„Natūralu, jog didėjant mūsų atsparumui sukčiai ieško naujų kelių mus apgauti. Naujos kartos atakos labiau personalizuotos, naudojant ne tik vardą ir pavardę, bet ir asmens kodą. Tai gali tapti vartais į kur kas pavojingesnes atakas“, – teigia „Telia“ atstovas Darius Povilaitis.
Apsimeta VMI
Naujojo tipo laiškuose aferistai prisidengia aktualią informaciją paprastai siunčiančia VMI ir praneša apie neva atsiradusią galimybę susigrąžinti dalį sumokėtų mokesčių. Tačiau kadangi šios institucijos imitavimas yra įprasta taktika, įspūdį bandoma sustiprinti viešojoje erdvėje neskelbiamais asmeniniais duomenimis.
„Laiške išvydęs savo pavardę ir teisingą asmens kodą, žmogus gali net neįtarti sukčiavimo. Juk tokios informacijos nerasi nei „Google“ paieškoje, nei socialiniuose tinkluose. Tokią privačią informaciją sukčiai gauna įsilaužę į įvairias svetaines arba „nulaužtų“ paskyrų duomenis įsigiję „juodajame tinkle“. Privati informacija naujosios atakos autorių rankose atsidūrė pastaruoju būdu – gavus prieigą prie nutekintos vartotojų duomenų bazės“, – teigia ekspertas. Tai sukčiams atriša rankas kurti daugybę atakų scenarijų. Iš pradžių imitavę VMI, po kurio laiko jie gali sugalvoti apsimesti policija ir prašyti sumokėti baudas arba vaidinti prokurorus, reikalaujant peržiūrėti informaciją apie išgalvotą bylą.
Laiške sukčiai patalpina nuorodą į VMI logotipo paveikslėlį, kurį dauguma elektroninio pašto dėžučių atvaizduoja pagal nutylėjimą. Savaime toks veiksmas nėra neteisėtas, nes įvairios įmonės darbuotojų elektroninių laiškų parašuose tokiu būdu taip pat rodo savo grafinius simbolius, o prekybininkai – reklamas. Vartotojo pašto dėžutė aferistams perduoda įvairios naudingos informacijos. Greta vardo, pavardės ir asmens kodo potencialios aukos „bylą“ papildžius šiais duomenimis, galima rengti dar rafinuotesnes atakas.
Pasitaiko, kai kartu su paveikslėliu prisegamos nuorodos arba QR kodai, vedantys į VMI sistemas imituojančius puslapius. Vartotojas raginamas juos atverti ir identifikuotis su savo elektroninės bankininkystės prisijungimais, kurie iškart patenka į nusikaltėlių rankas.
Kaip neužkibti?
Pirmas žingsnis, gavus tokį laišką, turėtų būti siuntėjo el. pašto adreso patikrinimas. Jei prisistatoma VMI, o siuntėjo el. pašto galūnė yra @cousleyandcompany, @mosapah.sbs ar bet kokia kita, nei @vmi.lt, mūsų mintyse tą pačią sekundę turėtų užsidegti raudona lemputė, ji turėtų sulaikyti nuo bet kokių prisegtukų ir internetinių adresų atvėrimo.
Klastą gali išduoti ir laiško turinys. Atakas dažnai rengia užsienio šalių piliečiai, todėl tekste gali būti klaidingi linksniai, sakiniai gali skambėti nenatūraliai ir atrodyti lyg išversti iš kitos kalbos. Valstybinės institucijos niekada nesiunčia laiškų su mūsų asmens kodu ar tiksliomis mokesčių permokų/skolų sumomis. Norint pasitikrinti su tuo susijusią informaciją, geriausia tai daryti jungiantis per oficialius įstaigų internetinius puslapius, o ne naudojant laiškuose prisegtas nuorodas.
„Atakų prevencijai el. pašto dėžutės nustatymuose reikėtų išjungti automatinį paveikslėlių atvaizdavimą ir aktyvuoti kaskart mūsų leidimo tam prašančią parinktį – „Ask before displaying external images“. Papildomo saugumo suteiks ir dviejų žingsnių autentifikavimo funkcijos įjungimas. Tuo metu tam, kad „fišingo“ laiško gavimo atveju galėtume atsekti mūsų duomenis nutekinusį šaltinį, kuriant paskyrą įvairiose svetainėse savo el. pašto adrese prieš simbolį „@“ reikėtų įrašyti ženklą „+“ ir tos svetainės pavadinimą, pavyzdžiui, vardenis.pavardenis+imone@gmail.com“, – pataria D. Povilaitis.
Pagal BNS inf.