Kas yra DI fišingas ir kaip jį atpažinti

Buhalterei pirmadienio rytą ateina laiškas: „Laba diena, siunčiame pataisytą kovo mėnesio sąskaitą. Prašome ją apmokėti iki dienos pabaigos, kad nereikėtų stabdyti tiekimo.“ Tonas mandagus, nė vienos rašybos klaidos, paminėtas tikras tiekėjas, net parašas – tas pats. Niekas neverčia galvoti apie sukčiavimą.

Anksčiau fišingą dažnai pavykdavo atpažinti jau iš pirmos pastraipos: laužyta lietuvių kalba, subyrėjęs formatavimas, nepažįstamas siuntėjas ir nerūpestinga išvaizda. Tas laikas baigėsi. Dirbtinis intelektas (DI) parašo sklandų lietuvišką tekstą, priderina toną prie to, kieno vardu rašoma, ir per kelias minutes pritaiko laišką konkrečiam adresatui.

DI fišingas nereiškia, kad laišką nuo pradžios iki pabaigos parašė mašina. Jis reiškia, kad dalį darbo užpuolikas patiki kalbos modeliui: parašyti tekstą, jį išversti, pritaikyti konkrečiam žmogui, sugalvoti įtikinamą priežastį, atkartoti vadovo stilių arba sudėlioti visą kampaniją.

Platesnį vaizdą, kam dar užpuolikai naudoja dirbtinį intelektą, aprašėme straipsnyje DI kaip užpuolikas.

Fišingas retai būna vienintelis būdas. Apie atakas telefonu skaitykite straipsnyje „deepfake“ sukčiavimas ir vishingas, o apie tai, iš kur užpuolikas ima įtikinamas detales, – straipsnyje OSINT ir DI.

Kaip veikia fišingas

Fišingas (liet. duomenų viliojimas, angl. phishing) remiasi vienu vieninteliu mechanizmu: užpuolikas apsimeta tuo, kuo adresatas pasitiki.

Vaidmuo gali būti bet koks – bankas, siuntų tarnyba, mobiliojo ryšio operatorius, valstybės institucija, žinomas prekės ženklas, kolega, vadovas ar klientas. Legendos pasirenkamos iš to, kas Lietuvoje ateina kasdien: pranešimas apie paštomate laukiančią siuntą, priemoka už pristatymą, neva neapmokėta bauda, įspėjimas apie užblokuotą internetinės bankininkystės paskyrą. Žinutė beveik visada spaudžia veikti greitai.

Užpuolikas paprastai siekia, kad adresatas:

• paspaustų nuorodą,
• suvestų duomenis suklastotame prisijungimo puslapyje,
• atidarytų priedą,
• perduotų mokėjimo kortelės duomenis,
• persiųstų vienkartinį kodą,
• atliktų pavedimą,
• suteiktų prieigą prie įmonės sistemos.

Didžiausia bėda ta, kad fišingo laiškas retai atrodo dramatiškai. Dažnai jis niekuo nesiskiria nuo įprasto darbinio susirašinėjimo.

Dažniausi fišingo tipai

Fišingas el. paštu

Žinomiausia atmaina. Laiškas atrodo taip, tarsi būtų atėjęs iš banko, iš kurjerių tarnybos, iš „Microsoft“ ar „Google“, iš tiekėjo arba iš kolegos. Jame yra nuoroda, priedas arba prašymas skubiai ką nors padaryti.

Pavyzdys: „Netrukus baigs galioti jūsų slaptažodis. Prisijunkite ir patvirtinkite paskyrą.“

Smishingas

Smishingas – tai fišingas SMS žinute arba pokalbių programa. Dažniausios dingstys – siunta, priemoka už pristatymą, bauda ir banko sąskaita.

Pavyzdys: „Jūsų siunta laukia sandėlyje. Kad ji būtų pristatyta, sumokėkite 1,99 €.“

Žinutė pavojingesnė už laišką, nes telefone siuntėjo adresas nematomas, nuoroda paprastai sutrumpinta, o žmogus ją atveria eidamas.

Vishingas

Vishingas, arba balso fišingas, vyksta telefonu. Skambinantysis apsimeta banko darbuotoju, sistemos administratoriumi, pareigūnu, kurjeriu ar vadovu ir tikisi, kad pokalbio metu adresatas spės padaryti tai, ko prašoma.

Būtent čia DI nuėjo toliausiai. Iš trumpo įrašo – interviu, internetinio seminaro ar susitikimo nuotoliu – galima pasidaryti įtikinamą balso kopiją, todėl telefone girdimas balsas savaime nebepatvirtina, kas skambina.

Tikslinis fišingas

Tikslinis fišingas (angl. spear phishing) – tai ne tūkstančiui adresatų išsiųstas laiškas, o konkrečiam žmogui ar konkrečiai įmonei parengta žinutė.

Užpuolikas iš anksto išsiaiškina vardą, pareigas, vykstančius projektus, kolegas, klientus ir tiekėjus. Taip parašytas laiškas telpa į adresato darbo dieną, o ne išsiskiria iš jos.

Čia praverčia OSINT: vieši profiliai, įmonės svetainė, viešųjų pirkimų skelbimai ir įrašai socialiniuose tinkluose beasmenį laišką paverčia įtikinama legenda.

Verslo el. pašto kompromitavimas (BEC)

Ši atmaina nukreipta būtent į įmones. Užpuolikas apsimeta vadovu, tiekėju ar verslo partneriu ir siekia, kad darbuotojas apmokėtų sąskaitą arba pakeistų banko sąskaitos numerį.

Techninių atakų čia dažnai apskritai nėra. Kur kas dažniau tai kruopščiai parengta manipuliacija – vieta, kurioje fišingas perauga į socialinę inžineriją. Brangiausiai įmonei paprastai atsieina būtent ši atmaina, nes pinigai išeina su teisėtu mokėjimo nurodymu, kurį pasirašė tikras darbuotojas.

Ką fišinge pakeitė DI

DI pagerino fišingą kaip tik tose vietose, kuriose anksčiau jis užkliūdavo.

Taisyklinga kalba

Sukčiavimo laiškui nebereikia kalbėti mašininio vertimo kalba. Lietuvių kalboje tai reiškia daugiau nei didžiosiose kalbose: laužytas vertimas, sumaišytos galūnės ir dingusios nosinės ilgai buvo geriausias filtras, ir daug kas išmoko atpažinti sukčių būtent iš kalbos. Šiandien modelis parašo sklandų tekstą su taisyklingu linksniavimu, ir to filtro nebėra.

Daugiau asmeninių detalių

Užpuolikas surenka viešai prieinamą informaciją apie įmonę ir jos žmones, o modelis iš jos sudėlioja konkretų kontekstą.

Pavyzdžiui: „Sveika, Aiste! Siunčiu patikslintus dokumentus kitos savaitės pirkimui.“ Toks laiškas kur kas pavojingesnis už masinį brukalą.

Greičiau parengiama kampanija

Šimtui pritaikytų laiškų anksčiau prireikdavo kelių dienų. Dabar tai kelių minučių klausimas, be to, kampaniją galima perrašyti kiekvienam padaliniui atskirai: buhalterijai, personalo skyriui, pardavimams ir IT komandai.

Atkartotas stilius

Jei užpuolikui prieinami vadovo vieši tekstai – pranešimas spaudai, interviu, straipsnis ar kalba konferencijoje, – modelis bando atkartoti jo stilių. Laiškas tada skamba būtent taip, kaip įprastai rašo viršininkas, ir kaip tik tai užgesina abejonę.

Kontrolinis sąrašas: kaip atpažinti fišingą

Gavus įtartiną žinutę svarbu viena: neskubėti. IT žinių nereikia, užtenka kelių klausimų.

1. Ar žinutė spaudžia veikti greitai?

Fišingas dirbtinai sukuria laiko trūkumą: „nedelsiant“, „per 24 valandas“, „paskutinis priminimas“, „skubu“, „paskyra bus užblokuota“. Kuo stipresnis spaudimas, tuo didesnė priežastis sustoti. Skuba pati savaime – atakos dalis.

2. Ar prašoma slaptažodžio, kodo ar pinigų?

Slaptažodžio ir vienkartinio kodo neprašo nė vienas paslaugų teikėjas – nei el. paštu, nei SMS žinute, nei pokalbių programa. Tas pats galioja Smart-ID ir mobiliajam parašui: nepatvirtinkite užklausos, kurios nepradėjote patys, ir visada palyginkite programėlėje matomą kontrolinį kodą su tuo, kurį rodo prisijungimo langas.

3. Ar siuntėjo adresas tikras?

Žiūrėti verta ne tik į matomą vardą, bet ir į patį el. pašto adresą. Užpuolikas siuntėjo vardu įrašo pažįstamą prekės ženklą, o domenas už jo būna visai kitas. Išduoda smulkmenos: sukeistos raidžių vietos, nereikalingas brūkšnelis, neįprasta galūnė arba vietoj .lt koks nors kitas plėtinys.

4. Ar nuoroda veda ten, kur žada?

Nespauskite refleksiškai. Kompiuteryje užveskite pelės žymeklį ant nuorodos ir pasitikrinkite tikrąjį adresą. Telefone tai sunkiau, todėl ten dar labiau apsimoka oficialią svetainę atsidaryti pačiam.

5. Ar priedo buvo laukiama?

Netikėto priedo neatidarykite, ypač sąskaitos, sutarties, archyvo ar failo, kuris prašo leisti makrokomandas arba prisijungti iš naujo.

6. Ar prašymas turi prasmę?

Ar toks prašymas telpa į įprastą darbo dieną? Ar partneris apskritai to prašo, dar ir būtent šiuo kanalu? Jei bent į vieną klausimą atsakymas – „ne“, prašymas tikrinamas, o ne vykdomas.

7. Ar prašymą galima patikrinti kitu kanalu?

Pinigai, banko sąskaitos numerio keitimas, nauja prieiga ir jautrūs duomenys reikalauja antro kanalo: skambučio jau žinomu numeriu, vidinio įmonės susirašinėjimo arba klausimo gyvai. Užpuolikas nesugeba suvaldyti būtent to, kad adresatas išeina iš jo pasirinkto kanalo.

Ką daryti paspaudus fišingo nuorodą

Paspausti gali kiekvienas. Svarbu nepasiduoti panikai ir veikti greitai.

Jei puslapis tik atsivėrė ir nieko nesuvedėte, uždarykite jį ir apie laišką praneškite IT skyriui arba administratoriui. Jei suvedėte slaptažodį, pakeiskite jį iškart – ir pakeiskite visur, kur naudojamas tas pats. Jei suvedėte mokėjimo kortelės duomenis, skambinkite bankui. Jei kalba eina apie įmonės paskyrą, pasakykite įmonėje tą pačią dieną, o ne kitą savaitę.

Blogiausias sprendimas – tylėjimas. Užpuolikai kaip tik ir tikisi, kad iš gėdos niekas apie tai nepraneš. Greitas pranešimas gelbsti paskyrą, pinigus ir įmonės duomenis.

Kibernetinio saugumo subjektui sėkmingas fišingas gali reikšti kibernetinį incidentą, apie kurį teisės aktų nustatyta tvarka pranešama Nacionaliniam kibernetinio saugumo centrui. Tada praverčia tai, kad pranešimo kelias įmonėje užrašytas iš anksto, o ne ieškomas incidento metu.

Kas padeda ilgainiui

Privačiam žmogui sąrašas trumpas: įjunkite daugiaveiksnę autentifikaciją (MFA), laikykite įrenginius atnaujintus, nenaudokite vieno slaptažodžio keliose vietose – tam yra slaptažodžių tvarkyklė. Atsargiai elkitės viešuosiuose belaidžiuose tinkluose ir tikrinkite įtartinus prašymus. Daugiaveiksnė autentifikacija sąraše pirma todėl, kad pavogtas slaptažodis pats savaime tampa nenaudingas.

Įmonėje veikia tai, ką galima pakartoti:

• reguliarūs ir praktiški kibernetinio saugumo mokymai, o ne kartą per metus formaliai perspaudžiamos skaidrės;
• paprastas kelias pranešti apie įtartiną laišką: mygtukas pašto programoje arba adresas, kurį visi moka atmintinai;
• suderintos fišingo simuliacijos, iš kurių matyti, kas vyksta tikroje situacijoje;
• užrašytos taisyklės, kaip iš įmonės išeina pinigai, kaip keičiamas tiekėjo banko sąskaitos numeris ir kas gali suteikti naują prieigą.

Simuliacijoms naudojame savo įrankį: PhishGun paleidžia kampaniją, išmatuoja paspaudimus bei pranešimus ir parodo, kur komanda iš tikrųjų yra. Tikslas niekada nėra bausti darbuotojus. Tikslas – kad pranešimas taptų refleksu.

Ką apie tai sako Lietuvos teisė

Pradėti verta nuo to, ko teisės aktuose nėra. Fišingo simuliacija Lietuvos teisėje kaip atskira pareiga neįvardyta, įsilaužimų testavimas nėra privalomas, o testuotojams nėra nei licencijų, nei registro.

NIS2 direktyva Lietuvoje perkelta Kibernetinio saugumo įstatymą išdėstant nauja redakcija (Nr. XIV-2902); ši redakcija įsigaliojo 2024 m. spalio 18 d. Iš šio reguliavimo kibernetinio saugumo subjektams kyla trys greta stovinčios pareigos, ir nė viena iš jų nėra fišingo kampanija:

• Kibernetinio saugumo reikalavimų aprašo (Vyriausybės nutarimas Nr. 945) 45.8 papunktis – ne rečiau kaip kas 6 mėnesius atliekamas viso masto spragų skenavimas;
• 48.1 papunktis – kasmetinis atitikties vertinimas, kurį subjektas atlieka pats;
• 48.3 papunktis kartu su Kibernetinio saugumo įstatymo 14 straipsnio 8 dalimi – ne rečiau kaip kas 3 metus atliekamas kibernetinio saugumo auditas.

Terminai skaičiuojami kiekvienam subjektui atskirai: 12 mėnesių organizaciniams ir 24 mėnesiai išvardytiems techniniams reikalavimams nuo tos dienos, kurią tas subjektas užregistruojamas KSIS. Vienos visai rinkai bendros datos nėra. Kurios pareigos kam taikomos, atsekėme straipsnyje apie tai, ar įsilaužimų testavimas privalomas.

Yra ir viena nuostata, kuri fišingo simuliaciją paliečia tiesiogiai. Kibernetinio saugumo įstatymo 25 straipsnis nustato sąlygas, kuriomis pažeidžiamumų galima ieškoti be išankstinio sistemos valdytojo sutikimo: apie radinį pranešama Nacionaliniam kibernetinio saugumo centrui per 24 valandas, patvirtinus pažeidžiamumą veikla nutraukiama, slaptažodžiai nespėliojami, o viešinimas atidedamas. Tarp tų pačių sąlygų aiškiai įrašytas draudimas manipuliuoti darbuotojais. Vadinasi, fišingo simuliacija į šį saugiklį nepatenka niekada – ji įmanoma tik pagal rašytinį užsakovo leidimą ir iš anksto sutartą apimtį.

Antra riba – asmens duomenys. Kampanijoje matoma, kas paspaudė ir kas pranešė, todėl tvarkymo pagrindas, duomenų apimtis ir saugojimo terminai turi būti sutvarkyti pagal BDAR. Priežiūros institucija Lietuvoje – Valstybinė duomenų apsaugos inspekcija.

Praktinis skirtumas paprastas. Mokymai, kurių niekas nepatikrina, lieka tik dalyvių sąrašu su parašais. Simuliacija su išmatuotu paspaudimų ir pranešimų rodikliu – įrodymas, kurį galima parodyti ir palyginti su praėjusiais metais.

HAXORIS – Slovakijoje, Europos Sąjungos ir NATO valstybėje narėje, registruota įmonė. Kibernetinio saugumo įstatymo 14 straipsnio 8 dalyje numatyto kibernetinio saugumo audito neatliekame ir atitikties nesertifikuojame. Dirbame techninėje pusėje: parengiame ir išmatuojame simuliaciją, apmokome komandą ir parašome ataskaitą, kurią galima pridėti prie įrodymų.

Apibendrinimas

DI fišingas pavojingas kaip tik tuo, kad atrodo visiškai įprastai. Techninių triukų jam nereikia: užtenka įprasto susirašinėjimo, įprastos skubos ir įprasto pasitikėjimo.

Apsauga tokia pat kasdieniška. Neskubėkite, tikrinkite, nespauskite refleksiškai ir nepasiduokite spaudimui. Jei žinutė kelia paniką, varo skubėti arba prašo jautrių duomenų, atėjo kaip tik ta akimirka, kai verta sustoti.

DI fišingas – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: socialinės inžinerijos testavimas ir fišingo simuliacijos · kibernetinio saugumo mokymai darbuotojams