Ki­ber­ne­tinės grėsmės – vis pa­žan­gesnės ir su­dėtin­gesnės: kam tu­ri­me ruoš­tis

Vi­sai ne­se­niai Eu­ro­pos Sąjun­gos (ES) teisė­sau­gos agentū­ra Eu­ro­po­las pa­skelbė nau­jau­sią ata­skaitą, ku­rio­je ana­li­zuo­ja­mos ki­ber­ne­ti­nių nu­si­kal­timų ES ten­den­ci­jos ir jų po­vei­kis re­gio­no gy­ven­to­jams bei or­ga­ni­za­ci­joms. Jo­je tei­gia­ma, kad ki­ber­ne­tinės grėsmės spar­čiai au­ga, tam­pa vis pa­žan­gesnės ir su­dėtin­gesnės.

Suk­čia­vi­mas in­ter­ne­te yra spar­čiau­siai au­gan­ti or­ga­ni­zuo­to nu­si­kals­ta­mu­mo sri­tis Eu­ro­po­je. Tarp daž­niau­siai Eu­ro­po­lo ata­skai­to­je mi­nimų nu­si­kals­tamų schemų įvar­di­ja­mos: su­kčia­vi­mas, su­si­jęs su krip­to­va­liu­ta ir ki­to­mis in­ves­ti­ci­jo­mis, vers­lo elekt­ro­ni­nio pa­što pa­skyrų užg­ro­bi­mas, ro­man­ti­niai ar su klientų ap­tar­na­vi­mu su­si­ję su­kčia­vi­mai, kai nu­si­kaltė­liai ap­si­me­ta pa­gal­bos dar­buo­to­jais, „fi­šin­gas“ (duo­menų iš­vi­lio­ji­mas per nuo­ro­das) ir „smi­šin­gas“ (duo­menų iš­vi­lio­ji­mas SMS ži­nutė­mis).

Taip pat išs­ki­ria­mas su­kčia­vi­mas mokė­ji­mo sis­te­mo­se: tai api­ma ne­teisėtą kre­di­to ar de­be­to kor­telės pa­nau­do­jimą, sie­kiant įsi­gy­ti pre­kes ir pa­slau­gas in­ter­ne­tu ar te­le­fo­nu. Atas­kai­to­je taip pat pa­žy­mi­ma, kad pa­vog­ta var­to­tojų in­for­ma­ci­ja daž­nai per­par­duo­da­ma ir pa­kar­to­ti­nai pa­nau­do­ja­ma, dėl ko jau kartą nu­kentėję gy­ven­to­jai vėl tam­pa iš­puo­lių tai­ki­niu.

Įžvel­gia­ma pa­vo­jin­ga ten­den­ci­ja, jog pa­ts su­kčia­vi­mas tam­pa vis la­biau in­dust­ria­li­zuo­tas. Nu­si­kals­ta­mos gru­puotės vei­kia per spe­cia­li­zuo­tus tink­lus, api­man­čius skam­bu­čių cent­rus, mokė­ji­mo tar­pi­nin­kus, tech­ni­nių pa­slaugų teikė­jus, su­klas­to­tas rek­la­mas, „fi­šin­go“ rin­ki­nius ir va­di­namą­sias SIM fer­mas. Toks „dar­bo“ pa­si­da­li­ji­mas reiš­kia di­desnę nu­si­kals­ta­mos veik­los frag­men­ta­ciją ir že­mes­nius pa­te­ki­mo bar­je­rus pra­de­dan­tie­siems fi­nan­si­niams su­kčiams.

Dirb­ti­nis in­te­lek­tas (DI) kol kas yra svar­bes­nis kaip įga­lin­to­jas, o ne kaip au­to­no­miš­kas nu­si­kals­ta­mas vie­ne­tas. Ge­ne­ra­ty­vi­nis DI jau da­bar nau­do­ja­mas kur­ti įti­ki­na­mus pra­ne­ši­mus, sce­na­ri­jus, su­klas­to­tas ta­pa­ty­bes, kenkė­jišką kodą ar dau­gia­kalbį tu­rinį. Eu­ro­po­las įspėja, kad nu­si­kals­ta­mi tink­lai vis daž­niau nau­do­ja bal­so po­kal­bių bo­tus ir ge­ne­ra­ty­vinį DI, klas­to­da­mi rea­lių žmo­nių bal­sus: taip sie­kia­ma au­to­ma­ti­zuo­ti te­le­fo­ninį su­kčia­vimą („vi­šingą“) ir pa­di­din­ti jo mastą. Or­ga­ni­za­ci­jos ata­skai­to­je pro­gno­zuo­ja­ma atei­ty­je pa­ma­ty­ti ir la­biau au­to­no­miš­kas, „agen­ti­nes“ dirb­ti­nio in­te­lek­to nu­si­kals­ta­mas sis­te­mas.

Vis dėlto kei­čian­tis tech­no­lo­gi­joms žmo­gaus elg­se­na to­liau iš­lie­ka itin pa­žeid­žia­ma sri­tis. Ban­kams, fi­nan­si­nių ir kitų pa­slaugų teikė­jams stip­ri­nant dviejų veiks­nių ir bio­met­rinį au­ten­ti­fi­ka­vimą, nu­si­kaltė­liai pa­si­tel­kia so­cia­linę in­ži­ne­riją, minė­tus „fi­šingą“, „smi­šingą“ ir ma­ni­pu­lia­ci­jas rea­liuo­ju lai­ku, siek­da­mi įti­kin­ti au­kas pa­čias pa­tvir­tin­ti fi­nan­si­nes ope­ra­ci­jas.

Si­tua­ci­ja Lie­tu­vo­je – be­veik kaip ir li­ku­sio­je Eu­ro­po­je

Ofi­cialūs šal­ti­niai ro­do, kad ke­lios eu­ro­pinės ten­den­ci­jos jau aiš­kiai įsit­vir­ti­nu­sios ir mūsų ša­ly­je.

Re­mian­tis Na­cio­na­li­nio ki­ber­ne­ti­nio sau­gu­mo cent­ro duo­me­ni­mis, tei­gia­ma, jog so­cia­linė in­ži­ne­ri­ja yra vie­na iš pa­grin­di­nių ki­ber­ne­ti­nių grėsmių Lie­tu­vo­je. Per­nai už­re­gist­ruo­ti 2 888 ki­ber­ne­ti­niai in­ci­den­tai – 25 pro­c. ma­žiau nei 2024 m. Nu­si­kals­tamų veikų elekt­ro­ninė­je erdvė­je mažė­jo 28 pro­c., jų iš­ty­ri­mas išau­go 10,5 pro­c. Tai – tei­gia­mi ženk­lai. Ta­čiau re­gist­ruo­ti skai­čiai neats­pin­di vi­so vaiz­do.

Suk­čių skam­bu­čių in­ten­sy­vu­mas au­ga įspūdin­gu mas­tu. Lie­tu­vos ry­šių re­gu­lia­vi­mo tar­ny­ba 2025 m. gruod­žio mėnesį pra­nešė, kad iki 70 pro­c. tarp­tau­ti­nių skam­bu­čių ga­li turė­ti su­kčia­vi­mo po­žy­mių. Įve­dus nau­jas ope­ra­to­riaus ly­gio kont­rolės prie­mo­nes, vie­nas mo­bi­lio­jo ry­šio tink­las per sa­vaitę blo­kuo­da­vo maž­daug 500 tūkst. įtar­tinų skam­bu­čių iš už­sie­nio.

Kaip ro­do nau­jau­sia Pi­nigų plo­vi­mo pre­ven­ci­jos kom­pe­ten­cijų cent­ro ana­lizė, pirmąjį šių metų pus­metį su­kčia­vi­mo mas­tai iš­li­ko di­de­li, o nu­si­kaltė­liai nuo­lat ran­da būdų pa­siek­ti sa­vo au­kas. Antrąjį ket­virtį už­re­gist­ruo­ta 3 718 su­kčia­vi­mo at­vejų – 14 pro­c. dau­giau nei pirmąjį šių metų ket­virtį.

Did­žiau­sią re­gist­ruotų su­kčia­vi­mo at­vejų dalį ir to­liau su­da­ro „fi­šin­go“ at­ve­jai. Antrąjį ket­virtį už­fik­suo­ta 1 514 at­vejų – apie 41 pro­c. visų re­gist­ruotų su­kčia­vimų. Pa­ly­gin­ti su pir­muo­ju ket­vir­čiu, „fi­šin­go“ at­vejų pa­daugė­jo maž­daug de­šim­ta­da­liu.

Nors pa­gal re­gist­ruotų at­vejų skai­čių – 70 – te­le­fo­ni­nis su­kčia­vi­mas su­da­ro ne­di­delę dalį visų in­ci­dentų, jis iš­lie­ka vie­na pa­vo­jin­giau­sių su­kčia­vi­mo formų. Suk­čiai vis daž­niau pa­si­tel­kia su­dėtin­gus so­cia­linės in­ži­ne­ri­jos sce­na­ri­jus, taip įti­kin­da­mi au­kas pa­čias pa­tvir­tin­ti mokė­ji­mus, at­skleis­ti pri­si­jun­gi­mo duo­me­nis ar per­ves­ti lėšas į ta­ria­mai sau­gias sąskai­tas.
Skam­bi­nan­čio­jo nu­me­rio klas­to­ji­mas (angl. „Spoo­fing“) yra ypač ak­tua­lus pa­vo­jus Lie­tu­vo­je. Nu­si­kaltė­liai daž­nai už­mas­kuo­ja skam­bu­čius iš už­sie­nio ar in­ter­ne­tu kaip skam­bu­čius iš pri­va­čių as­menų, vers­lo or­ga­ni­za­cijų, po­li­ci­jos ar kitų ins­ti­tu­cijų. Ta­čiau at­metę to­kius skam­bu­čius ir nu­sprendę per­skam­bin­ti į skam­bi­nu­sio­jo nu­merį būsi­te su­jung­ti su vi­sai ki­tais abo­nen­tais. Tai at­spin­di Eu­ro­po­lo įspėji­mus apie pa­slėptą ir grei­tai ple­čiamą su­kčia­vi­mo inf­rast­ruktūrą.

Tuo me­tu vers­lui did­žiau­sią ri­ziką ir to­liau ke­lia su­si­ra­šinė­ji­mo elekt­ro­ni­niu pa­štu per­ėmi­mo bei ne­tik­ro įmonės va­do­vo su­kčia­vi­mo sche­mos. Nors jų re­gist­ruo­ja­ma ne­daug, vie­no in­ci­den­to me­tu iš­vi­lio­ja­mos su­mos ga­li siek­ti de­šim­tis ar net šim­tus tūkstan­čių eurų. Pa­vyzd­žiui, ant­rąjį šių metų ket­virtį tik apie 5 pro­c. re­gist­ruotų su­kčia­vi­mo at­vejų te­ko įmonėms, ta­čiau jų pa­tir­ti nuo­sto­liai vir­ši­jo 3 mln. eurų ir su­darė apie treč­dalį visų nuo­sto­lių.

Kri­tinė inf­rast­ruktū­ra ir tie­ki­mo gran­dinės tebė­ra jautrūs pa­žei­di­mams. Lie­tu­vos ki­ber­ne­ti­nio sau­gu­mo ver­ti­ni­me įspėja­ma, kad silp­na pa­slaugų teikėjų ap­sau­ga ga­li su­da­ry­ti ga­li­my­bes įsisk­verb­ti į na­cio­na­li­niu mas­tu svar­bias or­ga­ni­za­ci­jas. Tai taip pat ati­tin­ka Eu­ro­po­lo ver­ti­nimą, jog nu­si­kaltė­liai nu­krei­pia sa­vo veiks­mus į skait­me­ni­nes tie­ki­mo gran­di­nes ir viešųjų pa­slaugų teikė­jus.

Vis dėlto Lie­tu­va su­stip­ri­no sa­vo re­gu­lia­vi­mo ir gy­ny­bos seg­men­tus. Dar 2024-ai­siais NIS2 di­rek­ty­va bu­vo per­kel­ta į na­cio­na­linę teisę. Be to, Lie­tu­va ne tik su­griež­ti­no vers­lui ten­kan­čias sau­gu­mo už­tik­ri­ni­mo prie­vo­les, bet ir su­stip­ri­no sa­vo pa­čios tei­kiamą pa­galbą. Šios prie­monės turėtų pa­ge­rin­ti mūsų ša­lies at­spa­rumą, nors jos ir ne­pa­ša­li­na ri­zikų, ku­rias ke­lia so­cia­linė in­ži­ne­ri­ja, tre­čiųjų ša­lių tiekė­jai ir tarp­tau­ti­niai nu­si­kaltė­liai.

Kaip tu­ri ruoš­tis or­ga­ni­za­ci­jos ir gy­ven­to­jai?

O ką ga­li­me pa­da­ry­ti mes? Ko­vo­jant su su­kčia­vi­mu, dėme­sys turėtų būti ski­ria­mas ne tik kenkė­jiš­kai pro­gra­mi­nei įran­gai, bet ir ta­pa­tybės pa­tvir­ti­ni­mo pro­cedū­roms, mokė­jimų pa­tvir­ti­ni­mams bei gebė­ji­mo at­si­spir­ti sku­biems ar emo­ciš­kai ma­ni­pu­liuo­jan­tiems pra­šy­mams ug­dy­mui.

Turė­tu­me nu­si­teik­ti, kad įti­ki­na­mai skam­ban­tys ir lie­tu­vių kal­ba pa­ra­šy­ti su­kčių laiš­kai, taip pat bal­so klo­na­vi­mas pa­si­tel­kiant DI ir ta­pa­tybės pa­si­sa­vi­ni­mas taps leng­viau įgy­ven­di­na­mi. Tai reiš­kia, jog to­kių su­kčia­vi­mo ap­raiškų atei­ty­je ga­li tik daugė­ti.

Kaip ro­do nau­jau­sia su­kčia­vi­mo mastų Lie­tu­vo­je ana­lizė, vers­lai, nors ir re­čiau su­si­du­ria su su­kčiais, iš jų iš­vi­lio­ja­mos su­mos – itin reikš­min­gos. Did­žiau­sią ri­ziką ir to­liau ke­lia su­si­ra­šinė­ji­mo elekt­ro­ni­niu pa­štu per­ėmi­mo, ne­tik­ro įmonės va­do­vo bei ki­tos su­kčia­vi­mo sche­mos. Vis dėlto to­kių ri­zikų iš­veng­ti – įma­no­ma: tai pa­da­ry­ti ga­li­ma pa­si­tel­kus tech­no­lo­gi­nius spren­di­mus ir dis­cip­liną. Todėl kri­ti­nis mąsty­mas, iš­sa­mes­nis in­for­ma­ci­jos tik­ri­ni­mas ir aukš­tes­nių sau­gu­mo pro­to­kolų die­gi­mas yra prio­ri­te­tiš­kai svarbūs.

Va­do­vau­jan­čio as­mens au­ten­ti­fi­ka­vi­mas turėtų būti de­ri­na­mas su san­do­rių li­mi­tais, ne­prik­lau­so­mais pa­tvir­ti­ni­mo ka­na­lais ir kont­rolės prie­monė­mis, ku­rių ne­ga­li­ma apei­ti vien tik žmo­gaus spau­di­mu at­lik­ti veiks­mus.

De­be­si­jos, hos­tin­go, kitų pa­slaugų teikė­jai ir išorės IT par­tne­riai turėtų būti trak­tuo­ja­mi kaip or­ga­ni­za­ci­jos da­lis, ga­lin­ti su­si­dur­ti su pa­žei­di­mais. Ki­taip ta­riant, net ir ne­būda­mi tie­sio­giai jūsų vers­lo da­li­mi, jūsų par­tne­riai ga­li su­si­dur­ti ly­giai su to­mis pa­čio­mis grėsmėmis, ku­rios ga­li pa­veik­ti abi ša­lis.

Rea­ga­vi­mo į kri­ti­nius ir ki­tus in­ci­den­tus pla­nai turėtų apim­ti ne tik sis­te­mos šif­ra­vimą, bet ir duo­menų va­gystę bei viešąjį šan­tažą. Ži­no­ma, pir­miau­sia vertėtų pa­si­reng­ti to­kius pla­nus ir nuo­lat juos tes­tuo­ti.

Kaip ro­do Lie­tu­vos ir Eu­ro­pos teisė­sau­gos ins­ti­tu­cijų duo­me­nys, pa­slau­gas trik­dan­čių DDoS ata­kų kie­kis pa­ste­bi­mai išau­ga vyks­tant svar­biems geo­po­li­ti­niams įvy­kiams: rin­ki­mams, pra­ne­ši­mams apie ka­rinę pa­ramą ar svar­bių tarp­tau­ti­nių su­si­ti­kimų me­tu. Todėl vi­si būtinųjų pa­slaugų teikė­jai turėtų būti tam pa­si­rengę.

Ga­liau­siai, vertėtų ne­pa­mirš­ti ir as­me­ni­nio at­sar­gu­mo. Kad ir ko­kios su­dėtin­gos ap­sau­gos sis­te­mos būtų įdieg­tos, kad ir ko­kie iš­manūs ri­zikų val­dy­mo spren­di­mai būtų su­kur­ti, vis­kas pra­si­de­da nuo žmo­gaus ir jo as­me­ni­nio at­spa­ru­mo ki­ber­ne­tinėms grėsmėms.

„Swed­bank“ in­for­ma­cinės sau­gos va­dovė Žy­ge­da AU­GONĖ