Nutekėjus Registrų centro duomenims, ekspertai įspėja apie personalizuotas sukčių atakas

„Nusikaltėliai sistemose netrukdomai galėjo veikti kelis mėnesius. Tai reiškia, kad duomenys buvo renkami tyliai ir sistemingai, o piktavaliai turėjo daug laiko juos analizuoti, klasifikuoti ir pasiruošti tikslinėms atakoms. Pirminiai vertinimai apie neva mažą žalą dažnai apgauna. Čia panašiai kaip su samčiu semti sriubą – niekada tiksliai nežinai, ko pasemsi: jeigu jie keturis mėnesius turėjo prieigą, galėjo tiesiog imti viską, kas tuo metu buvo pasiekiama. Tikrasis šio nutekėjimo mastas ir pasekmės išryškės tik po kurio laiko“, – sako D. Povilaitis.

Duomenis jau galėjo sugrupuoti ir parduoti

Pasinaudoję nutekėjusiais duomenimis, programišiai gali atakuoti labai tiksliai ir iš anksto pasiruošę. D. Povilaitis perspėja, kad labiausiai gąsdina tai, kaip tiksliai sukčiai dabar gali skambinti ar siųsti SMS žinutes. Gavę unikalų asmens kodo, vardo, pavardės ir nekilnojamojo turto adreso rinkinį, sukčiai geba kurti neįtikėtinai tikroviškas apgaulės schemas.

„Įsivaizduokite, kad jums skambina apsimetėlis iš banko, VMI ar policijos ir operuoja tiksliais duomenimis – pavyzdžiui, teigia, kad jūsų turtą konkrečiu adresu kažkas neteisėtai įkeitė, ir prašo skubiai patvirtinti tapatybę. Kai sukčiai žino tokias detales, jie lengvai išmuša žmogų iš pusiausvyros. Be to, nors patys el. pašto adresai šiame incidente tariamai nenutekėjo, asmens kodas Lietuvoje veikia kaip universalus identifikatorius. Sukčiai potencialiai gali sukryžminti šį sąrašą su kitais juodojoje rinkoje prieinamais duomenų rinkiniais iš senesnių nutekėjimų ir taip sugeneruoti pilnus aukų profilius, kad galėtų atakuoti personalizuotai“, – teigia D. Povilaitis.

Sukčiai taip pat gali kėsintis į nekilnojamąjį turtą ar vogti tapatybes. Nors be notaro patvirtinimo parduoti ar įkeisti NT nepavyks, piktavaliai gali pasinaudoti šia informacija, kai pildo greitųjų kreditų paraiškas su tikrais asmens duomenimis, ar bando apgauti bankus pasitelkę sudėtingas socialinės inžinerijos schemas. Ekspertas pastebi, kad taip nutekėję duomenys leidžia piktavaliams strategiškai profiliuoti taikinius.

Pasak eksperto, šis įvykis ypač pavojingas, nes nusikaltėliai įgijo strateginį pranašumą. Kai jie žino asmens kodą, vardą ir pavardę, lengvai apgauna tapatybės patvirtinimo sistemas, o sužinoję adresą – nustato fizinę lokaciją ir taip psichologiškai spaudžia aukas. Kadangi piktavaliai pavogė daugiau nei 600 tūkstančių įrašų, jie gali automatizuoti didelio masto atakas. Nusikaltėliai veikė ilgai ir nepastebėti, tikėtina, jog jie jau išanalizavo ir tikslingai sugrupavo duomenis juodojoje rinkoje, o jei įsitraukė užsienio valstybės – galime susidurti ir su valstybinio lygio žvalgyba.

„Didžiausią sisteminę klaidą lėmė tai, kad pats Registrų centras nepakankamai kontroliavo prieigas. Šiuolaikinėje kibernetinėje erdvėje, kai valstybė valdo tokios svarbos duomenis, dviejų faktorių autentifikacija (2FA) privalo veikti kaip geležinis standartas visiems trečiųjų šalių integracijos taškams, o ne kaip pasirenkama išimtis. Kai prie valstybinių registrų leidžiama jungtis naudojant tik vartotojo vardą ir slaptažodį, tai rodo, kad trūksta paprasčiausių saugumo žingsnių“, – pabrėžia kibernetinio saugumo vadovas.

Pagrindinis taikinys – gyventojų piniginė: kaip apsisaugoti?

Kadangi pakeisti gyvenamąją vietą kur kas sunkiau nei slaptažodį, ekspertai ragina skubiai keisti kasdienius finansinius įpročius ir labiau saugotis. D. Povilaitis pataria nelaikyti didelių pinigų sumų tose sąskaitose, kurios susietos su kasdien naudojamomis mokėjimo kortelėmis. Kasdieniams atsiskaitymams verta rinktis saugesnius mokėjimo būdus, tokius kaip „Apple Pay“, „Google Pay“ ar „Revolut“.

„Suprantama, kad tokio dydžio duomenų vagystės kelia nerimą, tačiau svarbiausia – nepasiduoti panikai. Kad ir kokias gąsdinančias schemas nusikaltėliai bekurtų, galiausiai jie siekia vieno – jūsų pinigų. Paprasčiausias būdas juos apsaugoti yra internete nenaudoti savo pagrindinės mokėjimo kortelės ir mąstyti blaiviai, kritiškai“, – pataria D. Povilaitis.

„Publicum“ informacija