„Mes visi esame sukčių taikinys“: kodėl vis dar numojame ranką į duomenų nutekėjimus ir kaip apsisaugoti

Apie duomenų apsaugą, kodėl kiekvienas esame taikinys ir kokius algoritmus naudoja sukčiai spalio 9 d. naujienų portalo Lrytas organizuotoje didžiausioje praktinėje konferencijoje Lietuvoje saugumo tema „Saugumo kodas“ kalbėjo kibernetinio saugumo ir skaitmeninės gynybos ekspertai: Nacionalinio kibernetinio saugumo centro direktoriaus pavaduotoja Agnė Ignatavičienė, VILNIUS TECH Skaitmeninės gynybos kompetencijų centro direktorius Vitalijus Gurčinas, „Baltimax“ vyresnysis kibernetinio saugumo inžinierius ir ESET ekspertas Lukas Apynis, „Telecentro“ veiklos vystymo departamento direktorius Arnas Zuikis. Diskusiją moderavo portalo Lrytas mokslo ir IT redaktorius Adomas Rutkauskas.

Vienas iš sudėtingiausių iššūkių, su kuriais kasdien susiduria kibernetinio saugumo specialistai, yra visuomenėje giliai įsišaknijęs skeptiškas požiūris į asmeninius duomenis. Kaip diskusijoje pastebėjo ekspertai, dažnas žmogus, išgirdęs naujieną apie duomenų nutekėjimą dažnai numoja ranka – mano, kad nėra žinomas ar turtingas, todėl neatsiras sukčių akiratyje.

„Vilnius Tech“ Skaitmeninės gynybos kompetencijų centro direktorius Vitalijus Gurčinas atkreipė dėmesį, kad duomenų nutekėjimus reikėtų traktuoti kaip vagystę ir, kad šiais laikais duomenų nutekėjimai yra tikslinis organizuotų grupių darbas.

„Šiandien pamatėme, kad kaina visgi yra nemaža, jei yra daugiau duomenų <...> ir kažkas iš to darosi pinigus. (Registrų centro, – red. past. ) atveju buvo žymiai daugiau duomenų nei telefonų knygoje, kurioje ieškodavome žmonių. <...> Dabar tai leis naudoti duomenis automatizuotų būdu ir panaudoti kažkam rimtesniam“, – įsitikinęs V. Gurčinas.

Savo ruožtu Nacionalinio kibernetinio saugumo centro (NKSC) direktoriaus pavaduotoja Agnė Ignatavičienė diskusijos metu atliko paprastą eksperimentą su salėje sėdėjusia auditorija: paprašius pakelti rankas tų, kurių duomenys bent kartą gyvenime yra nutekėję į viešumą, pakilo beveik visų salėje esančių žmonių rankos.

Tačiau paprašius rankas pakelti tų, kurie asmeniškai patyrė finansinę žalą, tapatybės vagystę ar kitas tiesiogines pasekmes – pakilo tik kelių diskusijos klausytojų rankos.

Kaip pastebėjo A. Ignatavičienė, nesvarbu, ar žmogus užima aukštas pareigas, ar yra pensininkas, studentas – mes visi bendradarbiaujame, naudojamės valstybės ir privačiomis paslaugomis, todėl nukentėti nuo sukčių galime bet kada.

„Mes gyvename ir bendraujame su kitais žmonėmis, dirbame tam tikrose organizacijose. Iš mūsų duomenų galima susidaryti kombinacijas, kurios bus įdomios piktavaliams.

Ir jeigu mes galvojame, kad „Dirbu paprastoje organizacijoje ir nesu susijęs su saugumu, valstybės paslaugomis“, iš tiesų net jeigu įmonė teikia paslaugas svarbioms valstybėms institucijoms – aš vėl esu įdomus piktavaliams“, – aiškino A. Ignatavičienė.

Jos teigimu, čia ir yra bėda, kodėl mes manome, kad asmens duomenimis nereikėtų rūpintis. Nes turtinė žala, kuri ateitų nutekėjus duomenims, gali pasireikšti taip negreitai, jog mes nė nesuprasime, kad tai yra susiję su praeityje įvykusiu duomenų nutekėjimu.

Kaip pažymi specialistė, dalis skaitmeninės informacijos yra kaupiama ir šifruojama vien tam, kad sulauktų tinkamos akimirkos ateityje. Todėl požiūris „aš nesu svarbus“ iš esmės atveria kelią nusikaltėliams.

A. Zuikis paaiškino, kaip valstybės institucijos privalo klasifikuoti savo tvarkomus duomenis – jie skirstomi į keturias kategorijas, be to, yra ir atskira, aukščiausia kritinių duomenų kategorija.

Įdomiausia, tai, kad rezultatas dažnai prieštarauja intuicijai: nors logiška manyti, kad sveikatos duomenys automatiškai priskiriami aukščiausiam apsaugos lygiui, iš tikrųjų jų svarba priklauso ne nuo pačių duomenų pobūdžio, o nuo konkrečios informacinės sistemos kategorijos, kuri savo ruožtu priklauso nuo aptarnaujamų gyventojų skaičiaus.

„Jeigu pažiūrime į mažesnę savivaldybę, mažesnę ligoninę, kur gyventojų nėra šimto tūkstančių ar septynių šimtų tūkstančių, kaip Vilniuje, tai tie duomenys tampa trečios kategorijos, vidutiniškai svarbūs.

Atitinkamai pagal kategoriją, valstybės institucijos pasirenka saugos lygį ir mes tikrai tikrai susiduriame su tuo, kad institucijos tikslingai renkasi žemesnį lygį, kad būtų mažiau problemų. Mes patys rūpinamės savo duomenimis, bet turime taip pat paklausti ir valstybės bei kitų institucijų – ar jie rūpinasi mūsų duomenimis?“, – pažymėjo jis.

Dar nerimą keliančiu skamba A. Zuiko pastebėjimas apie pačių institucijų elgesį – aukštesnė kategorija reiškia daugiau reikalavimų, dokumentacijos ir investicijų, todėl kai kurios institucijos tai žinodamos sąmoningai renkasi žemesnį saugumo lygį, kad išvengtų papildomos naštos.

Diskusijoje A. Ignatavičienė pasidalijo praktinėmis rekomendacijomis, ko vengti internete.

„Kai pramogaujame internete, pagalvokime – ar tikrai mums reikia atiduoti visus duomenis, kurių mūsų prašo. Pavyzdžiui, ateinate į el. parduotuvę nusipirkti kažkokį paprastą dalyką ir manote, kad daugiau čia niekada nesugrįšite.

Bet svetainėje prašoma užsiregistruoti, susikurti slaptažodį. Arba dar daugiau – paprašo vos ne asmens kodo, gyvenamojo adreso, nors prekę atsiimsite vietoje. Mano siūlymas tokiu atveju – galbūt vengti tokios parduotuvės?

Jei ta parduotuvė taip nesirūpina asmens duomenimis ir stengiasi tiek daug jų sukaupti, gali būti, kad ji neužtikrins kokybiškų paslaugų ir kitur. Todėl patariu visuomet pagalvoti“, – pataria A. Ignatavičienė.

„Baltimax“ vyresnysis kibernetinio saugumo inžinierius L. Apynis detalizavo žingsnius, kurių reikia imtis, jei paaiškėja, kad duomenys jau nutekėjo. Pirmiausia reikia keisti slaptažodį, tačiau svarbu patikrinti ir tai, ar sistema po pakeitimo automatiškai atjungia visus prisijungusius įrenginius – kai kurios svetainės to nedaro, todėl sukčiai gali likti prisijungę net ir pakeitus slaptažodį.

„Tai yra tokia funkcija dažnai, atjungti nuo visų įrenginių. Žinoma, yra ir kiti būdai. Pavyzdžiui, suvedate banko duomenis kažkur ir vėliau suprantate, kad jau vėlu. Pirmiausia tokiu atveju reikia kreiptis į banką“, – paaiškino jis.

Jeigu jau prarasti pinigai, svarbiausias veiksnys, anot L. Apynio, yra greitis: kuo ilgiau delsiama kreiptis į banką, tuo daugiau spėja nuskaičiuoti sukčiai, ypač jei jie jau turi kortelės duomenis, o svetainė papildomo patvirtinimo neprašo.

A. Ignatavičienė pridūrė, kad įvykus incidentui įmonėje, svarbiausia nedelsti ir nuspręsti, į kurią įstaigą svarbiausia kreiptis.

„Jeigu kalbama apie asmens duomenų praradimą, kreiptis reikia į Valstybinę duomenų apsaugos inspekciją. Jeigu manome, kad nukentėjome finansiškai, kreipiamės į policiją.

Na, o jeigu manote, kad jūsų paskyra buvo nutekinta ar įvykęs kibernetinis incidentas – kreipkitės į Nacionalinį kibernetinį saugumo centrą, kuris šiuos incidentus vertina, padeda valdyti ir teikia rekomendacijas kitoms institucijoms“, – patarė specialistė.

A. Zuikis taip pat siūlo asmens kodą, vardą, pavardę, el. paštą ir patį slaptažodį traktuoti kaip pavogtus dar prieš juos susikuriant, todėl be antro autentifikavimo faktoriaus apsieiti negalima.

„Yra keli geri dalykai – kai kurios valstybės institucijos už mus pagalvoja. Pavyzdžiui, jei pavogė nemažai mūsų duomenų, galima užsiregistruoti, kad jei kažkas su mūsų duomenimis kreipsis dėl „Bobutės“ paskolos, jiems tiesiog nepavyks“, – sako A. Zuikis.

A. Zuikis taip pat patarė būtinai atskirti el. paštus, naudojamus svarbiems gyvenimo reikalams, nuo tų, kurie skirti reklamoms ir pirkiniams, bei primygtinai pataria niekada nenaudoti darbinio pašto asmeniniams klausimams – toks įprotis, jo teigimu, kelia riziką ne tik pačiam darbuotojui, bet ir visai organizacijai.

Slaptažodžių ir PIN kodų laikymas užrašuose šalia kompiuterio ar piniginės taip pat nėra geriausia vieta – pavogus daiktą plėšikai kartu rastų ir visus reikalingus duomenis įsilaužti į kompiuterį.

Specialistas taip pat rekomendavo išlikti ramiam, vadovautis sveiku protu.

„Na, o didžioji dalis kibernetinių saugumo subjektų Lietuvoje, turi turėti saugumo operacijų centrus, kuris turi rūpintis organizacijos infrastruktūra. Tad jeigu mūsų organizacijai kažkas nutiktų, skambinčiau SOC (saugumo operacijų centrui) ir tada jau jų pareiga kreiptis į kibernetinio saugumo centrą“, – sako A. Zuikis.

L. Apynis papasakojo atvejį, kai institucijos apsaugos priemonės nepadėjo vien todėl, kad auka pati atsisakė jomis pasikliauti.

Banko sistema sėkmingai sustabdė didelį pavedimą internetu, tačiau moteris, tapusi sukčių auka, tiesiog nuėjo į banko skyrių ir paprašė pervesti pinigus asmeniškai, patikindama darbuotojus, kad viskas gerai.

„Suveikė banko apsaugos, neleido padaryti didelių pavedimų. Bet ne, moteris nuėjo pati į banką ir sako man reikia pervesti pinigus. Tokiu atveju gali institucijos sustabdyti, bet jeigu pats žmogus prašo ir padaro pavedimą – tada jau niekas nepadės“, – pasakoja L. Apynis

Pridūrė, kad yra istorijų ir kai žmonės antrą kartą perveda pinigus tam pačiam sukčiui.

„Turime ir situacijų, kai žmogus 7 kartus suveda savo duomenis. Tai reiškia, kad jis deda daug pastangų vien tam, kad jo duomenys nutekėtų“, – šokiruojančiais faktais dalijasi ir Agnė Ignatavičienė.

Technologinis šuolis ir dirbtinio intelekto banga kardinaliai pakeitė viso kibernetinio pasaulio taisykles. V. Gurčinas diskusijos metu atkreipė dėmesį į tai, kad nusikaltėliai dabar aktyviai naudoja pažangius dirbtinio intelekto agentus, leidžiančius nusikalstamas veikas vykdyti neįtikėtinu greičiu.

„Veidai visų matomi, piršto antspaudą, akies rainelę irgi galima pasiimti, nėra labai sudėtinga“, – įspėja VILNIUS TECH Skaitmeninės gynybos kompetencijų centro direktorius.

L. Apynis pridūrė grynai technologinę perspektyvą – dažniausiai pamirštamas rizikos taškas šiandien yra ne kompiuteris, o telefonas, kuriame sukaupta daugiausia asmeninių duomenų: kontaktai, slaptažodžiai, užrašinės, nuotraukos.

Dar didesnę grėsmę kelia balso klonavimo ir giliojo klastojimo (angl. deepfake) technologijos. Konferencijoje A. Rutkauskas aptarė nerimą keliantį atvejį.

Anot žurnalisto, skambutis buvo padarytas padirbtu apie aštuoniasdešimties metų žmogaus balsu, nors jokių šio asmens vaizdo įrašų internete nėra – nustatyti, iš kur sukčiai galėjo gauti tokį balso pavyzdį, pavyko tik vėliau, kai paaiškėjo, kad pakako dvidešimties minučių trukmės socialinės telefoninės apklausos.

V. Gurčinas pridūrė, kad Vilniaus TECH skaitmeninės gynybos kompetencijų centre mokoma atpažinti tokius atvejus – ten parengtos specialios užduotys, per kurias reikia atskirti tikro žmogaus balsą nuo dirbtinio intelekto sugeneruoto įrašo. Tačiau, jo įsitikinimu, ateityje vien patirties ir įgudusios klausos nebepakaks.

„Nebeturės galimybių net ekspertai greitai, be įrankių atpažinti. Dabar turime daryti paprastai – patikriname ir įsitikiname, kad iš tikrųjų tai klastotė arba ne“, – sako jis.

Pasak V. Gurčino, klaidinga būtų pasikliauti ir vadinamuoju turinio žymėjimu – didžiosios technologijų kompanijos jau seniai moko savo algoritmus atpažinti dirbtinio intelekto sukurtą turinį pagal didelius duomenų rinkinius, tačiau priešininkai savo kuriamo turinio niekada sąmoningai nežymės.

„Yra daugybė įrankių, kurie žymi tą turinį, bet kai mes kalbame apie kitą pusę – sukčiai niekada nežymės netikro turinio. Kažkada suklysite, kad ir koks būsite ekspertas“, – perspėjo ekspertas.