– Tai ką žinome? Jūsų tyrėjai dirbo dar prieš savaitgalį. Jūs gavote iki vakaro dar tam tikrą informaciją.

– Tai komanda, nuvykus į vietą, surinko kiek įmanoma galimų įkalčių, meta duomenų, iš kurių būtų galima ištraukti daugiau informacijos apie pačią ataką. Tai yra standartinis incidento tyrimo procesas, kurio metu kartais pavyksta atrasti raktus, kuriais buvo užkriptuoti duomenys ir sistemos. Tačiau statistika čia yra niūri, nes labai retai pavyksta aptikti tokių nusikaltėlių klaidų. Čia svarbu, kad kripto atakos yra aktyvios 15 metų ir labai ištobulėjo. Jeigu pradžioje atakos buvo daromos ir paliekama daug klaidų, pavyzdžiui, kriptavimo raktai paliekami kažkokioje vienoje mašinoje, būdavo didesnė galimybė su tais raktais atstatyti informaciją. Deja, šiuo metu atakos yra labai ištobulintos ir visas atakos procesas taip saugiai sudėliojamas, kad po kiekvieno veiksmo automatu naikinami ir įkalčiai, ir raktai, ir visa informacija, kuri leistų ištirti pačią ataką.

Visas LNK reportažas – vaizdo įraše:

– Ar jau galime sakyti, kokia žala padaryta? Girdėjome, kad sustojo internetinių svetainių veikimas, buvo ištrinti tam tikri duomenys. Gal taip pat kalbama ir apie asmeninius duomenis, kurie buvo ištrinti?

– Tai pačios kriptavimo atakos principas ir yra pirmiausiai ištraukti visus duomenis, nes juos vėliau siūlys išsipirkti. Tai jeigu taip ir yra, nusikaltėliai lėtai ištraukinėja visus duomenis, kuriuos vėliau bandys jums parduoti, na, su komerciniu pasiūlymu, kaip mes juokaujame. Gauni laišką, kad jei sumokėsi kažkokią pinigų sumą – kaip taisyklė, tai būna milžiniškos sumos – atgausi duomenis. Tačiau statistiškai tik 50 proc. nusikaltėlių, gavę pinigus, ryžtasi atidavinėti tuos duomenis. Taip yra todėl, kad nusikaltėliai ne kvaili. Kai auka jau linkusi sumokėti išpirką, jie puikiai supranta, kad šalia jau stovės institucijos, kurios bandys juos pagauti. Todėl gavę pinigus net nerizikuoja ir nesilaiko duoto žodžio grąžinti duomenis. Tai dėl duomenų situacija tokia. Dabar poveikis ar žala… Viešajame sektoriuje ne viską gali išmatuoti finansiniais nuostoliais. Jeigu komercinėje organizacijoje gali pasakyt, kad sustojo prekyba, gali pasiskaičiuoti nuostolį, šitoj vietoj mes kalbam apie sutrikusias viešas paslaugas ir ta žala yra truputį kitokia. Ji apskaičiuojama sudėtingiau, bet irgi apskaičiuojama, kaip, pavyzdžiui, kiek žmonių negaus laiku išmokų. Jiems tai gali lemti kažką ir negero.

– Kalbant apie išpirkas, ar šiuo atveju buvo gautas tas „komercinis pasiūlymas“?

– Kaip informavo administracijos vadovas, tikrai gavo ir įvardijo kelių šimtų tūkstančių dolerių išpirkos prašymą.

– Programišiai, kaip žinome, taip pat pasiekė ir atsargines kopijas. Kaip tai galėjo nutikti?

– Atakos labai ištobulėjo ir nusikaltėliai puikiai žino, kad jų atakos sėkmė priklausys nuo to, kiek auka turi galimybių atkurti jų padarytą žalą. Šiuo atveju panašu, kad kopijos tikrai buvo ir, panašu, kad buvo padarytos techninės administracinės klaidos, kurios leido nusikaltėliams prieš pradedant produkcijos duomenų kriptavimą, lygiagrečiai užkriptuoti ir atsargines kopijas.

Buvo padarytos techninės administracinės klaidos, kurios leido nusikaltėliams prieš pradedant produkcijos duomenų kriptavimą, lygiagrečiai užkriptuoti ir atsargines kopijas.

– Ar jūs galėtumėte atkriptuoti, iššifruoti tas kopijas?

– Labai sudėtinga operacija ir praktiškai neįmanoma neturint rakto, su kuriuo buvo užkriptuoti duomenys. Jeigu komandai netyčia – tikimybė itin maža – pavyktų rasti raktus, tada yra tikimybė atkriptuoti duomenis atgal. Iš visų atakų tiek pasaulyje, tiek nacionaliniu lygmeniu šiai dienai rasti tokią klaidą tikimybė arti nulio.

– Žinau, kad Telecentras taip pat turi serverius, tai yra valstybiniai serveriai. Jeigu ten laikytume duomenis, ar tai spręstų problemą?

– Iš dalies. Informacijos laikymas geografiškai kitoje vietoje valdo šią riziką. Tačiau kopijų turėjimas geografiškai kitoje vietoje dar turi būti padarytas ir saugiai. Vadinasi, duomenų kopijų darymas turi būti sustyguotas taip, kad ir prisijungimas būtų daug saugesnis, ir nusikaltėliai neturėtų galimybės labai lengvai prieiti. Na, ir kitos organizacinės ir techninės priemonės. Viena iš jų – tvarkingai sudėliotas atsarginių kopijų mechanizmas geba pamatyti, kad bandoma kriptuoti atsargines kopijas.

Kaip elgėsi darbuotojai, gavę tokius laiškus ir kokį pavojų tai kelia visai organizacijai, plačiau papasakojo NKSC vadovas Liudas Ališauskas.

– Ką rašėte tose žinutėse, kad kas penktas patikėjo ir atidarė?

– Šitos kompanijos metu, kuri jau antra šiais metais, turėjome keturis scenarijus. Du laiškai buvo su kvietimu aplankyti kažkokią svetainę, vienas buvo apie nepristatytą laišką su nuoroda. Du laiškai buvo nukreipiantys į išorę, o du laiškai buvo su priedais. Iš principo, jei tai būtų tikras, kenkėjiškas laiškas, atidarius laišką ar jo priedą to užtektų, kad nusikaltėlis turėtų galimybę įsilaužti į kompiuterį.

– Kokius laiškus žmonės spaudė labiau – su nuorodomis ar su priedais?

– Šį kartą labiau spaudė tuos, kuriuose buvo priedai. Vienas laiškas su nuorodomis buvo paspaustas tik 2 proc. testuojamų darbuotojų, kitas – 18 proc. darbuotojų.

Visas LNK reportažas – vaizdo įraše:

– Palyginus su pirma kampanija, ar žmonės atsargiau elgiasi, atidžiau pažiūri?

– Pirmoji kampanija buvo agresyvesnė. Svarbu paminėti, kad nusikaltėliai puikiai išmano technikas ir taiko agresyvumą kiekvieną dieną. Antroji kampanija buvo mažiau agresyvi.

Nusikaltėlių laiškų kokybė ir technika tikrai gerėja. Jei kyla nors menkiausias įtarimas, reikia neskubėti atidaryti ir pasitikrinti. Tai užtruks tik porą akimirkų.

– Ko jūs siekiate šiomis kampanijomis?

– Turime du tikslus. Norime didinti darbuotojų budrumą, neskubėjimą. Kai koks nors neaiškus laiškas mus pasiekia, kad neskubėtume daryti sprendimų, atidaryti priedų. Taip pat labai norime padidinti darbuotojų komunikaciją su organizacijos saugos komandomis. Siunčiame žinutę, kad jei taip atsitiko, kad darbuotojas pakliuvo, tai jam neturėtų būti gėda, bet jis turėtų informuoti atsakingus darbuotojus ar padalinius, kad šie galėtų imtis veiksmų.

– Kas nutinka, kai nors vienas įstaigos darbuotojas atidaro kenkėjišką laišką?

– Daug galimų scenarijų. Bet klasikiniu atveju nusikaltėlis gali šeimininkauti jūsų kompiuteryje. Ką tai reiškia? Tai reiškia, kad jis gali matyti dokumentus, pasiekti sistemas, kurias jūs, kaip darbuotojas, pasiekiate. Tokios užvaldytos darbo stotys tampa tarpine stotele toliau vystyti ataką – žiūrėti, kur jautresni duomenys, vykdyti įsilaužimus į kitus serverius.

– Jei darbuotojas atidarė tokį laišką, kiek svarbu, kad jis kuo greičiau kreiptųsi pas specialistą? Ar dar galima pataisyti tą situaciją?

– Reikia neskubėti susigėsti ir pasislėpti. Jei klasikinė nusikaltėlių kompanija pasirenka įmonę kaip taikinį, siunčia ne vieną ir ne du laiškus. Pirmas darbuotojas, kuris pastebi ir praneša, gali sudaryti sąlygas saugos kompanijai pašalinti visus laiškus, pasiekusius organizaciją, kurių dar galėjo neatidaryti kiti darbuotojai.

– Ar galima šiais laikais atidaryti bet kokias nuorodas? Jei siunčia „Sodra“, Valstybinė mokesčių inspekcija, kita institucija, ar reikia nueiti į jų puslapį ir pasitikrinti?

– Nusikaltėlių laiškų kokybė ir technika tikrai gerėja. Jei kyla nors menkiausias įtarimas, reikia neskubėti atidaryti ir pasitikrinti. Tai užtruks tik porą akimirkų.

– Ar ruošiate ir trečią kampaniją? Ar ji bus kitokia, ar siųsite panašias žinutes?

– Ir pavasarį vykdytos kampanijos metu, ir dabar vykdytos, mes, kaip centras, nesugalvojame scenarijų, o remiamės statistika, kurią stebime. Stebime, kaip veikia nusikaltėliai ir kartojame jų techniką. Metų gale pažiūrėsime, kokios technikos vyraus ir kopijuosime jų metodus. Labai tikėtina, kad laiškai bus apie Kalėdines dovanas.

„Apibendrinus visų dalyvavusių organizacijų rezultatus nustatyta, kad imitacinio laiško nepažino ir žalingus veiksmus atliko 14 proc. darbuotojų. Praėjusiais metais tokių darbuotojų buvo 13 proc.“, – nurodė ministerija.

Iš anksto neskelbtas pratybas gegužės 22–26 dienomis organizavo Nacionalinis kibernetinio saugumo centras (NKSC), jų metu buvo ugdomas personalo atsparumas duomenų viliojimo (angl. phishing) kibernetinėms atakoms.

„Šių ir praėjusių metų rezultatai yra labai panašūs, tačiau tenka pastebėti, kad vienas iš pratybų scenarijų, buvo gana tikroviškai imituojantis pranešimą apie baudą už kelių taisyklių pažeidimą, kurį buvo sunkiau atpažinti, todėl tame laiške buvusią nuorodą paspaudė net 27 proc. ir iš jų duomenis suvedė 16 proc. laiškų gavėjų“, – pranešime cituojamas NKSC direktorius Liudas Ališauskas.

Anot jo, pratybų rezultatai rodo, kad organizacijos turi daugiau dėmesio skirti darbuotojų kibernetinio atsparumo ugdymui ir švietimui.

„(...) Ypatingą dėmesį skiriant darbuotojų gebėjimų atpažinti apgaulingus laiškus ar žinutes ir tinkamai informuoti atsakingus asmenis organizacijose“, – sakė jis.

Iš viso pratybose „Kibernetinis skydas PhishEx 2023“ dalyvavo daugiau kaip 100 organizacijų, kurios yra Lietuvos ypatingos svarbos informacinės infrastruktūros ir valstybinių informacinių išteklių valdytojai ir (ar) tvarkytojai.

Šių organizacijų darbuotojams iš viso buvo išsiųsta daugiau kaip 52 tūkst. elektroninių laiškų. Pirmas dvi dienas imitacinių laiškų versijų išsiųsta daugiau, vėliau jų skaičius buvo sumažintas.

Kaip praneša ministerija, susitarime taip pat numatytas dalyvavimas kibernetinio saugumo renginiuose ir konferencijose.

„Kibernetinės grėsmės nepaiso sienų, todėl bendradarbiavimas su Izraeliu ir apsikeitimas aktualia informacija bei žiniomis padės sustiprinti mūsų abiejų šalių kibernetinį saugumą“, – cituojamas susitarimą pasirašęs Nacionalinio kibernetinio saugumo centro direktorius Liudas Ališauskas.

Vizito Izraelyje metu L. Ališauskas su Izraelio nacionalinio kibernetikos direktorato generaliniu direktoriumi Gaby Portnoy (Gabi Portnojumi) aptarė pastarųjų metų kibernetinio saugumo aplinkos pokyčius ir artimiausius praktinio bendradarbiavimo planus.

Kaip ketvirtadienį nurodė Krašto apsaugos ministerija (KAM), NKSC vadovas ypatingą dėmesį turės skirti Lietuvos kritinės infrastruktūros atsparumo kibernetinėms grėsmėms stiprinimui, kibernetinių incidentų valdymui ir visos valstybės kibernetinės brandos ugdymui.

Kartu jis turės užtikrinti, kad NKCS struktūra, finansiniai ir žmogiškieji ištekliai būtų optimalūs NKSC užduotims vykdyti.

L. Ališauskas yra baigęs Generolo Jono Žemaičio karo akademiją, 2004–2016 metais tarnavo kariuomenėje ir skirtinguose krašto apsaugos sistemos padaliniuose, nuo 2016-ųjų dirbo verslo sektoriuje ir buvo atsakingas už kibernetinio saugumo užtikrinimą energetikos ir finansų bendrovėse.

Ankstesnis NKSC vadovas Rytis Rainys kadenciją baigė balandį, tačiau KAM nuo praėjusio rudens vis nepavykdavo rasti jį galinčio pakeisti specialisto. Konkursas šioms pareigoms užimti rengtas trečią kartą.

Iki šiol laikinai NKSC vadovavo Jonas Skardinskas.

Nacionalinis kibernetinio saugumo centras savo veiklą pradėjo 2018 metais.

NKSC yra pagrindinė Lietuvos kibernetinio saugumo institucija, kuri atsakinga už vieningą kibernetinių incidentų valdymą, kibernetinio saugumo reikalavimų įgyvendinimo stebėseną ir kontrolę, ypatingos svarbos informacinės infrastruktūros kibernetinį saugumą ir informacinių išteklių akreditaciją.