- Saugumas ir privatumas
Ekspertai įspėja jokiu būdu nespausti laiške esančių nuorodų ir neleisti el. pašto dėžutei atvaizduoti laiško paveikslėlių, o tai netyčia padarius – imtis preventyvių saugumo veiksmų.
„Duomenų viliojimo (angl. phising) atakos nėra naujas reiškinys – turbūt visi ne kartą esame gavę laišką apie neva laimėtą prizą ar būtinybę pasikeisti nulaužtą slaptažodį. Tad visiškai natūralu, jog didėjant mūsų atsparumui sukčiai ieško naujų kelių mus apgauti. Naujos kartos atakos yra kur kas labiau personalizuotos, naudojant ne tik vardą ir pavardę, bet ir asmens kodą. Nors patekus į šiuos spąstus didelės žalos galimai iš karto nepatirsime, blogiausia, jog tai gali tapti vartais į kur kas pavojingesnes atakas.“
Apsimeta VMI
Pasak D. Povilaičio, naujojo tipo „fišingo“ laiškuose kibernetiniai aferistai prisidengia kiekvienam Lietuvos gyventojui aktualią informaciją gyventojams siunčiančia VMI ir praneša apie neva atsiradusią galimybę susigrąžinti dalį sumokėtų mokesčių. Tačiau kadangi šios institucijos imitavimas yra ganėtinai įprasta taktika tarp tokio tipo atakų organizatorių, laiško autentiškumo įspūdį bandoma papildomai sustiprinti viešojoje erdvėje neskelbiamais asmeniniais duomenimis.
„Laiške išvydęs savo pavardę ir teisingą asmens kodą, žmogus gali net neįtarti sukčiavimo. Juk tokios informacijos nerasi nei „Google“ paieškoje, nei socialiniuose tinkluose. Deja, tiesa ta, kad tokią privačią informaciją sukčiai gauna įsilaužę į įvairias svetaines arba „nulaužtų“ paskyrų duomenis įsigiję „juodajame tinkle“ (angl. darknet). Panašu, jog privati niekuo dėtų lietuvių informacija naujosios atakos autorių rankose atsidūrė būtent pastaruoju būdu – gavus prieigą prie nutekintos vartotojų duomenų bazės“, – teigia ekspertas.
Tokie duomenų ištekliai sukčiams atriša rankas kurti daugybę atakų scenarijų. Iš pradžių imitavę VMI, po kurio laiko jie gali sugalvoti apsimesti policija ir prašyti sumokėti baudas arba vaidinti prokurorus, reikalaujant peržiūrėti informaciją apie išgalvotą bylą.
Tikslas – surinkti dar daugiau duomenų apie jus
Nekaltai atrodančiame elektroniniame laiške sukčiai patalpina nuorodą į VMI logotipo paveikslėlį, kurį dauguma elektroninio pašto dėžučių atvaizduoja pagal nutylėjimą. Savaime toks veiksmas nėra neteisėtas, nes įvairios įmonės darbuotojų elektroninių laiškų parašuose tokiu būdu taip pat rodo savo grafinius simbolius, o prekybininkai – įvairias reklamas. Tačiau sukčiams tik to ir pakanka.
„Kadangi VMI paveikslėlis ne prisegtas priede, užkrovusi paveikslėlį iš išorinio serverio, vartotojo pašto dėžutė aferistams perduoda įvairios naudingos informacijos. Atakos organizatoriai tokiu būdu sužino aukos gyvenamą šalį, jos ryšio tiekėją, kad apskritai laiškas buvo atvertas ir kad konkretus žmogus yra labiau pažeidžiamas tokio tipo sukčiavimo schemų. Greta vardo, pavardės ir asmens kodo potencialios aukos „bylą“ papildžius šiais duomenimis, galima rengti dar rafinuotesnes atakas, turinčias dar daugiau potencialo „užliūliuoti“ budrumą.“
Pasitaiko atvejų, kai iš aukos pasipelnyti bandoma ir labiau įprastu būdu. Kartu su minėtu paveikslėliu, laiške dažnai prisegamos nuorodos arba QR kodai, vedantys į VMI sistemas imituojančius puslapius. Vartotojas raginamas juos atverti ir identifikuotis su savo elektroninės bankininkystės prisijungimais, kurie iš karto patenka į nusikaltėlių rankas.
Kaip neužkibti?
Patikrinkite siuntėjo el. pašto adresą
Gavus įtartiną laišką, pirmiausia, reikėtų patikrinti siuntėjo elektroninio pašto adresą. Jei prisistatoma VMI, o siuntėjo el. pašto galūnė yra @cousleyandcompany, @mosapah.sbs ar bet kokia kita, bet ne oficialaus įstaigos domeno – @vmi.lt, laišku pasitikėti nereikėtų. Pastebėję įtartiną adresą:
neatidarykite laiško priedų;
nespauskite jokių nuorodų;
neveskite savo asmens ar prisijungimo duomenų.
Įvertinkite laiško turinį
Sukčių laiškuose dažnai pasitaiko:
gramatikos, stiliaus ar vertimo klaidų;
nenatūraliai skambančių sakinių, lyg išverstų iš kitos kalbos;
skubinančių ar bauginančių pranešimų.
Taip pat svarbu žinoti, kad valstybinės institucijos paprastai neprašo jautrios informacijos, nesiunčia asmens kodų, tikslios mokesčių permokų/skolų sumos el. paštu ar raginimų prisijungti per laiške pateiktas nuorodas. Kilus abejonių, informaciją visada tikrinkite oficialioje institucijos svetainėje.
Sustiprinkite el. pašto paskyros saugumą
Papildomai apsaugai rekomenduojama:
įjungti dviejų žingsnių autentifikavimo funkciją;
išjungti automatinį išorinių paveikslėlių atvaizdavimą ir pasirinkti nustatymą „Ask before displaying external images“, kuris kiekvieną kartą prašo leidimo juos rodyti;
registruojantis skirtingose svetainėse galima naudoti papildomą žymėjimą el. pašto adrese su ženklu „+“ ir tos svetainės pavadinimu prieš simbolį „@“. Pavyzdžiui: [email protected]. Tai padeda lengviau atsekti duomenis nutekinusį šaltinį.
