Kibernetinis saugumas – vienas didžiausių skaitmeninio amžiaus iššūkių, nes informacija bei duomenys yra brangus turtas. Pastebima, jog sparčiai didėja socialinės inžinerijos atakų, o kibernetiniai sukčiai gilinasi į žmogaus psichologiją ir tyrinėja dienos ritmą, siekdami įveikti žmogaus budrumą. Naujausias tyrimas atskleidė, jog piktavaliai internete ne tik naudoja sukčiavimo (angl. phishing) atakas, bet jie tai daro sąmoningai pasirinktu laiku. Praėjo virusų prisegtuose failuose laikai, atėjo šešėlinių nuorodų amžius. Todėl neatsitiktinai spalis, Europos kibernetinio saugumo mėnuo, pasitinka Europos gyventojus šūkiu „Prieš spausdamas – pagalvok!“.
Asociatyvi „Pixabay“ nuotr.
ES kibernetinio saugumo agentūros (ENISA) ir Europos Komisijos iniciatyva, spalis Europoje skelbiamas kibernetinio saugumo mėnesiu, kurio metu siekiama ugdyti žmonių sąmoningumą kibernetinio saugumo klausimais.
„Lietuvoje mūsų vykdomas Saugesnio interneto projektas jungiasi prie šios iniciatyvos ir kviečia susimąstyti, ar tikrai internete elgiamės saugiai? Kad neužkibtume ant sukčių kabliuko, reikia būti ne tik atsargiais, mokėti kritiškai vertinti informaciją, bet ir žinoti pagrindines saugaus elgesio taisykles, kurias įvairiomis veiklomis asociacijos „Langas į ateitį“ Facebook paskyroje pristatysime kiekvieną spalio savaitę“, – iniciatyvą pristato Rita Šukytė, asociacijos „Langas į ateitį“ direktorė.
Svarbiausia – žmogaus psichologija
„Silpniausia kibernetinio saugumo grandis yra žmonės“, – sako Gediminas Mikelionis, ESET Lietuva IT inžinierius, kibernetinio saugumo ekspertas.
Vis daugiau kalbant apie kibernetinį saugumą internete didžiausias dėmesys tenka socialinei inžinerijai. Informacijos saugumo kontekste, socialinės inžinerijos pagrindinė savybė yra ta, jog pasinaudojant žmonių silpnybėmis, bendravimu ir jų manipuliavimu gaunama prieiga prie slaptos informacijos.
„Dažniausiai išgaunami tam tikri asmens duomenys arba prašoma kokių nors greitų veiksmų. Pavyzdžiui, pervesti pinigus į piktavalių sąskaitą, atskleisti banko sąskaitos prisijungimus“, – pastebi Vilma Škarnulytė, kibernetinio saugumo ekspertė.
Siuntinėdami apgaulingus elektroninius laiškus arba sms žinutes, klastodami paskyras, skambindami ir apsimesdami pareigūnais ar investicinių bendrovių darbuotojais, piktavaliai manipuliuoja žmonių psichologija ir taip išgauna svarbią informaciją.
„Taikant socialinę inžineriją galima bendraujama gyvai, telefonu, internetu. Šios atakos labai dinamiškos, nes žmogumi yra lengviau manipuliuoti nei sistemomis. Jų tikslas – finansinis, skaitmeniniai daiktai ar informacija, kuri naudinga įsilaužėliui“, – pastebi G. Mikelionis.
Socialinės inžinerijos bumas
Vos ne kasdien galime išgirsti apie naują kibernetinį incidentą ir sukeltas įvairias pasekmes. Tai kodėl jos tokios sėkmingos nusikaltėliui? Kibernetinio saugumo ekspertas G. Mikelionis pastebi, jog socialinės inžinerijos atakos itin paplitusios šiomis dienomis dėl savo efektyvumo.
Jam antrina ir V. Škarnulytė: „Sukčiavimo (phishing) žinučių platinimas dabar yra „ant bangos“ ir turbūt dar ilgai ir bus, nes tai verslas, ir šis verslas šiuo metu piktavaliams yra labai pelningas. Kol taip bus, tai vienintelis būdas yra mokytis atpažinti sukčiavimo žinutes ir neduoti uždirbti piktavaliams“.
Vadovaujantis „Statista“ (pasaulinės verslo duomenų platformos) 2021 m. pirmojo ketvirčio duomenimis, 24,9 proc. sukčiavimo (phishing) atakų visame pasaulyje buvo nukreiptos į finansų įstaigas, 23,6 proc. atakų teko socialinei žiniasklaidai. Šios dvi pramonės šakos šiuo laikotarpiu buvo didžiausi taikiniai.
Kaip atpažinti ataką?
Kibernetinio saugumo ekspertai sako, jog bendrinio recepto nėra, nes tai apie ką mes kalbame šiandien, po mėnesio gali pasikeisti. Sukčiai labai greitai pritaiko schemas prie aktualijos. Tai dinamiškas reiškinys. Svarbu sekti informacinį foną žiniasklaidoje, Lietuvos policijos svetainėje www.policija.lt, kurioje skelbiama informacija apie populiariausius šiuo metų kibernetinių atakų tipus.
„Pavyzdžiui, pandemijos laikotarpiu sukčiai naudojosi Valstybinės mokesčių inspekcijos (VMI) įvaizdžiu ir siūlė paramą verslui. Šios sukčiavimo žinutės buvo itin populiarios. Aktualiją panaudoti buvo labai lengva, nes visuomenė itin įsijautrinusi, įsibaiminusi ir kai kalbama apie pinigus, kad gavote paramą, prašau užpildyti anketą, nesunku patikėti. Tokią informaciją būtinai reikia pasitikrinti oficialiame, šiuo atveju, VMI puslapyje“, – sako V. Škarnulytė.
Dažniausiai sukčiavimui yra naudojami žinomi vardai, siekiant sukelti pasitikėjimą arba naudojamas spaudimas. Jei kyla noras greitai reaguoti į atsiųstą elektroninį laišką, išgirstą pasiūlymą ar įvykį internete, specialistai sutartinai ragina sustoti ir pagalvoti, kodėl žinutė atsiųsta ir paanalizuoti pranešimo tekstą, atkreipti dėmesį kas yra siuntėjas.
„Lengviausiai socialinę inžineriją atpažinti – jeigu labai stipriai žinutė kabina, – sako V. Škarnulytė, – tuomet geriausia nesiimti greitų veiksmų, sustoti, šiek tiek pagalvoti, leisti smegenims paveikti nors 10 s. ir tik tuomet grįžti prie gautos žinutės. Niekas nenumirė nuo to, kad minutę pagalvojo prieš atsakydamas į elektroninį laišką ar sms žinutę.“
Iš pažiūros neypatingai reikšminga informacija sukčiams gali pasitarnauti kaip raktas į jūsų asmeninę paskyrą ar darbe naudojamą sistemą. Svarbu saugoti savo asmeninius duomenis.
„Kartais žmogus net nesupranta, kad juo manipuliuojama – pasako savo vardą, pavardę, kitą regis nesvarbią informaciją, bet piktavalis išnaudoja šiuos duomenis ir įsilaužia į žmogaus paskyras ar skaitmeninį įrenginį. Pavyzdžiui, piktavaliui užtenka nukopijuoti jūsų profilį socialiniame tinkle ir prašyti tikrų draugų finansinės pagalbos. Todėl labai svarbu internete išlaikyti savo privatumą ir šiuo atveju laikyti socialinio tinklo profilį uždarą arba matomą tik draugams“, – sako Gediminas Mikelionis.
Atkreipkite dėmesį į popietinius e. laiškus
Bendrovės „Tessian“ skelbiamas naujausias atliktas tyrimas atskleidė, jog dauguma kenkėjiškų elektroninių laiškų siunčiami kasdien nuo 14 iki 18 val., išskyrus savaitgalį. Atlikus daugiau kaip 2 mln. elektroninių sukčiavimo laiškų analizę pastebėta, jog kitaip nei manyta iki šiol, sukčiai vengia naudoti rinkodaros laiškų taktikos – laiškus siųsti rytiniu laiku. Ir tai nėra atsitiktinumas. Siųsdami neaiškaus turinio laišką, piktavaliai tikisi, jog po pietų įmonių darbuotojai bus pavargę ir mažiau budrūs, todėl labiau linkę atidaryti šešėlinio turinio elektroninį laišką arba spustelėti nesaugią nuorodą.
Išnagrinėję milijonus e. laiškų, išsiųstų per 12 mėnesių (nuo 2020 m. liepos iki 2021 m. liepos), tyrėjai nustatė, kad sukčiavimo elektroniniai laiškai masiškai siunčiami 14 val., kai dauguma darbuotojų geria popietinę kavą. Kitas sukčių e. laiškų siuntimo suaktyvėjimas – artėjant 18 val., tikintis, kad paskutinis dienos e. laiškas nebus taip kruopščiai analizuojamas, kaip derėtų.
Sukčių laiškuose vis gražesnė lietuvių kalba
„Blogiausia kas nutiko per paskutinius metus, tai skaitmeninėje aplinkoje ištobulėjusi lietuvių kalba, – pastebi V. Škarnulytė, – anksčiau sukčiavimo laiškus buvo galima gana lengvai identifikuoti, nes juose skaitantis rasdavo daug gramatinių klaidų bei prastą stilių. Šiais laikais sukčiavimo laiškuose kalba gali būti ir taisyklinga. Tačiau, jeigu kyla įtarimas, jog tekstas ne lietuviškas ar vertinys, tai greičiausiai taip ir yra.“
Niekada nepasitikėkite žinutėmis, kurios skamba per gerai. Paprastai tai būna spąstai. Ir labai įtariai žiūrėkite, jei yra prašoma atskleisti informaciją ar daromas spaudimas atlikti pinigų pavedimą. Regis nieko baisaus, prašoma paspausti atsiųstą nuorodą arba atsakyti į laišką pateikiant jūsų, vadovo ar giminaičio duomenis, tačiau piktavalių tikslas ir yra surinkti informaciją. Atminkite, elektroninio pašto adresas ar mobilaus telefono numeris rinkoje turi didelę vertę.
„Svarbu tikrinti informaciją. Jei neįprastame laiške randate nuorodą į svetainę, geriau jos nespausti. Pavyzdžiui, laiške randate Lietuvoje labai dažnai sukčių atakoms naudojamą Lietuvos pašto vardą bei nuorodą, nespauskite nuorodos, o patikrinkite informaciją atsidarę originalią Lietuvos pašto svetainę naršyklėje. Informacija turi sutapti, – sako V. Škarnulytė, – o jei sukčiai skambino telefonu, tikrinkite kokiais numeriais yra skambinama, susiraskite telefono numerį įstaigos oficialiame puslapį ir taip pasitikrinkite.“
Išpardavimų karštinė
Kibernetinio saugumo ekspertai žino, kad nuo spalio iki pat metų pabaigos bus stebimas kibernetinių sukčiavimų pikas. Didžiausias sukčių aktyvumo šuolis fiksuojamas prieš pat juodojo penktadienio išpardavimus bei kalėdinę prekybą.
„Kiekvienais metais kalėdinės prekybos metu kibernetinio sukčiavimo (phishing) pikas būna labai aukštas. Galima jau dabar pasakyti, kad sukčiavimų atvejai bus dviejų tipų: arba parduodamos prekės, kurių žmogus niekada negaus. Paprastai tokios prekės būna nebrangios, todėl žmonės nė nesivargina kreiptis į teisėsaugą ar kitas institucijas, kad atgautų pinigus. O kitas tipas bus su pranešimu, jog jūsų prekės strigo muitinėje, todėl jei jas norite gauti greitai, turite sumokėti tam tikrą sumą pinigų arba gali būti reikalaujama sumokėti tariamus siuntimo mokesčius“, – pastebi V. Škarnulytė, kibernetinio saugumo ekspertė.
„Pavasarį prasideda su kelionėmis susijusios kibernetinių sukčių manipuliacijos. O jei gyvenimas dar padiktuos naują aktualiją, tai labai tikėtina, kad ir ji bus panaudota sukčiavimo atakoms. Žinant, sezonines sukčių tematikas bei braižą reikia atkreipti dėmesį ir būti atidesniems“, – sako V. Škarnulytė.
Ką daryti supratus, jog tapote socialinės inžinerijos atakos aukomis?
Jeigu supratote, kad tapote socialinės inžinerijos aukomis reikia kuo greičiau reaguoti į situaciją. „Supratote, kad praradote savo duomenis ar slaptažodį, tuomet reikia kuo greičiau keisti slaptažodį. Jei paskyra buvo pavogta reikia ją susigrąžinti ir apsaugoti visais įmanomais būdais. Jeigu kenkėjas apgavo finansiškai, reikia nedelsti ir kreiptis į banką dėl pinigų pavedimo operacijos sustabdymo ar lėšų grąžinimo“, – pataria G. Mikelionis, ESET Lietuva IT inžinierius, kibernetinio saugumo ekspertas.
