / udzielony dostęp do aplikacji / uruchomiono treść / wysłano dane / dokonano płatności): Czy zauważono jakiekolwiek pobrania, komunikaty lub zmiany: Czego zaprzestałem(am): Gdzie oryginalne dowody są przechowywane z użyciem zatwierdzonego narzędzia raportowego: Znana ścieżka przez service desk lub bezpieczeństwo: Zgłoś szybko, nawet jeśli nie masz pewności. Nie powtarzaj działania, aby je wyjaśnić. Nie podawaj w raporcie haseł, kodów odzyskiwania, ani sekretów. Bezpieczeństwo może wymagać cofnięcia sesji i uprawnień aplikacji, sprawdzenia reguł skrzynek pocztowych oraz przegląd urządzeń; sama zmiana hasła nie jest kompletną reakcją na każdy przypadek. Przy płatnościach natychmiast powiadom finanse i bezpieczeństwo ustalonymi kanałami. Stosuj się do poleceń zespołu reagowania zamiast improwizować kasowanie danych czy zmiany na urządzeniu. ODNIESIENIA https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/ https://support.google.com/mail/answer/8253 https://support.google.com/accounts/answer/14012355 https://docs.virustotal.com/docs/how-it-works https://docs.virustotal.com/docs/searching https://docs.virustotal.com/docs/results-reports https://docs.virustotal.com/docs/private-scanning Używaj w odpowiedziach kursowych fikcyjnych lub zanonimizowanych przykładów. Nie wklejaj rzeczywistych podejrzane pliki, prywatne linki lub tajemnice firmowe do platformy szkoleniowej.