Sukčiams internete bus gerokai sunkiau jus apgauti: NKSC laikinasis vadovas turi vieną auksinę taisyklę

Jei anksčiau vagims reikėdavo laužtis į butą, kibernetiniai nusikaltėliai visą parą dirba iš bet kurios pasaulio vietos su vieninteliu tikslu – išvilioti jūsų pinigus. Nors niekas nėra visiškai apsaugotas, vos vienas veiksmas dažnai leistų pasilaikyti pinigus sau pačiam – padaryti pauzę ir nedaryti nieko, ko prašo jums stresą keliantys asmenys. Nacionalinio kibernetinio saugumo centro (NKSC) laikinasis vadovas Jonas Skardinskas šiandieniame pasaulyje pasigenda sveiko skepticizmo.

Internete, pilname kibernetinių apgavikų, nebegalima pasitikėti niekuo – LOGIN. LT laidoje NKSC Kibernetinio saugumo valdymo departamento direktorius Jonas Skardinskas papasakojo, kad Lietuvoje šiuo metu vyrauja keli pagrindiniai kibernetinių atakų tipai Lietuvoje: DDoS (paslaugų trikdymo atakos), fišingas (angl., phishing), žalingos programinės įrangos platinimas.

Tačiau tarp gyventojų dažniausiai nukenčia tie, kurie patiki sukčių sukurtu scenarijumi.

Naujoje realybėje – naujas mąstymo būdas

„Pirmiausia reikia suprasti naują realybę, ir kokie vektoriai naudojami, kad jus pasiektų. Žmogus pirmiausia turėtų įsivaizduoti – kaip jisai ryte atsikelia, nusiprausia, išgeria kavos ir eina į darbą, sėda prie kompiuterio dirbti, tai kažkurioje pasaulio dalyje, nebūtinai net Lietuvoje, kitas žmogus ir atsikelia, išsivalo dantis, išgeria kavos, ir sėda prie kompiuterio su vieninteliu tikslu – atimti jūsų pinigus“, – sako J. Skardinskas.

Dešimtys tūkstančių piktavalių kiekvieną dieną dirba vien tam, kad išviliotų jūsų pinigus ir tam turi daug įvairių būdų, bet vienas esminių įgūdžių – net nesusijęs su kompiuteriu.

„Kaip jis tą daro, yra labai aiškūs metodai – pirmoje eilėje yra sukelti jums stresą, arba priversti jus veikti impulsyviai. Ką tai reiškia? Tai reiškia, arba jūs gaunat kažkokią žinutę, kurioje pasakyta, kad kažkas baisaus vyksta: galbūt kažkokios pikantiškos jūsų nuotraukos feisbuke – spausk čia ir pažiūrėk, arba jūs laimėjot „iPhone“, arba uždarė jūsų sąskaitą ir turit per 10 minučių turite kažką būtinai padaryt.

Na tai mano patarimas labai aiškus – pasiimk pauzę. Aš suprantu tą impulso norą, bet supraskite, net jeigu, teoriškai, iš tiesų tai vyktų, valanda čia nieko neišspręs. Jei jūsų sąskaita tikrai uždaryta – tai, kad jūs reaguosite per 2 minutes, patys pagalvokite, kokioje situacijoje bankas galėtų jums sureagavus per 2 minutes atidaryti sąskaitą, o nereagavus – jau ji bus prarasta visiems amžiams. Tai aišku, kad čia yra nesąmonė su vienu tikslu – sukelti jums stresą ir priversti veikti nemąstant. Todėl visada reikia paimti pauzę, pagalvoti, pasiklausti, kitais kanalais sukontaktuoti su siuntėju, ar tai būtų bankas, ar telekomunikacijų bendrovė“, – dėstė J. Skardinskas.

Pasak jo, šiuolaikiniame pasaulyje reikalingas sveikas skepticizmas – ar tikrai viskas, kas atsiunčiama, kur prašoma ką nors atlikti, yra tikra, ar iš tiesų kažką reikia daryti.

„Negali duoti vieno patarimo, kaip apsiginti, bet skepsis, ir kitas labai nuobodus dalykas – rekomendacijos. Gal kas sakys, vėl rekomendacijos, ką jūs čia prirekomenduosit. Bet jos svarbios. Jas paskaičius, galima įsidiegti ar antivirusinę programą, ar atpažinti fišingo laišką, ir kiekvienu tokiu atveju mes mažiname savo atakos vektorių – mažiname galimybes nusikaltėliams gauti pinigus“, – pažymi J. Skardinskas.

Sukčiai ir kiti piktavaliai susikraustė į internetą

Pasak J. Skardinsko, pandemija nulėmė, kad daug gyventojų bendravimo, darbų persikėlė į internetą. Čia persikėlė ir sukčiai. Atitinkamai, fiksuojama daugiau incidentų skaitmeninėje erdvėje.

„Žmonės turėjo labai greitai išmokti naujų skaitmeninių įgūdžių ir labai greitai išmokti naudotis naujais skaitmeniniais produktais. Labai didelė dalis žmonių, kurie anksčiau nepirko elektroninėse parduotuvėse, pradėjo ten pirkti. Tie kurie nesinaudojo elektronine bankininkyste – pradėjo naudotis. Masė kitų skaitmeninių paslaugų staiga tapo naudojamos labai didelės visuomenės dalies. Bet į skaitmeninę erdvę persikėlė ne tik mūsų visuomenė, bet persikėlė ir visa blogoji dalis: tai yra nusikaltėliai, priešiškos Lietuvai valstybės, aktyvistai, kurie turi savų tikslų, ar tiesiog interneto chuliganai“, – paaiškina J. Skardinskas.

Tai, ką skaitmenizavimo srityje buvo tikimasi pasiekti per dešimtmetį, įvyko per pora metų – tačiau pasiruošimas tam nebuvo pakankamas. Patogu, greita, tačiau kibernetinis saugumo komponentas atsiliko – situacija kibernetinio saugumo požiūriu tapo sudėtingesnė. Situaciją dar paaštrino karas Ukrainoje.

„Ką mes matome, staiga didelė dalis žmonių, kurie nieko nežinojo apie įsilaužimus, apie kibernetines atakas, tiesiog ėmė kažkokius jiems duodamus įrankius ir pradėjo dalyvauti atakose. Jie staiga buvo supažindinti su nauja realybe“, – paminėjo J. Skardinskas.

Jei iki karo nebuvo daug vadinamųjų DDoS atakų, staiga jos tapo aktualios, ilgos, tęstinės, nukreiptos prieš daug taikinių.

„Naujoji realybė skaitmeninė iš tiesų sukuria naujus kibernetinio saugumo iššūkius, kurie yra nauji ir valstybei, ir verslui, ir, svarbiausia, bendra žmonėms“, – pažymėjo Kibernetinio saugumo valdymo departamento direktorius.

Tikslių duomenų apie įsilaužimus ar kitokias atakas nėra – nėra įpareigojimo gyventojams ir net verslui pranešti apie visus incidentus NKSC, tai neleidžia pamatyti tikrojo galimų incidentų masto.

Ko labiausiai bijoti – kad apgaus ir išvilios duomenis, įsilauš

Tai vienas iš faktorių, kaip minėjau tos DDOS atgijimas, nauja banga. Jos šiek tiek kitokios. Jei anksčiau dažniausiai DDoS atakos būdavo labai koncentruotos, nukreiptos į vieną taikinį ir nebūdavo taip ilgai vykstančios, čia būdavo skelbiami taikiniai nuolat, jų būdavo daug, atakų srautai buvo generuojami dideli, ir tai iš tiesų buvo šiek tiek nebūdinga ankstesnei situacijai“, – pirmą atakų tipą apžvelgė J. Skardinskas.

Pamokos, anot jo, išmoktos – daug įmonių susitvarkė apsaugos sistemas, įvertino rizikas, pradėjo geriau planuoti, kaip valdyti galimus paslaugų sutrikimus.

„Kiti pavojai ar incidentai, kuriuos stebime, labai nesiskiria nuo bendrų europinių tendencijų. Yra 2 pagrindinės rūšys, kurias mes nuolat akcentuojame: tai yra „fišingas“ (angl., phishing), siekiant išvilioti asmeninius duomenis, prisijungimus ar bankinius duomenis. Ir kita sritis – žalingo programinio kodo diegimas, vėlgi, tuo pačiu tikslu: išgauti duomenis, paveikti sistemas“, – pažymi J. Skardinskas.

Fišingu vadinama socialinės inžinerijos sukčiavimo forma, skirta išvilioti konfidencialius duomenis, naudojant internetinius adresus, panašius į iš tikro egzistuojančios institucijos adresą, apsimetant kitu asmeniu ar taikant kitus apgaulės būdus. Sukčiai gali kreiptis ir e. paštu, ir telefonu, ar bet kuriuo kitu komunikacijos kanalu.

Trečia padažnėjusių incidentų forma – sistemų užšifravimas, dar vadinamas „ransomware“ (reikalaujant išpirkos).

„Duomenų šifravimo atakos, vadinamasis „ransomware“, naudojamas dviem vektoriais: vienas tiesiog griovimo tikslais, tai yra tiesiog užšifruot duomenis, kad jie nebūtų pasiekiami, o kitas – nusikaltėliai reikalauja išpirkos. Ir vėlgi, stebim tam tikrą padaugėjimą tokių atvejų“, – pažymėjo J. Skardinskas.

Ko žmonės dažnai nepagalvoja – jie tapo atviri viso pasaulio nusikaltėliams.

„Kai tu esi fizinėje erdvėje, pvz., kai esi Vilniuje, kad tave kažkas apvogtų, vagis turi būti Vilniuje. Jis negali niekur kitur būt – turi ateiti į butą fiziškai. Ir staiga žmonės patekę į kibernetinę ardvę pamatė, kad jie tapo atviri nusikaltėlių veikimui iš viso pasaulio. Tai yra, bet kur sėdinčiam nusikaltėliui jie yra taikinys“, – paaiškina J. Skardinskas.

Galbūt pasaulis galėtų didelę dalį problemos išspręsti tiesiog sutaręs ir atjungęs Rusiją nuo interneto?

„Pirmas dalykas, nėra taip paprasta, kaip dažnai atrodo, – patikina J. Skardinskas. – Bet pats atribojimas Rusijos, nežinau ar net viską išspręstų. Nes DDoS atakos – tai nebuvo, kad jos 100 proc. ėjo iš Rusijos. Buvo naudojama infrastruktūra esanti kitose šalyse, tame tarpe ir mums draugiškose. Tai yra kita bendro sujungto pasaulio dalis, dažnai ataka vyksta ne iš ten, iš kur realiai kilęs nusikaltėlis“.

Pasakė, kas atsakingas, jei sistemą nulaužė – įstaigos ar įmonės vadovas

Verslo ar valstybės įstaigose pirmuoju kibernetinio saugumo smuiku griežia vadovai, pažymėjo NKSC atstovas.

„Vadovų supratimas, kas tas kibernetinis saugumas, tikrai labai kinta dabar – į gerąją pusę. Anksčiau matėme, kad vadovai tiesiog nesupranta, kad jie dabar dažnai valdo daugiau skaitmeninio turto, negu fizinio turto. Ir nedaug buvo tokių klausimų, kas gi įvyks, jei mano visi klientų duomenų bazės duomenys bus užšifruoti, iš ko aš juos atstatysiu, o kas įvyks, jeigu mano buhalterinė sistema bus užšifruota, ką aš tada darysiu, iš kur aš atgausiu tuos duomenis? Ką aš darysiu, jeigu mano gamybos valdymo sistema bus užšifruota, kaip aš tada perdavinėsiu informaciją nuo vienų staklių į kitas, kokiu būdu, per kiek laiko, kokius nuostolius aš patirsiu? Tokių klausimų mes mažiau matėme prieš keletą metų ir dabar jau matome, kad vadovai užduoda sau tuos klausimus ir bando organizuoti veiklas taip, kad jų veikla nebūtų sutrikdyta“, – patikina J. Skardinskas.

Tačiau „niekas nėra pilnai ir visiškai pasiruošęs nuo visų kibernetinio saugumo atakų“, patikina J. Skardinskas. Jis pažymi, kad dėmesio saugumui buvo skiriama per mažai, tačiau dėmesio daugėja, vadovai pradeda suprasti savo atsakomybę, kad „neateis kažkas iš šono ir jų neišgelbės pamojavęs stebuklinga lazdele“.

„Netgi kai mes tiriame incidentus, esminis dalykas, siekiant suvaldyti ir ištirti incidentą – ar pats tas subjektas buvo bent kažką pasidaręs, ar jis bent turėjo žurnalinius įrašus, ar jis žino, kaip jo sistema organizuota, kas joje vyksta, ar pasidaręs rizikos vertinimą. Tai tam tikri namų darbai – ir jeigu jie šito nepadarę, labai sunku tikėtis, kad kažkas atėjęs iš šono tave išgelbės nuo bet kokios atakos“, – pabrėžė J. Skardinskas.

Jis akcentavo, kad būtent vadovai turi dirbti savo darbą – įsivertinti rizikas, kas gresia, įvykus kibernetinio saugumo incidentui, paskirti atsakingą pareigūną, o taip pat skirti reikiamas investicijas į kibernetinį saugumą.

Daugiau dėmesio skirs trečioms šalims

Kalbėdamas apie naujausią kibernetinį išpuolį prieš „BankingLab“ jis pastebėjo, kad programišių ataka nulėmė ne vienos įmonės nuostolius.

„Čia yra dar vienas tema, į kurią tikrai reikės vis daugiau ir daugiau dėmesio kreipti – tai yra trečiųjų šalių valdymas ir tiekimo grandinės pavojus. Nes realiai, jeigu pasižiūrėsim, kas buvo paveiktas, tai ne tik „BankingLab“. Pirmoje eilėje tai buvo jų klientai, kurie naudojosi informacine sistema. Tai reiškia, kad atakabęs vieną sistemą gali paveikti labai nemažai kitų įstaigų, kurios irgi yra labai svarbios ir naudoja daug asmens duomenų“, – vertino J. Skardinskas.

Jis pabrėžė, kad dideli objektai dažnai netgi nėra atakuojami tiesiogiai – jie atakuojami per trečiąsias šalis, per rangovus, kurie būna mažesni, turi prastesnes kibernetinio saugumo praktikas, tačiau turi prisijungimus prie didelių organizacijų sistemų.

„Lietuvoje dar neturime kultūros, kad pradėdami kažkokios verslo santykius skaitmeninėje erdvėje mes pasitikrintume – o tai ta trečia šalis ar turi kažkokį supratimą apie kibernetinį saugumą, ar ji laikosi bent jau bazinių kibernetinio saugumo reikalavimu“, – pasvarstė J. Skardinskas.

Jis pažymėjo, kad Europos Komisijoje vyksta derybos dėl naujo teisės akto, kuriuo bus pavesta paslaugų teikėjams užtikrinti kibernetinį saugumą viso produkto gyvavimo ciklo metu: „Bet turim ir patys kurti tą kultūrą, kur vieni iš kitų reikalaujame kibernetinio saugumo reikalavimų laikymosi“.

J. Skardinskas patikina, kad bus numatytos didelės baudos kritinių infrastruktūrų operatoriams už kibernetinio saugumo organizacinių ir techninių reikalavimų nevykdymą.

NKSC yra įstaiga tirianti incidentus ir padedanti juos kuo greičiau suvaldyti, apie nusikalstamos veikos požymius informacija perduodama policijai ar kitoms institucijoms.