Sekite 15min Google
Advokatų profesinės bendrijos „Tegos“ partneris, advokatas, Technologijų industrijos grupės vadovas Mindaugas Civilka sako, kad didžiausia klaida yra manyti, jog kibernetiniai incidentai pirmiausia susiję su technologijomis.
„Socialinė inžinerija išlieka pagrindiniu atakų vektoriumi. Technologijos keičiasi, tačiau galutinis tikslas dažniausiai išlieka tas pats – paveikti žmogų ir paskatinti jį pačiam atlikti veiksmą, kurio jis įprastai nedarytų“, – sako teisininkas.
Jis priduria, kad dalis šiandien naudojamų metodų dar prieš keletą metų skambėjo kaip mokslinė fantastika, o dabar jau tapo kasdienybe.
Vadovas, kurio iš tiesų nėra
Viena sparčiausiai augančių grėsmių, anot M.Civilkos, yra balso klonavimo atakos.
„Sukčiams gali pakakti vos kelių sekundžių žmogaus balso įrašo, kurį nesunku rasti socialiniuose tinkluose, konferencijų įrašuose, tinklalaidėse ar kitame viešai prieinamame turinyje. Pasitelkus DI sukuriamas balsas, kuris skamba beveik identiškai originalui“, – teigia M.Civilka.
Turėdami tokį įrankį, sukčiai gali paskambinti darbuotojui per „Teams“, „WhatsApp“ ar kitą platformą ir paprašyti skubiai atlikti pervedimą, perduoti konfidencialią informaciją ar suteikti prieigą prie sistemų.
Dar sudėtingesnis formatas – vadinamosios sintetinės sankaitos (angl. deepfake). Tokiu atveju darbuotojas prisijungia prie vaizdo susitikimo ir ekrane mato tariamą įmonės vadovą ar finansų direktorių, nors iš tikrųjų tai yra DI sugeneruotas vaizdas. Tokios schemos jau kainavo milijonus įvairioms pasaulio bendrovėms.
„Jeigu darbuotojas mato vadovą vaizdo skambutyje ir girdi jo balsą, natūrali reakcija yra pasitikėti. Tačiau šiandien net ir vaizdo skambutis nebėra absoliutus tapatybės įrodymas. Organizacijos turi susitarti dėl papildomų patvirtinimo procedūrų jautriems veiksmams, ypač kai kalbama apie finansus ar prieigas prie sistemų“, – sako M.Civilka.
QR kodai ir CAPTCHA – vis dar kelia daug pasitikėjimo
Daugelis žmonių jau išmoko atsargiau vertinti el. laiškuose esančias nuorodas, tačiau QR kodai vis dar kelia gerokai didesnį pasitikėjimą. Žmogui QR kodas asocijuojasi su tikru, autentišku ir originaliu dalyku, tikra nuoroda.
Pasak M.Civilkos, būtent todėl vadinamasis QR kodų „qišingas“ šiandien itin sparčiai populiarėja. Sukčiai naudoja netikrus QR kodus automobilių stovėjimo aikštelėse, prekybos centruose, restoranuose, ant informacinių stendų, reklamų ar net siunčia juos elektroniniu paštu. Nuskenavęs tokį kodą žmogus nukreipiamas į netikrą mokėjimo ar prisijungimo puslapį.
Situaciją dar labiau apsunkina tai, kad sukčiai kartu pradeda naudoti papildomas pasitikėjimą kuriančias priemones.
„Vienas naujesnių metodų – į netikras svetaines įdėti CAPTCHA patikras. Žmogui tai atrodo kaip papildomas saugumo ženklas. Jis galvoja: jeigu yra CAPTCHA, vadinasi, svetainė patikima. Tačiau realybėje tai gali būti tiesiog dar vienas būdas sukurti klaidingą saugumo jausmą, ir be to, apriboti arba bent jau atgrasyti kibernetinio saugumo bendroves, kurios taiko automatines svetainių saugumo ir tikrumo filtravimo ir patikrinimo programas“, – aiškina M.Civilka.
Kai kuriais atvejais CAPTCHA naudojama ne tik pasitikėjimui sukurti, bet ir tam, kad sukčiavimo svetainių būtų sunkiau aptikti automatinėms saugumo tikrinimo sistemoms.
Kai apsauga pradeda veikti prieš mus pačius
Kelių veiksnių autentifikacija (MFA) ilgą laiką buvo laikoma viena efektyviausių apsaugos priemonių nuo įsilaužimų. Tačiau nusikaltėliai jau rado būdų, kaip išnaudoti ir ją.
Vadinamųjų MFA nuovargio (angl. MFA Fatigue) atakų metu nusikaltėliai jau būna sužinoję vartotojo slaptažodį. Tuomet jie pradeda siųsti daugybę prisijungimo patvirtinimo užklausų į telefoną ar autentifikavimo programėlę.
Iš pradžių žmogus jas atmeta. Tačiau užklausoms kartojantis dešimtis kartų, dalis vartotojų galiausiai paspaudžia „patvirtinti“ vien tam, kad nuolatiniai pranešimai liautųsi, kadangi neretas pamano, jog sistema galimai užstrigo, susidarė ankstesnių užklausų eilė ar užsiblokavo dėl kitų panašių priežasčių.
„Žmogų galima tiesiog nuvarginti. Jis gauna vieną užklausą, antrą, penktą, dešimtą. Tam tikru momentu atsiranda noras tiesiog sustabdyti visą tą triukšmą. Būtent tuo ir naudojasi sukčiai. Skaičiuojama, kad vidutiniškai patvirtinimas įvyksta maždaug 19-ąjį kartą“, – sako M.Civilka.
Jo teigimu, kai kuriose schemose nusikaltėliai papildomai paskambina darbuotojui ir apsimeta IT specialistais. Pokalbio metu jie informuoja apie tariamą techninę problemą ir paprašo patvirtinti ką tik atsiųstą prisijungimo užklausą, nes sistema užstrigo ir pan. Taip žmogus pats suteikia prieigą prie savo paskyros.
Technologijos naujos, bet žmogaus psichologija nesikeičia
Nors sukčių naudojami įrankiai tampa vis sudėtingesni, jų veikimo principas iš esmės nesikeičia.
Pasak M.Civilkos, dauguma socialinės inžinerijos atakų remiasi trimis pagrindiniais psichologinio spaudimo elementais – skuba, autoritetu ir baime.
Vienais atvejais žmogui įdiegiama, jog veikti reikia čia ir dabar, nedelsiant, nes priešingu atveju kils didelė ir neatsitaisoma žala. Kitais sukuriamas autoriteto įspūdis, pavyzdžiui, apsimetama vadovu ar IT specialistu ir sukuriamas spaudimas kuo greičiau paklūsti nurodymui jo nekvestionuojant, nes priešingu atveju kils didelė ir neatsitaisoma žala. Trečias dažnai naudojamas elementas – baimė dėl finansinių, reputacinių ar kitų neigiamų pasekmių.
„Kai sustojame, įkvepiame oro, suskaičiuojame iki dešimties ir palengva persijungiame į racionalų vertinimą – sukčiai pralaimi. Socialinė inžinerija pavyksta tada, kai žmogus veikia prigimtinėmis injunkcijomis ir greitosiomis, dar kitaip – emocinėmis smegenimis. Įsilaužėliams reikia labai mažai laiko, kad paspaustų vieną iš šių mygtukų ir paskatintų priimti skubotą sprendimą“, – sako M.Civilka.
Todėl, anot jo, svarbiausia organizacijų gynybos linija šiandien yra ne tik technologiniai sprendimai, bet ir darbuotojų gebėjimas sustoti, patikrinti informaciją bei nepriimti svarbių sprendimų vien todėl, kad kažkas ragina veikti čia ir dabar.
