Kibernetiniai sukčiai virtualioje erdvėje atlieka vis įmantresnes atakas, viena populiariausių ir plačiausiai naudojamų – „fišingas“ (angl. „phishing“).
Kibernetinio saugumo grėsmių aptikimo rinkos lyderės „Cisco Umbrella“ ataskaitos duomenimis, praėjusiais metais apie 90 proc. duomenų saugumo pažeidimų įvyko dėl „fišingo“.
Siekiant apsaugoti savo duomenis, svarbu žinoti, kaip šios atakos veikia bei kokie veiksmai padės jų išvengti. Siūlome „Tele2“ IT saugumo eksperto Manto Užupio patarimų.
Įgyja prieigą prie vartotojo kompiuterio
„Fišingas“ vykdomas klastojant SMS, elektroninius laiškus, reklamas, interneto svetaines ar net socialinių tinklų asmenines žinutes. Paspaudus ant nuorodų ar atlikus kitus prašomus veiksmus, kibernetiniai sukčiai iš vartotojų gali išvilioti pinigus, asmeninius duomenis ar prisijungimus“, – teigia M. Užupis.
Šios kibernetinės apgaulės metu sukčiai apsimeta žinomų ir teisėtai veikiančių organizacijų atstovais bei pasinaudoję aktualiomis temomis (priminimas apie paskyros atnaujinimą, prašymas užpildyti klausimyną ar parsisiųsti informaciją) siekia išvilioti asmeninius vartotojų duomenis.
Pagrindinės „fišingo“ taisyklės – svari priežastis (kodėl vartotojui svarbu pateikti duomenis ar spustelėti nuorodą) ir įtikinama aplinka veiksmams atlikti (oficiali laiško forma ar profesionaliai suklastota svetainė).
Vartotojas, paspaudęs nuorodą, yra nuvedamas į identišką ar labai panašų į originalų puslapį, kuriame prašoma įvesti prisijungimo duomenis ar asmeninę informaciją. Taip jie patenka tiesiai į nusikaltėlių rankas ir gali būti naudojami neteisėtoje veikloje – žmogus gali būti apvogtas, jo duomenys panaudoti įvairiose aferose ar naudojami šantažo tikslais.
Laiškas ar žinutė be teksto ir nuorodų gali turėti priedus su kenkėjiška programine įranga, kurią atidarius įsilaužėliai gauna prieigą prie vartotojo kompiuterio ir pasisavina duomenis iš sistemos.
Dažniausi „fišingo“ apgaulės būdai
Kibernetiniai nusikaltėliai šioms atakoms naudoja 3 pagrindinius mechanizmus: kenkėjiškas interneto nuorodas, priedus ir apgaulingas duomenų įvedimo formas. Nors didžioji dalis „fišingo“ atakų vykdoma el. laiškais, nemažai jų naudojama ir internetinėse reklamose ar netikruose puslapiuose.
Kenkėjiškos naršyklės nuorodos nukreipia vartotojus į netikras svetaines arba puslapius, kuriuose įrašyta kenkėjiška programinė įranga. Šios nuorodos gali būti užmaskuojamos: niekuo nesiskiria nuo patikimos nuorodos, yra įterptos į logotipus ar kitus paveikslėlius.
Kenkėjiški priedai yra „užkrėsti“ kenkėjiškomis programomis, kurios gali pakenkti kompiuteriams ir juose esantiems failams. Parsisiuntus nepatikimus failus, šios kibernetinės „infekcijos“ gali plisti iš vieno kompiuterio į kitus tinklo įrenginius, pavyzdžiui, išorinius kietuosius diskus, serverius ir net debesijos sistemas.
Apgaulingos duomenų įvedimo formos prašo įvesti asmeninę informaciją, kaip prisijungimai, slaptažodžiai, adresas ar telefono numeris. Vartotojams pateikus šiuos duomenis, kibernetiniai nusikaltėliai juos gali panaudoti nelegaliems veiksmams atlikti.
Dar viena paplitusi kibernetinė ataka – sukčiavimas naudojant paieškos sistemas (angl. „search engine phishing“). Jos metu sukuriamos apgaulingos svetainės, skirtos išvilioti asmeninei informacijai ir atlikti tiesioginiams mokėjimams. Šiuose netikruose puslapiuose siūlomi pigūs produktai ir išskirtiniai pasiūlymai, siekiantys suvilioti vartotojus. Svetainės gali būti pateikiamos paieškos rezultatuose arba „iššokti“ kaip mokamos reklamos pagal populiarius paieškos terminus. Vartotojai raginami susikurti paskyrą arba įvesti savo banko sąskaitos informaciją, kad galėtų užbaigti pirkimą, o sukčiai lengvai pasisavina šiuos duomenis.
Kaip neužkibti ant sukčių kabliuko?
Kibernetiniai nusikaltėliai gali parengti įtikinamus apgaulingus pranešimus, priedus ar net svetaines, kurias vartotojui itin sudėtinga atpažinti. Tačiau keletas svarbių taisyklių padės apsaugoti savo duomenis ir nepapulti sukčiams į rankas.
Kritiškai vertinkite tai, kam pateikiate savo asmeninius duomenis. Bankai ir kitos teisėtai veikiančios organizacijos ar institucijos neprašo prisijungimo duomenų bei asmeninės informacijos el. laiškais, telefonu ar socialiniais tinklais. Labai atsargiai vertinkite visus laiškus, kuriuose prašoma pateikti bet kokią asmeninę konfidencialią informaciją, o kilus įtarimui, susiekite su įmone ar organizacija oficialiu kontaktiniu numeriu ir pasiteiraukite, kam bus naudojami jūsų duomenys.
Patikrinkite svetainės adresą, siuntėjo paštą ir nuorodas. Svarbu atidžiai patikrinti svetainės adresą – verta atkreipti dėmesį į tai, kad tinklalapio adresas kartais būna beveik identiškas tikrajam tos organizacijos svetainės adresui (gali skirtis viena raidė ar simbolis). Suklastotą svetainę išduoda ir tai, jog ji neturi saugaus https ryšio ir spynos piktogramos prie domeno. Elektroniniame pašte svarbu peržiūrėti laiško siuntėjo adresą, nes banko ir kitų oficialių įstaigų darbuotojai rašo tik iš oficialaus el. pašto, o ne iš „Gmail“, „Yahoo“ ar kitų platformų. Jeigu pranešime yra nuoroda, nereikėtų skubėti jos atidaryti – užveskite pelę ir patikrinkite, ar išsiskleidusi svetainė sutampa su pateikta nuorodoje.
Neatidarykite įtartinų laiškų ir svetainių. Eilinė „fišingo“ ataka gali būti lengvai pastebėta iš gramatinių klaidų, nerišlių sakinių ir paslėptų nuorodų, tačiau tikslines bei rimtesnes atakas atpažinti daug sudėtingiau. Reikėtų kelis kartus peržiūrėti laišką, nuorodą ar svetainę ir patikrinti ne tik adresą, bet ir bendrą svetainės ar laiško vaizdą (kontaktus, turinį ir nuotraukas). Jeigu pastebite įtartinus laiško, pranešimo ar svetainės požymius, jos neatidarykite, neatrašykite į laišką ir, svarbiausia, nepateikite asmeninių duomenų. Labai apdairiai vertinkite bet kokią iš nepažįstamo asmens gautą užklausą ar pasiūlymą.
Parengta pagal „Tele2“ pranešimą
