Kaip antradienį pranešė Krašto apsaugos ministerija (KAM), šį scenarijų pasirinkusių organizacijų darbuotojams buvo parodytas įspėjimas, kad jų failai esą užšifruoti, ir reikalauta įvesti slaptažodį su pažadu galbūt juos atšifruoti.

Nesulaukus darbuotojo reakcijos per minutę, buvo paleidžiama fiktyvi „Windows“ įrenginio perkrovimo animacija, po kurios vėl pateikiamas suklastotas prisijungimo langas – dar viena surežisuota galimybė piktavaliams rinkti duomenis.

NKSC duomenimis, tik 1 proc. šiame scenarijuje dalyvavusių darbuotojų suvedė prisijungimo duomenis. Dauguma atpažino grėsmę, neįvedė duomenų ir pranešė apie incidentą savo organizacijos kibernetinio saugumo kolegoms.

Pratybų dalyviai galėjo taikyti iš viso tris realias atakas imituojančius sukčiavimo scenarijus, kurie leidžia įvertinti organizacijų atsparumo lygį. Buvo išsiųsta per 120 tūkst. el. laiškų, paremtų socialinės inžinerijos metodais ir pritaikytų pagal organizacijos atstovo pateiktą informaciją, siekiant padidinti jų įtaigumą.

„Microsoft“ scenarijuje darbuotojai iš savo „tiesioginio vadovo“ gavo fiktyvų kvietimą peržiūrėti bendrinamą dokumentą „Office 365“ debesijos platformoje. Paspaudus nuorodą, atvaizduotas suklastotas „Microsoft“ prisijungimo langas, prašantis suvesti slaptažodį.

Šis scenarijus buvo sunkiausiai atpažįstamas – apie jį pranešė tik 3,9 proc. darbuotojų, o 8,5 proc. darbuotojų buvo įtikinti pateikti savo prisijungimo duomenis.

Neegzistuojančios „SignDoks“ platformos scenarijuje imituota dokumentų pasirašymo el. parašu paslauga. Laiške sukčiai ragino darbuotoją prisijungti ir patvirtinti tapatybę – įvesti telefono numerį bei paskutinius keturis asmens kodo skaitmenis.

Ekrane pasirodydavo pranešimas, esą vartotojui išsiųstas patvirtinimo kodas. Šio nesulaukus, „SignDoks“ daugeliui sukėlė įtarimą: prisijungimo duomenis pateikė 6 proc. darbuotojų ir 11,8 proc. pranešė apie įtartiną laišką.

NKSC duomenimis, daugiau pratybose dalyvavusių darbuotojų pranešė apie įtartinus laiškus (8 tūkst. 417) nei pateikė jautrius duomenis (8 tūkst. 29).

Kaip pažymėjo centras, tai tęsia per praėjusias pratybas birželį užfiksuotą teigiamą tendenciją, kai pranešimų skaičius (5,5 tūkst.) pirmą kartą viršijo sukčiams duomenis pateikusių darbuotojų skaičių (4,9 tūkst.).

Pasak NKSC, nors socialinės inžinerijos grėsmės atpažįstamos geriau, įtikinami sukčiavimo laiškai išlieka grėsme. Ypač pavojingi atvejai, kai pasitelkiamos atpažįstamos platformos ar autoritetingų asmenų vardu siunčiami apgaulingi pranešimai.

„Pratybomis „PhishEx” siekiame padėti darbuotojams lavinti kritinį mąstymą ir formuoti įprotį – pastebėjus įtartiną laišką, nedelsiant pranešti IT ar kibernetinio saugumo kolegoms. Tokios nuosekliai ir periodiškai vykdomos pratybos padeda ne tik geriau suprasti socialinės inžinerijos metodus, bet ir didina organizacijų pasirengimą atremti kibernetines grėsmes“, – pranešime cituojamas NKSC direktorius Antanas Aleknavičius.

Pratybos „Kibernetinis skydas – PhishEx“ vyko rugsėjo 29 – spalio 3 dienomis.

Į šias reguliarias socialinės inžinerijos pratybas NKSC kviečia visas organizacijas, įtrauktas į Kibernetinio saugumo subjektų sąrašą ir prisijungusias prie Kibernetinio saugumo informacinės sistemos.