Kibernetinės grėsmės – vis pažangesnės ir sudėtingesnės: kam turime ruoštis

Sukčiavimas internete yra sparčiausiai auganti organizuoto nusikalstamumo sritis Europoje. Tarp dažniausiai Europolo ataskaitoje minimų nusikalstamų schemų įvardijamos: sukčiavimas, susijęs su kriptovaliuta ir kitomis investicijomis, verslo elektroninio pašto paskyrų užgrobimas, romantiniai ar su klientų aptarnavimu susiję sukčiavimai, kai nusikaltėliai apsimeta pagalbos darbuotojais, „fišingas“ (duomenų išviliojimas per nuorodas) ir „smišingas“ (duomenų išviliojimas SMS žinutėmis).

Taip pat išskiriamas sukčiavimas mokėjimo sistemose: tai apima neteisėtą kredito ar debeto kortelės panaudojimą, siekiant įsigyti prekes ir paslaugas internetu ar telefonu. Ataskaitoje taip pat pažymima, kad pavogta vartotojų informacija dažnai perparduodama ir pakartotinai panaudojama, dėl ko jau kartą nukentėję gyventojai vėl tampa išpuolių taikiniu.

Įžvelgiama pavojinga tendencija, jog pats sukčiavimas tampa vis labiau industrializuotas. Nusikalstamos grupuotės veikia per specializuotus tinklus, apimančius skambučių centrus, mokėjimo tarpininkus, techninių paslaugų teikėjus, suklastotas reklamas, „fišingo“ rinkinius ir vadinamąsias SIM fermas. Toks „darbo“ pasidalijimas reiškia didesnę nusikalstamos veiklos fragmentaciją ir žemesnius patekimo barjerus pradedantiesiems finansiniams sukčiams.

Žygeda Augonė

Dirbtinis intelektas kol kas yra svarbesnis kaip įgalintojas, o ne kaip autonomiškas nusikalstamas vienetas. Generatyvinis DI jau dabar naudojamas kurti įtikinamus pranešimus, scenarijus, suklastotas tapatybes, kenkėjišką kodą ar daugiakalbį turinį. Europolas įspėja, kad nusikalstami tinklai vis dažniau naudoja balso pokalbių botus ir generatyvinį DI, klastodami realių žmonių balsus: taip siekiama automatizuoti telefoninį sukčiavimą („višingą“) ir padidinti jo mastą. Organizacijos ataskaitoje prognozuojama ateityje pamatyti ir labiau autonomiškas, „agentines“ dirbtinio intelekto nusikalstamas sistemas.

Vis dėlto keičiantis technologijoms, žmogaus elgsena toliau išlieka itin pažeidžiama sritis. Bankams, finansinių ir kitų paslaugų teikėjams stiprinant dviejų veiksnių ir biometrinį autentifikavimą, nusikaltėliai pasitelkia socialinę inžineriją, minėtus „fišingą“, „smišingą“ ir manipuliacijas realiuoju laiku, siekdami įtikinti aukas pačias patvirtinti finansines operacijas.

Situacija Lietuvoje – beveik kaip ir likusioje Europoje

Oficialūs šaltiniai rodo, kad kelios europinės tendencijos jau aiškiai įsitvirtinusios ir mūsų šalyje.

Remiantis Nacionalinio kibernetinio saugumo centro duomenimis, teigiama, jog socialinė inžinerija yra viena iš pagrindinių kibernetinių grėsmių Lietuvoje. Pernai užregistruoti 2888 kibernetiniai incidentai – 25 proc. mažiau nei 2024 m. Nusikalstamų veikų elektroninėje erdvėje mažėjo 28 proc., jų ištyrimas išaugo 10,5 proc. Tai – teigiami ženklai. Tačiau registruoti skaičiai neatspindi viso vaizdo.

Sukčių skambučių intensyvumas auga įspūdingu mastu. Lietuvos ryšių reguliavimo tarnyba 2025 m. gruodžio mėn. pranešė, kad iki 70 proc. tarptautinių skambučių gali turėti sukčiavimo požymių. Įvedus naujas operatoriaus lygio kontrolės priemones, vienas mobiliojo ryšio tinklas per savaitę blokuodavo maždaug 500 tūkst. įtartinų skambučių iš užsienio.

Kaip rodo naujausia Pinigų plovimo prevencijos kompetencijų centro analizė, pirmąjį šių metų pusmetį sukčiavimo mastai išliko dideli, o nusikaltėliai nuolat randa būdų pasiekti savo aukas. Antrąjį ketvirtį užregistruoti 3718 sukčiavimo atvejų – 14 proc. daugiau nei pirmąjį šių metų ketvirtį.

Didžiausią registruotų sukčiavimo atvejų dalį ir toliau sudaro „fišingo“ atvejai. Antrąjį ketvirtį užfiksuota 1514 atvejų – apie 41 proc. visų registruotų sukčiavimų. Palyginti su pirmuoju ketvirčiu, „fišingo“ atvejų padaugėjo maždaug dešimtadaliu.

Nors pagal registruotų atvejų skaičių – 70 – telefoninis sukčiavimas sudaro nedidelę dalį visų incidentų, jis išlieka viena pavojingiausių sukčiavimo formų. Sukčiai vis dažniau pasitelkia sudėtingus socialinės inžinerijos scenarijus, taip įtikindami aukas pačioms patvirtinti mokėjimus, atskleisti prisijungimo duomenis ar pervesti lėšas į tariamai saugias sąskaitas.

Skambinančiojo numerio klastojimas (angl. Spoofing) yra ypač aktualus pavojus Lietuvoje. Nusikaltėliai dažnai užmaskuoja skambučius iš užsienio ar internetu kaip skambučius iš privačių asmenų, verslo organizacijų, policijos ar kitų institucijų. Tačiau atmetus tokius skambučius ir nusprendus perskambinti į skambinusiojo numerį, būsite sujungti su visai kitais abonentais. Tai atspindi Europolo įspėjimus apie paslėptą ir greitai plečiamą sukčiavimo infrastruktūrą.

Tuo metu verslui didžiausią riziką ir toliau kelia susirašinėjimo elektroniniu paštu perėmimo bei netikro įmonės vadovo sukčiavimo schemos. Nors jų registruojama nedaug, vieno incidento metu išviliojamos sumos gali siekti dešimtis ar net šimtus tūkstančių eurų. Pavyzdžiui, antrąjį šių metų ketvirtį tik apie 5 proc. registruotų sukčiavimo atvejų teko įmonėms, tačiau jų patirti nuostoliai viršijo 3 mln. eurų ir sudarė apie trečdalį visų nuostolių.

Kritinė infrastruktūra ir tiekimo grandinės tebėra jautrūs pažeidimams. Lietuvos kibernetinio saugumo vertinime įspėjama, kad silpna paslaugų teikėjų apsauga gali sudaryti galimybes įsiskverbti į nacionaliniu mastu svarbias organizacijas. Tai taip pat atitinka Europolo vertinimą, jog nusikaltėliai nukreipia savo veiksmus į skaitmenines tiekimo grandines ir viešųjų paslaugų teikėjus.

Vis dėlto Lietuva sustiprino savo reguliavimo ir gynybos segmentus. Dar 2024-aisiais NIS2 direktyva buvo perkelta į nacionalinę teisę. Be to, Lietuva ne tik sugriežtino verslui tenkančias saugumo užtikrinimo prievoles, bet ir sustiprino savo pačios teikiamą pagalbą. Šios priemonės turėtų pagerinti mūsų šalies atsparumą, nors jos ir nepašalina rizikų, kurias kelia socialinė inžinerija, trečiųjų šalių tiekėjai ir tarptautiniai nusikaltėliai.

Kaip turi ruoštis organizacijos ir gyventojai?

O ką galime padaryti mes? Kovojant su sukčiavimu, dėmesys turėtų būti skiriamas ne tik kenkėjiškai programinei įrangai, bet ir tapatybės patvirtinimo procedūroms, mokėjimų patvirtinimams bei gebėjimo atsispirti skubiems ar emociškai manipuliuojantiems prašymams ugdymui.

Turėtume nusiteikti, kad įtikinamai skambantys ir lietuvių kalba parašyti sukčių laiškai, taip pat balso klonavimas pasitelkiant DI ir tapatybės pasisavinimas taps lengviau įgyvendinami. Tai reiškia, jog tokių sukčiavimo apraiškų ateityje gali tik daugėti.

Kaip rodo naujausia sukčiavimo mastų Lietuvoje analizė, verslai, nors ir rečiau susiduria su sukčiais, iš jų išviliojamos sumos – itin reikšmingos. Didžiausią riziką ir toliau kelia susirašinėjimo elektroniniu paštu perėmimo, netikro įmonės vadovo bei kitos sukčiavimo schemos. Vis dėlto tokių rizikų išvengti – įmanoma: tai padaryti galima pasitelkus technologinius sprendimus ir discipliną. Todėl kritinis mąstymas, išsamesnis informacijos tikrinimas ir aukštesnių saugumo protokolų diegimas yra prioritetiškai svarbūs.

Vadovaujančio asmens autentifikavimas turėtų būti derinamas su sandorių limitais, nepriklausomais patvirtinimo kanalais ir kontrolės priemonėmis, kurių negalima apeiti vien tik žmogaus spaudimu atlikti veiksmus.

Debesijos, hostingo, kitų paslaugų teikėjai ir išorės IT partneriai turėtų būti traktuojami kaip organizacijos dalis, galinti susidurti su pažeidimais. Kitaip tariant, net ir nebūdami tiesiogiai jūsų verslo dalimi, jūsų partneriai gali susidurti lygiai su tomis pačiomis grėsmėmis, kurios gali paveikti abi šalis.

Reagavimo į kritinius ir kitus incidentus planai turėtų apimti ne tik sistemos šifravimą, bet ir duomenų vagystę bei viešąjį šantažą. Žinoma, pirmiausia vertėtų pasirengti tokius planus ir nuolat juos testuoti.

Kaip rodo Lietuvos ir Europos teisėsaugos institucijų duomenys, paslaugas trikdančių DDoS atakų kiekis pastebimai išauga vykstant svarbiems geopolitiniams įvykiams: rinkimams, pranešimams apie karinę paramą ar svarbių tarptautinių susitikimų metu. Todėl visi būtinųjų paslaugų teikėjai turėtų būti tam pasirengę.

Galiausiai, vertėtų nepamiršti ir asmeninio atsargumo. Kad ir kokios sudėtingos apsaugos sistemos būtų įdiegtos, kad ir kokie išmanūs rizikų valdymo sprendimai būtų sukurti, viskas prasideda nuo žmogaus ir jo asmeninio atsparumo kibernetinėms grėsmėms.