Ar esame jau pakankamai budrūs internete?
Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos (NKSC) spalio pradžioje organizavo antrąjį kibernetinio saugumo pratybų „Kibernetinis skydas PhishEx“ etapą.
Jo metu buvo išsiųsta daugiau kaip 77 000 elektroninių laiškų, imituojančių internetinių sukčių veiklą. Šiuos el. laiškus gavo darbuotojai iš 121 įstaigos, tarp jų ir Lošimų priežiūros tarnyba, kurių dauguma yra Lietuvos ypatingos svarbos informacinės infrastruktūros ir valstybės informacinių išteklių valdytojai bei tvarkytojai.
Pratybų metu apie 18 proc. darbuotojų neatpažino pratybų tikslais sukurtų internetinių sukčių žinučių ir atliko potencialiai žalingus veiksmus aktyvavę el. laiške buvusius prikabintus dokumentus ar atidarę nuorodas.
BŪTINA SKIRTI DAUGIAU DĖMESIO
Pavasarį vykusių analogiškų pratybų metu imitacinių sukčių žinučių neatpažino apie 14 proc. darbuotojų.
„Pratybų rezultatai rodo, kad organizacijos turi skirti žymiau daugiau dėmesio savo darbuotojų mokymams ir kibernetinio atsparumo stiprinimui, nes vos vieno darbuotojo neatsakingas elgesys gali sukelti milžinišką žalą visoms organizacijos informacinėms sistemoms“, – sako NKSC direktorius Liudas Ališauskas.
Jo teigimu, socialinės inžinerijos (angl. phishing) žinučių keliama grėsmė šiuo metu tik didėja, nes jos vis dažniau yra išnaudojamos ne tik asmens duomenų vagystėms, bet ir daug sudėtingesnių įsilaužimų į vidinius organizacijos tinklus ir sistemas vykdymui. 2023 metų pirmą pusmetį NKSC fiksavo 265 tokio tipo atvejus ir tai sudarė beveik trečdalį (31 proc.) visų per pirmus šešis metų mėnesius fiksuotų kibernetinių incidentų.
VIS DAR NEPAKANKAMAI ATSPARŪS
„Siekiame didinti visuomenės atsparumą kibernetinėms grėsmėms. Šios pratybos atskleidžia, kad nemažai mūsų šalies piliečių vis dar yra neatsparūs apgaulingoms fišingo atakoms – tai veda ne tik į pavienių asmenų finansinius nuostolius, bet ir į duomenų saugumo pažeidimus, kurie gali būti itin žalingi organizacijoms bei visos šalies nacionaliniam saugumui“, – teigia krašto apsaugos viceministrė Greta Monika Tučkutė.
Lošimų priežiūros tarnyba, atsižvelgdama į aukščiau pateiktą informaciją ir itin plačiai internetinių sukčių vykdomą veiklą, bei siekdama prisidėti prie saugesnės aplinkos internete, su Jumis dalinasi svarbia informacija, kaip atpažinti fišingo atakas:
- Siuntėjo el. pašto adresas. Atidžiai išnagrinėkite siuntėjo el. pašto adresą. Apgaulinguose el. laiškuose dažnai naudojami apgaulingi el. pašto adresai, kurie imituoja tikrus el. pašto adresus, tačiau juose yra nedidelių pakeitimų arba rašybos klaidų. Pavyzdžiui, [email protected], vietoje [email protected], [email protected], vietoje [email protected], [email protected] arba [email protected] vietoje [email protected]. El. pašto adresas turėtų baigtis oficialiu organizacijos domenu.
- Įtarimą keliantys URL adresai. Užveskite pelės žymeklį ant laiške esančių nuorodų (nespausdami), kad pamatytumėte tikrąjį URL adresą. Apgaulinguose el. laiškuose gali būti naudojami apgaulingi URL adresai, kurie panašūs į teisėtus, bet veda į apgaulingas svetaines. Patikrinkite, ar domenas jums žinomas, jame nėra rašybos klaidų, papildomų skaičių, simbolių.
- Skubinanti arba grasinanti kalba. Sukčiavimo el. laiškuose dažnai sukuriamas skubos ar baimės jausmas, siekiant paskatinti imtis skubių veiksmų. Juose gali būti grasinama uždaryti paskyrą arba teigiama, kad įvyko saugumo pažeidimas. Būkite atsargūs, jei el. laiške be tinkamo paaiškinimo bandoma daryti spaudimą pateikti asmeninę informaciją arba imtis skubių veiksmų.
- Bendro pobūdžio sveikinimai. Dažnai sukčiavimo el. laiškuose naudojami bendriniai pasisveikinimai, pavyzdžiui, "Gerbiamas kliente" arba "Gerbiamas vartotojau", užuot kreipęsi į Jus vardu ir pavarde.
- Netaisyklinga rašyba ir gramatika, stilius. Sukčiavimo el. laiškuose dažnai būna pastebimų rašybos ir gramatikos klaidų, prastai suprojektuoti logotipai, grafinės detalės ir laiško stilius.
- Prašymas pateikti asmeninę informaciją. Būkite atsargūs, jei el. laiške prašoma pateikti jautrią asmeninę informaciją, pavyzdžiui, slaptažodžius, asmens kodus ar finansinę informaciją. Tikros organizacijos paprastai neprašo pateikti tokios informacijos el. paštu.
- Nelaukti prisegti dokumentai. Sukčiavimo el. laiškuose gali būti priedų, pateikiamų kaip svarbūs dokumentai (pvz. sąskaitos-faktūros). Atsargiai elkitės su priedais iš nežinomų ar įtartinų šaltinių, nes juose gali būti kenkėjiško kodo.
- Neįprastas el. laiško turinys. Būkite atsargūs dėl el. laiškų, kurie atrodo nereikšmingi arba nesusiję su įprastu bendravimu su organizacija. Apgaulinguose el. laiškuose gali būti keistų prašymų, neįprastų pasiūlymų arba nesusijusio turinio.
Atminkite, kad aukščiau išvardinti bruožai nebūtinai bus pastebimi visose fišingo atakose, nes geriau parengtos sukčiavimo atakos gali atrodyti itin įtikinamai. Jei nesate tikri dėl el. laiško autentiškumo, geriausia susisiekti su organizacija tiesiogiai per jos oficialią interneto svetainę arba klientų aptarnavimo kanalus ir patikrinti pranešimą.