Elektroniniai laiškai ir fišingas po 2025 metų: kaip iš tiesų atpažinti apgaulę, kai suklastoti galima beveik viską
Elektroniniai laiškai išlieka vienu svarbiausių darbo ir asmeninio gyvenimo įrankių, tačiau kartu tai ir mėgstamiausias kibernetinių nusikaltėlių kanalas. Pastaraisiais metais fišingo atakos labai pasikeitė: trumpas gramatinių klaidų pilnas laiškas šiandien vis dažniau pakeičiamas įtikinamai suklastota žinute ar net vadovo stilių atkartojančiu prašymu.
Technologijos padeda ir apsiginti, ir pulti, todėl vien antivirusinės programos ar „spam“ filtro nebeužtenka. Svarbiausia tampa žmogaus gebėjimas pasitikrinti, ar laiškas tikras, ir nespausti ten, kur nereikia. Toliau aptariame praktinius dalykus, kuriuos verta žinoti kiekvienam naudojančiam el. paštą, nesvarbu, ar tai būtų darbinis, ar asmeninis adresas.
Kas pasikeitė: fišingas tapo tylesnis ir tikslesnis
Anksčiau fišingo laiškai dažnai buvo masiniai ir primityvūs, juos išduodavo akivaizdūs ženklai: netaisyklinga kalba, keisti prašymai, egzotiškos istorijos apie laimėtus prizus. Dabar sukčiai dažnai renkasi tikslingas atakas prieš konkrečius žmones ar organizacijas ir skiria laiko informacijai apie juos surinkti.
Tokius kruopščiai paruoštus laiškus atpažinti daug sunkiau. Į juos įtraukiamos realios pavardės, tikri projektų pavadinimai, laiku paminimos artėjančios ataskaitos ar posėdžiai. Tai sukuria įspūdį, kad laišką tikrai siuntė žinomas kolega ar partneris.
Pagrindiniai šiuolaikinio fišingo tikslai
Didelė dalis fišingo žinučių vis dar siekia to paties tikslo: išvilioti prisijungimo duomenis arba paskatinti vartotoją pats įdiegti kenkėjišką programą. Tam naudojamos suklastotos prisijungimo prie el. pašto, debesų saugyklos ar banko svetainės, taip pat pridėti dokumentai, kurie reikalauja įjungti makrokomandas ar duoti papildomus leidimus.
Vis dažniau siekiama ir finansinių veiksmų: prašoma pervesti pinigus „naujai“ tiekėjo sąskaitai, apmokėti skubią sąskaitą, pakeisti darbo užmokesčio gavimo sąskaitą. Tokie prašymai dažnai pateikiami kaip itin skubūs, kad žmogus nespėtų pagalvoti ir papildomai pasitikrinti.
Žingsnis po žingsnio: kaip vertinti kiekvieną įtartiną laišką
Norint sumažinti riziką, pravartu turėti paprastą ir lengvai įsimenamą „patikros rutiną“. Ji ypač naudinga, kai pavargstame, skubame ar dirbame telefonu, kur matome mažiau techninės informacijos.
Prieš spausdami ant nuorodos ar atidarydami priedą, skirkite kelias sekundes tokiems klausimams: ar laukiau šio laiško, ar siuntėjas naudoja įprastą adresą, ar tekstas neprieštarauja ankstesniam bendravimui, ar manęs neprašoma imtis neįprasto ar skubaus veiksmo.
Siuntėjo adresas ir rodoma antraštė: kur dažniausiai slepiasi klastotė
Viena dažniausių apgaulių gudrybių yra pasikliauti tuo, ką matome „Nuo“ laukelyje. Rodomas vardas gali būti pažįstamas, bet tikras identifikatorius yra el. pašto adresas. Sukčiai dažnai pakeičia tik vieną raidę ar įterpia papildomą simbolį, kad adresas būtų panašus į tikrąjį.
Kompiuteryje verta įprasti paspausti ant siuntėjo vardo ir atidaryti visą adresą. Jei adresas atrodo keistai, jame matyti atsitiktinių simbolių, neįprastų domenų ar šalių, kurių jūsų organizacija paprastai nenaudoja, tai yra rimtas signalas sustoti ir nespausti jokių nuorodų.
Nuorodos ir „prisijungimo“ puslapiai: ką būtina patikrinti
Didelė dalis fišingo atakų veikia taip: laiške pateikiama nuoroda į puslapį, kuris atrodo labai panašus į banko ar kitos paslaugos svetainę, bet iš tikrųjų priklauso sukčiams. Vos tik ten įvedate vartotojo vardą ir slaptažodį, jie atsiduria nusikaltėlių rankose.
Prieš įvedant bet kokius slaptažodžius būtina pasižiūrėti į adreso eilutę: ar domeno pavadinimas identiškas tam, kurį naudojate įprastai, ar vardas nėra prailgintas papildomais žodžiais ar skaičiais, ar nėra keistų priesagų. Telefone tai sunkiau, todėl ypač rizikinga jungtis per gautas nuorodas, o ne patiems ranka įvedus adresą naršyklėje.
Kaip atrodo suklastotos „Microsoft“, „Google“ ar kurjerių žinutės
Vienos dažniausių apgaulių formų yra laiškai, apsimetantys, kad juos atsiuntė „Microsoft“, „Google“ ar siuntų pristatymo bendrovės. Tokiuose laiškuose teigiama, kad baigiasi paštinės talpa, reikia atnaujinti paskyros saugą arba sumokėti už siuntinio pristatymą.
Tipiškas požymis: paspaudus nuorodą, atsiduria puslapyje, kuriame iš karto prašoma įvesti el. pašto slaptažodį ar banko kortelės duomenis. Teisėtos paslaugos paprastai neskatina per el. pašto nuorodą įvesti slaptažodžių, ypač jei prieš tai nerodomas joks papildomas informacinis puslapis.
Darbo aplinka: kodėl svarbi aiški vidinė tvarka
Įmonėse fišingo žinutės gali sukelti ne tik asmeninę, bet ir labai konkrečią verslo žalą. Todėl naudinga turėti paprastas taisykles, kaip tvarkomi finansiniai, personalo ar prieigos duomenų prašymai. Pavyzdžiui, aiškiai susitarti, kad sąskaitos numerio keitimas niekada nepatvirtinamas vien el. paštu.
Taip pat verta skatinti darbuotojus klausti, o ne jaustis kaltais dėl „kvailų klausimų“. Jei kilo abejonių dėl laiško iš vadovo ar partnerio, geriau perskambinti ir pasitikrinti kitu kanalu, nei vėliau aiškintis, kur dingo pinigai ar kodėl buvo nutekinti duomenys.
Techninės priemonės: filtrai, dviejų veiksnių patvirtinimas ir slaptažodžiai
Nors žmogiškasis faktorius yra lemiamas, techninės priemonės vis dar gali gerokai sumažinti sėkmingų atakų skaičių. El. pašto serverių ir paslaugų teikėjų siūlomi filtrai, papildomas siuntėjų tikrinimas ir pažymėti įtartini laiškai padeda sustabdyti dalį žinučių dar prieš joms pasiekiant gautuosius.
Jei prisijungimui naudojamas dviejų veiksnių patvirtinimas, vien tik pavogtas slaptažodis dažnai nebeužtenka. Tai ypač svarbu el. paštui, nes būtent per jį dažnai atkuriami slaptažodžiai kitose sistemose. Slaptažodžių tvarkyklės taip pat gali padėti, nes jos dažniausiai neįrašo prisijungimo duomenų sukčiams priklausančiose svetainėse.
Kasdieniai įpročiai, kurie iš tikrųjų veikia
Norint sumažinti riziką nereikia tapti kibernetinio saugumo specialistu. Dažniausiai užtenka kelių pastovių įpročių: neskubėti, visada žvilgtelėti į siuntėjo adresą, nespausti nuorodų, kai abejonių kelia pati žinutės idėja, ir atskirai pasitikrinti svarbius finansinius prašymus.
Praverčia ir taisyklė „jei atrodo per gerai arba per grėsmingai, kad būtų tiesa, tikėtina, kad tai apgaulė“. Daugelis fišingo laiškų mėgina pažadinti stiprias emocijas: baimę prarasti paskyrą ar pinigus, viliojimą laimėti prizą, siekį greitai padėti kolegai. Atpažinus šį spaudimą, paprasčiau atsitraukti ir blaiviai įvertinti situaciją.
Ko tikėtis toliau ir kaip neprarasti budrumo
Artimiausiais metais fišingo atakos greičiausiai dar labiau individualizuosis, o kalbos ir rašybos klaidų liks vis mažiau. Vis dėlto daugiausia laimi tie, kurie investuoja į nuoseklius įpročius ir aiškias taisykles, o ne į nuolatinį baimės jausmą.
Elektroniniai laiškai niekur nedings, todėl prasmės turi ne jų vengimas, o sąmoningas naudojimas. Kuo daugiau žmonių išmoks paprastų tikrinimo žingsnių ir drąsiai klausinės kolegų ar IT specialistų, tuo sunkiau bus sukčiams išnaudoti el. paštą kaip silpnąją grandį.
