Šiuo metu rengiama ypač daug kibernetinių atakų, nukreiptų ne tik prieš Lietuvos valdžios institucijas, bet ir prieš šalyje veikiančių privačių kompanijų informacines sistemas. Neretai perimami ir paviešinami verslo klientų duomenys. Vartotojai ir priežiūrą vykdančios institucijos paprastai skuba piktintis, kad neapsisaugojo pats verslas. Bet kalbant apie vis tobulėjančias informacines technologijas, būtina nepamiršti paprastos tiesos, – kad nenulaužiamų sistemų tiesiog nėra.

Faktas, jog įsilaužti galima visur, nereiškia, kad tiek valstybės institucijos, tiek privatūs subjektai neturėtų investuoti į atitinkamų sistemų saugumo didinimą. Bet kartu būtina nepamiršti, kad viena priemonių, prisidedančių prie įsilaužimųprevencijos – veikų atskleidžiamumas, jas padariusių asmenų nustatymas ir atsakomybės pritaikymas.

Už neteisėtą poveikį elektroniniams duomenims, informacinėms sistemoms, elektroninių duomenų perėmimą ir panaudojimą, neteisėtą prisijungimą prie informacinės sistemos ir kitas nusikalstamas veikas elektroninių duomenų ir informacinių sistemų saugumui, be kita ko, numatyta ir baudžiamoji atsakomybė.

Tokias nusikalstamas veikas paprastai tiria policijos įstaigos. Ypač sudėtingais atvejais ikiteisminius tyrimus atlieka specializuoti Lietuvos kriminalinės policijos biuro pareigūnai.

Remiantis Nacionalinio kibernetinio saugumo centro (NKSC) duomenimis, 2022 m. tendencijos nerodo kibernetinių incidentų mažėjimo – anaiptol. Per pirmąjį šių metų ketvirtį NKSC fiksavo 1020 kibernetinių incidentų, o jų skaičius didesnis nei per tokį patį laikotarpį pernai, kai fiksuoti 981 incidentai.

Tačiau dar 2020 metais Valstybės kontrolės atliktas auditas parodė, kad policija nevaldo visos informacijos apie kibernetinius incidentus, kurie galimai yra nusikalstamos veikos.

Priežastis – faktas, kad ne visi kibernetinio saugumo subjektai (19 iš 143 auditorių apklaustų) praneša policijai apie kibernetinius incidentus, kurie galimai yra nusikalstamos veikos elektroninėje erdvėje.

Todėl, žinoma, svarbu, kad informacinių sistemų valdytojai, patyrę kibernetinę ataką, būtų aktyvūs ir patys kreiptųsi į teisėsaugos institucijas dėl ikiteisminio tyrimo pradėjimo. Nustatant galimus kaltininkus tokio pobūdžio bylose ypatingai svarbu nepavėluoti su procesinių veiksmų atlikimu.

Tokiu atveju teisėsaugos institucijos galės laiku sureaguoti į nusikalstamas veikas elektroninėje erdvėje.

Be to, tinkamas ir savalaikis kreipimasis į ikiteisminio tyrimo subjektus gali padėti valstybės lygiu įvertinti, koks yra šių grėsmių mastas. Pavyzdžiui, jei nuo tų pačių ar susijusių asmenų gali nukentėti skirtingi asmenys, tai neabejotinai rodo didesnį kaltininkų vykdomų nusikalstamų veikų organizuotumą ir pavojingumą.

Nepaisant to, vis dar pasitaiko atvejų, kuomet ikiteisminio tyrimo įstaigos, gavusios informacijos apie neteisėtą prisijungimą prie Lietuvoje veikiančio subjekto informacinės sistemos, kai yra pažeidžiamos informacinės sistemos apsaugos priemonės, apsiriboja tik IP adreso priklausomybės nustatymu.

Nustačiusios, kad informacinė sistema buvo „nulaužta“ iš užsienyje registruoto IP adreso, institucijos atsisako pradėti ikiteisminį tyrimą arba pradėtą tyrimą nutraukia. Paaiškinama, kad Lietuvos institucijos neturi jurisdikcijos tirti tokią veiką, nes ji padaryta iš užsienio 

Vis dėlto tokia praktika neabejotinai prisideda prie nebaudžiamumo atmosferos kūrimo bei paskatina kibernetinius įsilaužėlius planuoti naujus išpuolius.

Be to, svarbu tai,  kad IP adreso priklausomybė techninėmis ir programinėmis priemonėmis dažnu atveju maskuojama ir „iškeliama“ iš šalies, kurioje įvykdomas nusikaltimas. Iš tiesų veika gali būti padaryta kaltininkams esant Lietuvoje ar pasitelkiant čia gyvenančius bendrininkus. 

Pagal Europos Parlamento ir Tarybos 2013 m. rugpjūčio 12 d. direktyvą 2013/40/ES dėl atakų prieš informacines sistemas, kuria pakeičiamas Tarybos pamatinis sprendimas 2005/222/TVR, Lietuva yra įpareigota užtikrinti, kad jos jurisdikcijai priklausytų ne tik tie atvejai, kai pažeidėjas nusikalstamą veiką įvykdo fiziškai būdamas Lietuvos teritorijoje.

Vertinami turi būti ir atvejai, kai nusikalstama veika yra nukreipta prieš Lietuvos teritorijoje esančią informacinę sistemą – nepriklausomai nuo to, ar pažeidėjas nusikalstamą veiką daro fiziškai būdamas Lietuvoje.

Tad laiku ir tinkamai kreipusis į teisėsaugos institucijas padidėja tikimybė nustatyti informacinių sistemų apsaugos priemones pažeidusius, neviešą informaciją pasisavinusius ir paskleidusius asmenis.

O sėkmingai atlikus tyrimą galima ne tik reikalauti iš kaltininkų žalos atlyginimo, bet ir prevenciškai prisidėti prie tokio pobūdžio veikų užkardymo.

Augant visuomenės susirūpinimui privatumu elektroninėje erdvėje, išmaniųjų telefonų gamintojai kiekvienais metais pristato naujų jį saugančių funkcijų. Programėlėms vis sunkiau gauti prieigą prie privačios informacijos, slaptažodžiai ir kiti jautrūs duomenys dėl šifravimo piktavaliams tampa praktiškai nepasiekiami,  o tikslinės reklamos blokavimo funkcijos jos kūrėjus verčia ieškoti naujų būdų pasiekti auditoriją. Tačiau praėjusią savaitę „Apple“ žengė dar vieną žingsnį į priekį – pristatė  specialų „Lockdown“ (liet. izoliacijos) režimą, kuris užkirs kelią „iPhone“ ir kitų šios bendrovės įrenginių savininkus šnipinėti šalių vyriausybėms.

„Google“ produktus naudojame kasdien – nuo el. pašto, paieškos sistemos iki debesų saugyklos. Naršydami internete paliekame įvairius savo pėdsakus, kaip buvimo vieta ar paieškos istorija, tačiau keli paprasti nustatymai padės sumažinti šių duomenų rinkimą bei prieinamumą.

„Apribojus duomenų rinkimą, kai kurios paslaugos gali būti ne tokios naudingos, o matomos reklamos ne taip tiksliai nukreiptos. Tačiau keletas nustatymų leis išlaikyti balansą tarp duomenų privatumo ir teikiamų paslaugų naudos“, – teigia Mantas Užupis, „Tele2“ IT saugumo ekspertas.

1. Duomenų rinkimas. „Google“ produktai gali rinkti daug asmeninės informacijos – nuo buvimo vietos iki aplankytų puslapių ar naudojamų aplikacijų. Ši informacija padeda bendrovei kurti asmeninius produktus ir nukreipti reklamą. Tinklalapių ir programėlių veiklos apribojimas yra galingiausias bendrovės privatumo nustatymas – jeigu laikote jį įjungtą, vadinasi, sutinkate, kad jūsų informacija būtų naudojama reklamai ir kitoms verslo paslaugoms, pagristoms duomenimis. Žiniatinklyje eikite į myaccount.google.com > „Data & Privacy“ (liet. „Duomenys ir privatumas“) > „Web & App Activity“ (liet. „Žiniatinklio ir programų veikla“). Jeigu norite, kad informacija apie jūsų veiklą internete liktų tik jums, išjunkite šį pasirinkimą. Naujame lange bus prašoma patvirtinti, kad esate pasirengę pristabdyti duomenų rinkimą, jį vėl aktyvuoti galėsite bet kuriuo metu.

2. Vietos istorija. Jeigu dažnai naudojatės „Google“ produktais ir su savimi nešiojatės išmanųjį telefoną, bendrovė gali rinkti duomenis apie kiekvieną vietą, kurioje buvote. Jeigu norite išjungti buvimo vietos sekimą, spustelėkite „Data & Privacy“ (liet. „Duomenys ir privatumas“) > „Location History“ (liet. „Vietovių istorija“) ir bakstelėkite „Turn off“ (liet „Išjungti“). Perskaitykite pasirodžiusį informacinį langelį ir pasirinkite „Pause“ (liet. „Pristabdyti“), kad „Google“ nebesektų ir nesaugotų jūsų buvimo vietos istorijos.

3. Veikla. Jeigu nenorite sustabdyti duomenų rinkimo, galite ištrinti visus paliktus pėdsakus internete. Ši funkcija automatiškai ištrins kai kuriuos bendrovės surinktus duomenis arba suteiks galimybę išvalyti juos rankiniu būdu. Automatinį žiniatinklio ir programų veiklos ištrynimą rasite „Data & Privacy“ (liet. „Duomenys ir privatumas“) > „Web & App Activity“ (liet. „Žiniatinklio ir programų veikla“) skiltyje pateiktuose skyriuose. Spustelėję rasite „Auto-delete“ (liet. „Automatinis ištrynimas“) pasirinkimą ir siūlomus paslaugos terminus – ištrinama senesnė nei 3, 18 ar 36 mėnesių informacija. Rankiniu būdu išvalyti duomenis galite paspaudę tame pačiame lange esantį pasirinkimą „Manage history“ (liet. „Tvarkyti istoriją“) ir pašalinę norimus laukelius.

4. Skelbimų suasmeninimas. Pastebėję tendencijas, kuo domitės internete, „Google“ pateikia tik tuos skelbimus, kurie būtų aktualūs ir skirti būtent jums. Tačiau bendrovė suteikia galimybę padidinti privatumą ir sustabdyti skelbimų suasmeninimą. Spustelėkite „Data & Privacy“ (liet. „Duomenys ir privatumas“) > „Ad Settings“ (liet. „Skelbimų nustatymai“) > „Ad Personalization“ (liet. „Skelbimų suasmeninimas“). Čia paspauskite mygtuką „Turn off“ (liet. „Išjungti“). Jei norite detaliau valdyti apie jus renkamą informaciją, slinkite į apačią iki skilties „How your adds are personalized“ (liet. „Kaip suasmeninami skelbimai“). Šiame skirsnyje pateikiami jūsų interesų įvertinimai, čia galite bet kurio iš jų stebėjimą išjungti rankiniu būdu.

5. Išorinės programos. Pravartu periodiškai peržiūrėti, kurios parsisiųstos programos yra prijungtos prie „Google“ paskyros ir panaikinti leidimus paslaugoms, kuriomis nebesinaudojate. Duomenų bendrinimą galima išjungti paspaudus „Security“ (liet. „Sauga“) > „Third-party apps with account access“ (liet. Trečiųjų šalių programos, turinčios prieigą prie paskyros“) > „Manage third-party access“ (liet. Tvarkyti trečiųjų šalių galimybę pasiekti paskyrą“). Įsitikinkite, kad pasitikite ir žinote visas į sąrašą įtrauktas programėles. Jei norite išimti programą iš sąrašo, spustelėkite eilutę su jos pavadinimu ir pasirinkite „Remove access“ (liet. „Prieigos pašalinimas“).

Lietuvoje daug žmonių visai nežino, kiek yra susikūrę paskyrų internete, atskleidė kibernetinio saugumo bendrovės „NordPass“ užsakymu atliktos apklausos. Tai itin neramina ekspertus, esą ši tendencija gali sukelti žalos ne tik asmeninių, bet ir verslo duomenų saugumui. Nenaudojamos paskyros, kurių slaptažodžiai seni ir neatnaujinami, yra tiesiausias kelias programišiams pasisavinti konfidencialią informaciją ir pasiekti kitas, dažnai svarbesnes paskyras.

Dažniau negali įvardinti darbo reikmėms naudojamų paskyrų

Apklausus Lietuvos gyventojus paaiškėjo, kad jiems sunkiau nurodyti, kiek turi darbinių paskyrų nei asmeninių. Daugiau nei pusė (52 proc.) apklaustų Lietuvos darbdavių ir darbuotojų nežino tikslaus darbo reikmėms naudojamų paskyrų skaičiaus, tuo tarpu asmeninių profilių negalėjo įvardinti 7 proc. interneto naudotojų Lietuvoje.

Pasak „NordPass“ produkto vadovo Gedimino Brenciaus, kalbant apie paskyras internete galima prisiminti pasakymą „Grandinė yra tokia stipri, kokia stipri yra silpniausia jos grandis“, nes duomenų saugumas priklauso nuo to, kokia saugi yra kiekviena turima paskyra. Interneto vartotojams turint daug nebenaudojamų ir pamirštų paskyrų išauga rizika, kad joms pasiekti naudoti slaptažodžiai laikui bėgant tampa vis silpnesni ir todėl itin lengvai nulaužiami. Jei tie patys slaptažodžiai buvo naudojami kelioms skirtingoms paskyroms apsaugoti, tuomet nulaužę vieną paskyrą programišiai galės pasiekti ir kitas, naudojamas dabar.

Dauguma lietuvių turi bent 10 profilių

„NordPass” pernai atlikto tyrimo duomenimis, pasaulyje vienas asmuo turi apie 80–100 paskyrų. Lietuvoje tendencija kiek kitokia: tiek daug profilių (50–100) susikūrę tik penktadalis šalies gyventojų, tačiau dauguma lietuvių jų vis tiek turi bent 10. Mažiau paskyrų susikūrę tik atskirai apklausti šalies darbdaviai ir darbuotojai, kurie, nepaisant šio fakto, sunkiai prisimena, kiek turi darbui reikalingų profilių.

G. Brencius atkreipia dėmesį, kad realūs skaičiai gali būti ir didesni: „Skaičiuoti reikėtų ne tik kompiuterio, bet ir išmaniojo telefono ar planšetinio kompiuterio programėlių ar lankomų svetainių prisijungimus. Visa tai irgi yra internetinės paskyros, o duomenų saugumo prasme jos gali būti netgi jautresnės. Pavyzdžiui, išmaniajame telefone susikūrus programėlės paskyrą neretai patvirtiname prieigą prie susirašinėjimų ar fotokameros duomenų, todėl tokios paskyros saugumas turėtų būti vertinamas dar rimčiau.“

Kodėl svarbu žinoti turimų paskyrų skaičių?

Anot „NordPass“ eksperto, pasisavinę duomenis programišiai gali pakenkti tiek asmens, tiek įmonės reputacijai, atakos taip pat gali turėti rimtų finansinių pasekmių, kartais nepakeliamų. Tačiau turėti daug paskyrų, pasak jo, nėra blogai, jei žinome, kaip tinkamai jomis pasirūpinti. Patariama nenaudoti tų pačių slaptažodžių skirtingoms paskyroms, nes jei vienas profilis nulaužiamas – tikėtina, kad bus pasiektos ir kitos paskyros, turinčios tuos pačius prisijungimo duomenis.

Taip pat svarbu reguliariai peržvelgti naudojamas internetines paskyras – tiek asmenines, tiek darbines. Nenaudojamas reikėtų pašalinti, o svarbias atnaujinti. Slaptažodžius reikėtų keisti bent kas 3 mėnesius ir itin svarbu, kad jie būtų sudėtingi. Sugeneruoti stiprius slaptažodžius padeda ir slaptažodžių tvarkyklės, kurios talpina ir įsimena sudėtingus slaptažodžius bei leidžia saugiai jais dalintis.

„Įprastai žmonės mano, kad jie gali lengvai įsidėmėti visus savo slaptažodžius, bet dažnai nė nesusimąsto, kiek daug paskyrų iš tiesų turi. Kiekvienos paskyros slaptažodis turėtų būti sudėtingas ir unikalus – įsiminti tokį sąrašą komplikuotų slaptažodžių nėra neįmanoma, bet tikrai nelengva. Net ir turint fenomenalią atmintį, verčiau įsidėmėti artimųjų gimtadienius, o ne slaptažodžių formuluotes“, – sako G. Brencius.

Apklausas kibernetinio saugumo bendrovės „NordPass“ užsakymu įgyvendino tyrimų bendrovė „Norstat LT“. Verslo apklausa buvo atlikta sausio 31–vasario 3 dienomis. Internetu atliktoje apklausoje dalyvavo 300 respondentų, dirbančių privačiame sektoriuje. Visuomenės apklausa buvo atlikta vasario 3–10 dienomis. Internetu atliktoje apklausoje dalyvavo 500 18–45 metų respondentų.

Kada paskutinį kartą lankėtės fiziniame banko padalinyje? Jei tikslaus atsakymo rasti nepavyksta, greičiausiai, mieliau renkatės internetinio banko alternatyvas. Tokią logiką paskatino skaitmenizacija ir poreikis rinktis paslaugas patogesniu, nuotoliniu būdu. Šiandieninių vartotojų teigimu, laiko laukiant eilėse leisti neverta, o visagalis internetas, supaprastinant daugelio paslaugų veikimą, iš tiesų padeda sutaupyti kaštus bei laiko resursus.

Kartu su internetinių bankų alternatyvomis į kibernetinė erdvę veržiasi išmanias technikas pasitelkę internetinių apgaulių specialistai. Nors daugeliui pažįstamų telefoninių sukčiavimo būdų pamiršti pastarieji neketina, opia problema visuomenei tampa didesnio masto bei rimtesnių pasekmių sulaukiančios asmens duomenų ir tapatybės vagystės. Vien tik 2021 m. Lietuvos programišiai pasisavino, o po to viešai paskelbė gerai žinomų įmonių, pavyzdžiui, „CityBee“, „Filmai.in“ ar „Domenai.lt“, klientų duomenis.

Kibernetinių atakų skaičius augs

Lietuviško kibernetinio saugumo startuolio „iDenfy“ vadovas, Domantas Čiuldė, teigia abejosiantis, jog programišiai greitu metu mažins indėlį blogiems savo kėslams įgyvendinti. Anot specialisto, išpuolių daugės, o jiems ruoštis rekomenduojama visiems, ypatingai banko industrijai ir sparčiai populiarėjančiam FinTech sektoriui.

Paklausus specialisto, ką daryti norint išvengti sukčių pinklių, D. Čiuldė tikina, jog svarbu kritiškai vertinti bet kokią informaciją internete, nereaguoti į prašymus atlikti bankinius pavedimus, būti budriems netikėtų skambučių metu ir atidžiai skaityti įtartinus el. laiškus.

Sukčiai neretai prašo pateikti tik kelis PIN kodo skaitmenis, tačiau tai tik dar vienas būdas lengviau išvilioti asmeninius duomenis. Pastarieji aktyviai veikia ir apsiperkant internetu, tad svarbu patikrinti, ar paslaugų teikėjas turi visas licencijas, ar elektroninis puslapis, teikiantis paslaugas, yra tikras.

Į pagalbą – tapatybės patvirtinimas

Vienas iš būdų, padėsiančių užkirsti kelią sukčiams ir pinigų plovimui, pasak D. Čiuldės, tai nuotolinis tapatybės patvirtinimas. Šia technika siekiama aptikti sintetines, suklastotas tapatybes, kuriomis sukčiai prisidengia norėdami gauti prieigą prie svetimų internetinių banko paslaugų.

Nuotolinės tapatybės paslauga leidžia išvengti vizito banke, mat vartotojams tereikia kelių paspaudimų – nufotografuoti savo pasą ar tapatybės kortelę bei pateikti selfie tipo fotografiją. Automatinė sistema greitai nuskanuoja kliento duomenis ir palygina juos su tapatybės dokumento informacija. Jei viskas sutampa, vartotojas gauna „žalią“ šviesą jungtis prie banko ir toliau naudotis paslaugomis.

„Nusikaltėliai internete stengiasi išlaikyti anonimiškumą, bando nuslėpti savo veidą, tapatybės patvirtinimo metu prisidengdami kaukėmis. Pasitelkus dirbtinį intelektą, sistema atpažįsta visas klastotės formas, tad sukčiai savo kelionės tęsti nebegali, o standartiniai vartotojai gali mėgautis greita procedūra namuose, išvengiant tradicinio banko scenarijaus“, – aiškina D. Čiuldė.

Bankus skatina suklusti

Vartotojai, daug laiko praleisdami internete, kelia aukštesnius reikalavimus įmonėms duomenų saugumo užtikrinimui. Nenuostabu, jog didžiausias dėmesys skiriamas finansų sektoriui. Vis daugiau šio sektoriaus žaidėjų ieško papildomų, inovatyvių technologinių sprendimų, galinčių apdoroti didelį kiekį informacijos greitai ir saugiau bei apsaugoti vartotojų duomenis nuo kibernetinių atakų.

Siekiant sumažinti tapatybės vagysčių riziką ir neleisti sukčiams naudotis kortelių duomenimis be leidimo, prie lietuviškos „iDenfy” nuotolinės tapatybės patvirtinimo sistemos prisijungė „Alternative Payments“. Įmonės klientai, atsiskaitydami už paslaugas skaitmeninėje erdvėje, kaip alternatyvą kredito kortelėms, gali rinktis jiems patogius, vietinius mokėjimo būdus.

Mindaugas Rizgelis, „Alternative Payments“ vadovas, žingsnį įkomplektuoti nuotolines tapatybės patvirtinimo paslaugą grindžia ne būtinu įstatymo principu, o kaip efektyvų metodą bankams patenkinti augančius vartotojų poreikius saugiai ir lengvai pasiekti norimas paslaugas. „Nuotolinis tapatybės patvirtinimas yra inovatyvus, patogus būdas užtikrinti, kad vartotojas naudojasi savais duomenimis ir turi skaidrius ketinimus. Tokiu būdu, taupydami laiką iš kaštus, pasirinkę saugią, automatinę saugos sistemą, bankai optimizuoja vidinius procesus.“ – priduria M. Razgelis.