Kas yra duomenų viliojimas ir kaip jis vykdomas?

Duomenų viliojimo apibūdinimas

Duomenų viliojimas yra socialinės inžinerijos ataka, kurios metu apsimesdami patikimais asmenimis ar organizacijomis užpuolikai bando suklaidinti žmones, kad šie jiems suteiktų asmeninę informaciją, pvz., slaptažodžius, finansinę informaciją ar PIN kodus. Jie tai gali daryti siųsdami suklastotus el. laiškus, tekstines žinutes ar pranešimus socialiniuose tinkluose, kurie atrodo taip, tarsi juos siųstų teisėtas siuntėjas.

Duomenų viliojimo aferos gyvuoja nuo pat interneto atsiradimo ir vis dar yra viena labiausiai paplitusių kibernetinių atakų forma. Remiantis 2024 m. duomenimis, sukčiai kasdien įvykdo bent 31 000 duomenų viliojimo atakų, t. y. kasdien išsiunčia 3,4 mlrd. duomenų viliojimo el. laiškų. Ir tai neapima duomenų viliojimo socialiniuose tinkluose ar tekstinėmis žinutėmis.

Paprastai užpuolikai vykdo duomenų viliojimo atakas siekdami pavogti pinigų ir priversti žmones apgaulės būdu atlikti bankinius pavedimus. Tačiau kai kurie kibernetiniai nusikaltėliai taip pat naudoja kenkėjišką programinę įrangą, kad sužinotų daugiau informacijos apie asmenį ar įmonę ir vėliau šią informaciją galėtų parduoti internete. El. laiškai yra pati populiariausia duomenų viliojimo forma, tačiau jie kartais būna taip ištobulinti, kad sunku suprasti, jog yra suklastoti.

Duomenų viliojimo vykdymas

Duomenų viliojimas vykdomas sukuriant įtikinamas priežastis, kad žmonės perduotų sukčiams konfidencialią informaciją. Nors egzistuoja įvairių duomenų viliojimo būdų, pagrindiniai kiekvienos duomenų viliojimo atakos veiksmai yra labai panašūs ar net tokie patys kaip socialinės inžinerijos atakų.

• 1 veiksmas: informacija (jaukas). Norėdami paruošti duomenų viliojimo ataką, apgavikai pirmiausia turi sukurti tam tikrą jauką aukoms privilioti. Paprastai jauku tampa el. laiškas arba tekstinė žinutė, kurioje yra nukopijuotas žinomo ir patikimo subjekto (pvz., banko, įmonės ar valstybinės įstaigos) stilius bei bendravimo būdas. Kadangi jauko tikslas yra apgauti naudotojus, kad šie pasitikėtų žinute, apgavikai stengiasi sukurti teisėtumo įspūdį ir naudoja logotipus bei el. pašto adresus, kurie yra labai panašūs į oficialius įmonės logotipus, taip pat atkartoja kalbą, kad ji skambėtų kaip ta, kurios iš teisėto siuntėjo tikėtųsi gavėjas.
• 2 veiksmas: pažadas (kabliukas). Kai jaukas jau paruoštas, duomenų viliotojams reikia pateikti rimtą priežastį, kad atkreiptų aukos dėmesį į žinutę. Tai vadinama pažadu arba kabliuku ir paprastai apima teiginius, kuriuose vyrauja stiprios emocijos. Pvz., duomenų viliojimo el. laiškuose gali būti žadamas apdovanojimas, kaip antai galimybė laimėti prizą ar atgauti pinigus. Taip pat gali būti pasitelkiama baimė, kurią sukelia įspėjimas dėl paskyros veikimo sustabdymo, nesąžiningos veiklos ar kitos neatidėliotinos grėsmės. Šios žinutės paskatina skubėti arba sužadina smalsumą ir vilioja aukas greitai atsakyti, net nesvarstant galimybės, kad tai gali būti afera.
• 3 veiksmas: ataka (laimikis). Ataka arba laimikis yra kibernetinės aferos kulminacija, kai duomenų viliotojai pasiekia savo tikslą. Kai tik užmetamas kabliukas su jauku, aukos imasi veiksmų (paspaudžia įtartinas nuorodas ar apsilanko suklastotose svetainėse) ir atskleidžia konfidencialią informaciją arba atsisiunčia kenkėjišką programinę įrangą.

Dėl duomenų viliojimo kylančios problemos

Duomenų viliojimas yra reali problema. Jis kasmet paveikia milijonus žmonių visame pasaulyje, yra ypatingai veiksmingas, nereikalauja daug pastangų ir generuoja puikų finansinį pelną. Kibernetinio saugumo specialistai pastebi nuolatinį bandymų vilioti duomenis augimą ir pažymi, kad tai yra viena dažniausių kibernetinio saugumo grėsmių tiek pavieniams asmenims, tiek įmonėms.

Duomenų viliojimo rizikos pavieniams asmenims

Toliau pateikiame pavieniams asmenims kylančių duomenų viliojimo rizikų pavyzdžius.

• Tapatybės vagystė. Jei duomenų viliotojas sužino asmeninę informaciją, jis gali ją panaudoti tapatybei pavogti ir finansiniam nusikaltimui įvykdyti.
• Pinigų praradimas. Duomenų viliotojai gali jus apgauti, kad suteiktumėte prieigą prie banko paskyrų ar kredito kortelių ir jie galėtų pavogti pinigus ar neteisėtai apsipirkti.
• Kenkėjiškos programinės įrangos įdiegimas. Kai kurių duomenų viliojimo atakų metu žmonės gali būti apgauti, kad atsisiųstų kenkėjišką programinę įrangą, kurią galima panaudoti prieigai prie asmeninių įrenginių gauti ir informacijai pavogti.
• Kėsinimasis į privatumą. Duomenų viliojimo metu apgavikai gali gauti prieigą prie jūsų asmeninės informacijos, užpulti sistemas iš vidaus ir net neleisti jums pasiekti kai kurių asmeninių failų (pvz., nuotraukų ar vaizdo įrašų).

Duomenų viliojimo rizikos įmonėms

Toliau pateikiame įmonėms kylančių duomenų viliojimo rizikų pavyzdžius.

• Žala reputacijai. Jei duomenų viliotojas sužinos konfidencialios informacijos, jis gali ją panaudoti įmonės ar asmens reputacijai sugadinti.
• Konfidencialių duomenų praradimas. Duomenų viliotojai gali taikytis į jus arba organizaciją, siekdami pavogti konfidencialius duomenis, pvz., komercines paslaptis ar intelektinę nuosavybę.
• Finansiniai nuostoliai. Nuo duomenų viliojimo atakų nukentėjusios įmonės gali patirti milijonus dolerių žalos tais atvejais, jei prarastų investuotojus, gautų baudų, netektų verslo paslaugų, patirtų išpirkos reikalaujančių programų žalą ar daugelį kitų neigiamų įvykių.
• Sistemų užpuolimas. Kartais po sėkmingų duomenų viliojimo atakų verslai gali netekti prieigos prie svarbių failų ir informacijos, dėl ko gali kilti chaosas ir tolesnės problemos įmonei, darbuotojams bei klientams.

Saugokitės duomenų viliojimo keliamų pavojų ir naršykite atsakingai. Būkite atsargūs spausdami kenkėjiškų svetainių nuorodas ar atsisiųsdami priedus iš nepatikrintų šaltinių. Visada naudokite sudėtingus ir unikalius slaptažodžius bei likite budrūs.

Labiausiai paplitę duomenų viliojimo atakų tipai

Sukčiai naudoja įvairius duomenų viliojimo būdus, kad apgautų savo aukas ir šios atskleistų savo tapatybę identifikuojančią informaciją. Toliau pateikiame labiausiai paplitusius duomenų viliojimo tipus.

• Duomenų viliojimas el. paštu. Duomenų viliojimas el. paštu yra kibernetinė ataka, kurios metu kaip pirmoji apgaulės priemonė naudojamas el. paštas. Duomenų viliojimas el. paštu skirtas gavėjams apgauti, kad šie imtųsi veiksmų, pvz., paspaustų nuorodą, apsilankytų suklastotose svetainėse ar pateiktų asmeninę informaciją. Šie el. laiškai dažnai sumaišomi su brukalais.
• Duomenų viliojimas telefonu. Vykdant duomenų viliojimo telefonu (arba duomenų viliojimo balsu) atakas taikomos socialinės inžinerijos taktikos ir kuriamos stresinės situacijos, kurioje žmogus yra spaudžiamas veikti negalvojant. Užpuolikai dažnai skambina aukoms telefonu ir bando išgąsdinti, kad šios imtųsi neapgalvotų veiksmų. Pvz., pranešama, kad kažkas bandė pasinaudoti aukos kredito kortele arba kad auka pamiršo susimokėti baudą. Kai žmonių emocijos užgožia sveiką protą, jie atskleidžia internetinės bankininkystės ir kitus asmens duomenis nė nesusimąstydami.
• Duomenų viliojimas tekstine žinute. Duomenų viliojimo tekstine žinute (arba duomenų viliojimo SMS žinute) metu sukčius išsiunčia aukai SMS žinutę, kuri atrodo tarsi būtų siunčiama patikimos organizacijos. Žinutėje aukos gali būti prašoma paspausti nuorodą ir pateikti asmeninę informaciją ar patvirtinti paskyros duomenis. Žinutėje esanti nuoroda gali nukreipti į svetainę, kuri atrodys teisėtai, tačiau tai bus duomenims vilioti skirta svetainė, skirta asmeninei informacijai vogti.
• Duomenų viliojimas socialiniuose tinkluose. Duomenų viliojimas socialiniuose tinkluose yra naujas duomenų viliojimo būdas, naudojamas socialiniuose tinkluose. Užpuolikai apsimeta socialinių tinklų klientų aptarnavimo atstovais ir apgauna aukas, kad šios atskleistų asmens duomenis ar paskyros informaciją.

Realūs duomenų viliojimo atakų pavyzdžiai

Daugybė įmonių ir asmenų nukentėjo nuo duomenų viliojimo atakų. Dauguma buvo apgauti naudojant AOL duomenų viliojimo el. laiškus ar suklastotas svetaines. Kiti patyrė atakas, kuriose buvo pasitelktos „Amazon“ ir socialinių tinklų duomenų viliojimo nuorodos. Toliau pateikiame kelis realius duomenų viliojimo atakų pavyzdžius.

• „Facebook“ saugos įspėjimų afera. 2018 m. „Facebook“ naudotojai gavo „Facebook“ duomenų viliojimo el. laiškus su netikrais saugos įspėjimais ir nuorodomis paskyroms apsaugoti. Šios nuorodos nukreipė į netikrą prisijungimo prie „Facebook“ puslapį, kur naudotojai buvo raginami įvesti savo prisijungimo duomenis. Įvedus informaciją, paskyros pateko į užpuolikų rankas. „Facebook“ nėra vienintelė socialinių tinklų svetainė, kuri patyrė duomenų viliojimo atakų. Duomenų viliojimo atakos „Instagram“ ir „LinkedIn“ socialiniuose tinkluose taip pat sukėlė reikšmingos žalos naudotojams.
• Neteisėto prisijungimo prie „Coinbase“ afera. Įpusėjus COVID-19 pandemijai, plačiai paplito į „Coinbase“ platformos naudotojus nukreipti duomenų viliojimo laiškai, kuriuose buvo teigiama, kad bandyta neteisėtai prisijungti prie naudotojo paskyros. El. laiške buvo nuoroda, nukreipianti į suklastotą „Coinbase“ svetainę, ir raginimas naudotojams prisijungti ir patvirtinti savo tapatybę. Kai tik naudotojai įvesdavo savo prisijungimo duomenis, užpuolikai gaudavo prieigą prie jų „Coinbase“ paskyrų.
• Amerikos banko saugos įspėjimų afera. 2021 m. duomenų viliotojai suklastojo Amerikos banko el. laiškus, kad apgautų nieko neįtariančius asmenis. El. laiškuose buvo teigiama, kad gavėjo sąskaitoje vykdoma įtartina veikla ir kad dėl saugumo sąskaita buvo laikinai užblokuota. Gavėjai buvo raginami spustelėti nuorodą ir patvirtinti savo tapatybes, kad atblokuotų sąskaitas. Savaime suprantama, kad nuoroda nukreipė į suklastotą svetainę ir atskleidė naudotojų prisijungimo informaciją apgavikams. Žmonės prarado pinigų, kilo pavojus sąskaitoms ir buvo įvykdyta kitų apgavysčių. Panašiai nutiko ir kitų finansinių bei valstybės institucijų klientams, kurie nukentėjo nuo duomenų viliojimo atakų. USPS duomenų viliojimo el. laiškais aferos ir „Wells Fargo“ duomenų viliojimo atakos yra tik dar keli pavyzdžiai, kai nuo duomenų viliojimo atakų nukentėjo didelių įmonių klientai.

Bandymų išvilioti duomenis atpažinimo būdai

Duomenų viliotojai turi būdų įtikinti aukas spustelėti nuorodą ar atsisiųsti kenkėjišką failą. Tačiau, jei geriau įsižiūrėsite ir pastebėsite duomenų viliojimo atakos požymius, būsite kibernetinių nusikaltėlių priešakyje. Toliau pateikiame būdus, kaip galima atpažinti duomenų viliojimo atakas.

• Stebėkite, ar žinutėje nesukuriamas skubos pojūtis. Daugumoje duomenų viliojimo atakų pasikliaujama žmonių baime kažką praleisti ir noru kuo greičiau priimti sprendimą. Užkietėjęs prekių ženklo gerbėjas, pamatęs puikų trumpalaikį pasiūlymą, gali spustelėti nuorodą el. laiške ar SMS žinutėje net nesusimąstęs.
• Ieškokite rašybos ir gramatikos klaidų. Ar yra gramatikos klaidų? Ar atrodo, kad žinutė parašyta netinkamu stiliumi? Šie veiksniai gali būti galimo duomenų viliojimo požymiai. Teisėtų įmonių ir organizacijų pranešimai paprastai būna parašyti be klaidų. Be to, visada patikrinkite, ar teikiamoje nuorodoje nėra žodžių ar pavadinimų su rašybos klaidomis. Socialinės inžinerijos ataka, vadinama panašaus domeno vardo užėmimu (angl. typosquatting), yra nukreipta į žmones, kurie daro klaidas rašydami domenų vardus.
• Saugokitės netikėtų priedų ar nuorodų. Paprastai įmonės nesiunčia naujienlaiškių, įspėjamųjų el. laiškų ir kitų pranešimų su priedais – tam dažniausiai nėra jokios priežasties. Naudokite nuorodų tikrinimo įrankius ir papildomai patikrinkite įtartinas nuorodas. Taip pat saugokitės kenkėjiškų nuorodų, ypač jei el. laišką gavote netikėtai. Niekada neatsisiųskite ir neatidarykite priedų.
• Atsargiai žvelkite į bendruosius pasisveikinimus. Kenkėjiški el. laiškai dažnai yra siunčiami didelėms žmonių grupėms ir juose paprastai naudojami bendrieji pasisveikinimai, pvz., „Gerb. kliente“, vietoj jūsų vardo.
• Įsitikinkite, kad pažįstate siuntėją. Jei mažai žinomos paslaugos teikėjas jums atsiuntė ypatingą pasiūlymą, kuris atrodo per geras, arba gavote įspėjimą apie pakeistus paskyros slaptažodžius, greičiausiai tai yra kibernetinė afera. Vis tik, jei susirūpinote ir norite patikrinti informaciją, kreipkitės į siuntėją tiesiogiai parašydami oficialaus el. pašto adresu arba paskambindami telefonu (pasinaudokite internetu, kad sužinotumėte oficialius kontaktinius duomenis, o ne atsakykite į atsiųstą laišką).

Atminkite, kad sukčiai kasdien tampa vis gudresni. Išlikite skeptiški gavę neprašytų el. laiškų ar žinučių, nesvarbu, kaip skubu tai atrodo.

Veiksmai, kurių reikia imtis duomenų viliojimo atveju

Pastebėjus duomenų viliojimo atvejį arba tapus duomenų viliojimo auką, būtina veikti kuo greičiau. Toliau aprašoma, ką daryti gavus duomenų viliojimo el. laišką ir kokių veiksmų imtis tapus duomenų viliojimo auka.

Jei gavote el. laišką ar žinutę, kurioje prašoma paspausti nuorodą ar atsisiųsti priedą, įsitikinkite, kad pažįstate siuntėją ar įmonę, kuri bando su jumis susisiekti. Veikite tik patikrinę.

Jei gavote el. laišką iš žinomos įmonės, pabandykite su ja susisiekti kitais būdais. Paieškokite įmonės telefono numerio arba oficialaus el. pašto adreso ir paklauskite, ar el. laiškas nėra apgaulė.

Jei neturite jokių ryšių su įmone, kuri atsiuntė jums laišką, ieškokite duomenų viliojimo atakos požymių. Jei el. laiškas įtartinas, būtinai praneškite apie bandymą išvilioti duomenis ir ištrinkite el. laišką. Jei netyčia atidarėte duomenų viliojimo el. laišką, nespauskite jokių nuorodų, praneškite apie jį ir iškart ištrinkite.

Jei paspaudėte duomenų viliojimo nuorodą, elkitės išmintingai ir pakeiskite svarbiausių paslaugų paskyrų slaptažodžius (pvz., el. pašto, banko, debesijos paslaugos ar socialinio tinklo). Be to, akylai stebėkite finansines paskyras, kad duomenų viliotojai nepavogtų jūsų pinigų.

Jei bankinę informaciją įvedėte kenkėjiškoje svetainėje, į kurią patekote iš duomenų viliojimo el. laiško, privalote nedelsdami reaguoti. Kreipkitės į banko klientų aptarnavimo skyrių ir praneškite apie įvykį. Jie imsis veiksmų, kad jūsų informacija nebūtų panaudota neteisėtai.

Jei atskleidėte savo asmeninę informaciją, pvz., socialinio draudimo numerį, kontaktinę informaciją ar namų adresą, pakeiskite slaptažodžius, kreipkitės į atitinkamas valdžios institucijas ir akylai stebėkite finansines bei asmenines paskyras – tam turite skirti didžiausią dėmesį.

Būdai apsisaugoti nuo duomenų viliojimo

Duomenų viliojimo atakos niekur nedings. Net jei niekada tokios nepatyrėte, greičiausiai taikiniu tapsite ateityje. Toliau pateikiame kelis patarimus, kaip apsisaugoti ir išvengti duomenų viliojimo, kad jis nepaveiktų jūsų kasdienio gyvenimo.

• Naudokite antivirusinę programinę įrangą. Dauguma patikimų antivirusinių paslaugų teikėjų teikia įrankių, kurie apsaugo nuo duomenų viliojimo. Naudokite juos ir naudokite tokias paslaugas kaip „NordVPN“, kurioms suteiktas apsaugos nuo duomenų viliojimo sertifikatas ir kurios veiksmingai saugo nuo duomenų viliojimo atakų.
• Įjunkite dviejų veiksnių autentifikavimo (2FA) funkciją. Bandyti perimti paskyras kur kas sunkiau, kai jos apsaugotos 2FA. Naudokite šias priemones visose svarbiose paskyrose ir netvirtinkite jokių įtartinų prašymų patvirtinti tapatybę.
• Naudokite brukalo filtrus. Geriausias būdas apsisaugoti nuo duomenų viliojimo el. laiškų yra užtikrinti, kad jie nepatektų į jūsų pašto dėžutę. Naudojant filtrus yra mažesnė tikimybė netyčia atidaryti el. laišką su kenkėjiškomis nuorodomis ar priedais. Kad būtų dar saugiau, tokį turinį automatiškai nustatyti ir blokuoti padės kovai su duomenų viliojimu skirti įrankiai.
• Įsigykite el. laiškų priedų filtrą. „NordVPN“ funkcija „ Threat Protection Pro™ “ skirta apsaugoti jus nuo bandymų išvilioti duomenis. Tai yra saugos funkcija, kuri naršant jus saugo nuo kenkėjiškos programinės įrangos. Ji nuskaito atsisiunčiamus failus ir blokuoja kenkėjišką turinį jam dar nepasiekus įrenginio.
• Išmokite atpažinti. Šiek tiek pasipraktikavę galite išmokti lengvai atpažinti duomenų viliojimo el. laiškus. Svarbios net smulkmenos. Jei jūsų vadovas visada pasirašo el. laiškus „Ačiū!“, tačiau šįkart parašyta „Pagarbiai“, geriau patikrinti ir įsitikinti. Jei tai liečia įmonės paslaptis ir dideles pinigų sumas, niekada nebūsite per daug atsargūs.
• Visada atnaujinkite programinę įrangą. Atnaujinti programinę įrangą yra būtina saugantis saugumo spragų ir kibernetinių atakų. Programinės įrangos naujiniuose paprastai yra apsauga nuo naujausių grėsmę keliančių veiksnių.
• Naudokite slaptažodžių tvarkyklę. Kiekvienai paskyrai internete kurkite ir saugokite sudėtingus, unikalius slaptažodžius.
• Nepraraskite budrumo. Būkite skeptiški ir nedvejodami tikrinkite el. laiškų ir svetainių autentiškumą.