Prieš kelerius metus darbuotojus mokėme atpažinti phishing laiškus pagal paprastus požymius: rašybos klaidos, keista lietuvių kalba, bendras kreipinys „Gerb. kliente“, įtartinas siuntėjo adresas. Tai veikė, nes dauguma laiškų buvo verčiami automatiškai ir rašomi žmonių, kurie lietuviškai nemokėjo.
2026 metais ši taisyklė nebeveikia. Dirbtinio intelekto kalbos modeliai rašo sklandžiai lietuviškai, pritaiko toną pagal įmonės viešus tekstus, žino, kaip vadinasi jūsų vadovas ir kada vyksta metinis uždarymas. Laiškas, kuris anksčiau būtų atrodęs kaip akivaizdi apgaulė, dabar atrodo kaip paprastas kolegos prašymas.
Šiame straipsnyje aprašome, kaip atrodo dabartiniai laiškai, kokie scenarijai dažniausi Lietuvos įmonėse, kokios techninės priemonės sustabdo didžiąją dalį dar prieš pasiekiant darbuotoją, ir kaip mokyti žmones taip, kad jie praneštų, o ne slėptų.
Kodėl seni požymiai nebeveikia
Trys dalykai pasikeitė.
Kalba. Modelis sugeneruoja laišką be klaidų, su tinkamais linksniais ir įmonės žargonu. Jei viešai skelbiate naujienas ar darbo skelbimus, jis pakartos jūsų stilių.
Kontekstas. Iš socialinių tinklų, įmonės svetainės ir viešų registrų užpuolikas per minutes sužino, kas yra finansų vadovas, kas buhalterė, kas naujas darbuotojas (ir todėl dar nežino įprastų procesų). Laiškas kreipiasi vardu ir mini tikrą projektą.
Mastas. Anksčiau personalizuotas laiškas reikalavo žmogaus laiko, todėl buvo skirtas tik didelėms įmonėms. Dabar personalizavimas automatinis, todėl 15 darbuotojų įmonė gauna tokios pat kokybės laišką kaip bankas.
Kanalai. Laiškas vis dažniau tik pradžia: po jo seka Teams žinutė, skambutis ar SMS, kad prašymas atrodytų patvirtintas iš kelių pusių. Darbuotojas, kuris įpratęs tikrinti tik paštą, kitų kanalų nesutikrina.
Išvada mokymams: nebemokykite ieškoti klaidų. Mokykite atpažinti situaciją – neįprastą prašymą, skubą ir kanalo pakeitimą.
Trys scenarijai, kuriuos matome dažniausiai
Vadovo apsimetimas
Buhalterė gauna laišką nuo „direktoriaus“: esu susitikime, negaliu kalbėti, reikia skubiai apmokėti sąskaitą partneriui, prisegu, patvirtink, kai atliksi. Siuntėjo adresas – arba labai panašus į tikrą (viena raidė skiriasi), arba tikras, bet su pakeistu atsakymo adresu (Reply-To). Vis dažniau laiškas tęsiamas SMS žinute ar net balso skambučiu su sintezuotu vadovo balsu. Požymis, kurį verta įsiminti: tikras vadovas, kuriam reikia skubaus mokėjimo, paskambins pats. Laiškas, kuris prašo neskambinti, jau yra įtartinas.
Sąskaitų rekvizitų keitimas
Tiekėjas, su kuriuo dirbate metus, atsiunčia laišką: pasikeitė mūsų banko sąskaita, prašome ateities mokėjimus pervesti į naują. Dažnai laiškas ateina iš tikros tiekėjo pašto dėžutės, nes užpuolikas pirmiausia įsilaužė pas tiekėją ir kelias savaites skaitė susirašinėjimą. Jis žino, kurios sąskaitos laukiamos ir kada.
QR kodai
Laiškas su QR kodu: jūsų Microsoft 365 slaptažodis baigia galioti, nuskaitykite kodą ir atnaujinkite. Pašto filtrai tikrina nuorodas, bet QR kodas – paveikslėlis, ir nuoroda jame filtrui nematoma. Darbuotojas nuskaito telefonu, kuris dažnai nėra įmonės valdomas ir neturi apsaugos, ir patenka į netikrą prisijungimo puslapį. Panašiai veikia HTML priedai ar nuorodos į teisėtas failų dalijimosi paslaugas, kuriose padėta netikra prisijungimo forma – filtras mato žinomą domeną ir laišką praleidžia.
Bendras bruožas: nė vienas scenarijus nereikalauja techninio pažeidžiamumo. Reikia tik žmogaus, kuris paskubės.
Techninės priemonės, kurios sustabdo daugumą
Darbuotojas turi būti paskutinė, o ne pirmoji gynybos linija. Mūsų klientams standartiškai diegiame:
- Pašto autentifikavimas: SPF, DKIM ir DMARC su atmetimo politika jūsų domenui. Tai neleidžia siųsti laiškų jūsų vardu iš svetimų serverių, ir atvirkščiai – leidžia jūsų filtrui atmesti laiškus, apsimetančius tiekėjais, kurie savo domeną apsaugojo.
- Microsoft 365 apsauga nuo phishing: nuorodų perrašymas ir tikrinimas paspaudimo metu, priedų atidarymas izoliuotoje aplinkoje, apsimetinėjimo vadovais aptikimas pagal vardų panašumą, įspėjimo juosta ant laiškų iš išorės. Tai aprašome Microsoft 365 saugumo puslapyje.
- Daugiafaktorinis autentifikavimas su phishing atspariais metodais ir sąlygine prieiga per Microsoft Entra ID. Net jei darbuotojas įves slaptažodį į netikrą puslapį, užpuolikas be antro faktoriaus neprisijungs.
- Pranešimo mygtukas pašto programoje. Vienas paspaudimas „Pranešti apie phishing“ – laiškas iškeliauja mūsų komandai, kuri patikrina ir, jei reikia, pašalina jį iš visų dėžučių. Tai svarbiausia priemonė kultūrai: pranešti turi būti lengviau nei ignoruoti.
- Mokėjimų procesas ne el. pašte. Sąskaitos rekvizitų keitimas patvirtinamas skambučiu žinomu numeriu, ne atsakymu į laišką. Tai ne IT, o finansų taisyklė, bet ji sustabdo daugiausia žalos.
Nė viena iš šių priemonių neveikia šimtu procentų, bet kartu jos sumažina darbuotoją pasiekiančių laiškų skaičių tiek, kad likusius galima aptarti mokymų metu kaip konkrečius pavyzdžius, o ne abstrakčias grėsmes. Mobiliesiems įrenginiams, kuriais nuskaitomi QR kodai, tas pats galioja per įrenginių valdymą ir naršyklės apsaugą telefone.
Simuliacijos ir mokymai be gėdinimo
Phishing simuliacijos – kai įmonė pati siunčia darbuotojams netikrus laiškus ir matuoja, kas paspaudė – naudingos, bet dažnai daromos blogai. Blogai atrodo taip: netikėta simuliacija su labai įtikinamu laišku, viešas „paspaudusiųjų“ sąrašas, privalomi mokymai kaip bausmė. Rezultatas – darbuotojai bijo IT skyriaus ir, kai tikrai paspaudžia tikrą laišką, tyli, o tai blogiausia, kas gali nutikti.
Mūsų praktikoje veikia kitokia tvarka:
- Pirmiausia paskelbkite, kad simuliacijos vyks, ir paaiškinkite kodėl. Netikėtumas nėra tikslas.
- Matuokite ne paspaudimų, o pranešimų dalį. Tikslas – kad daugiau žmonių paspaustų „Pranešti“, o ne kad mažiau paspaustų nuorodą.
- Paspaudusiam rodykite trumpą paaiškinimą iš karto, čia pat: kas buvo laiške neįprasto. Dvi minutės tuo metu vertos daugiau nei valanda mokymų po mėnesio.
- Rezultatus skelbkite tik skyrių ar įmonės lygiu, niekada pavardėmis.
- Mokymus darykite trumpus ir dažnus: 10 minučių kas ketvirtį su tikrais pavyzdžiais iš jūsų pašto, ne valandinė paskaita kartą per metus.
- Kai darbuotojas praneša apie tikrą laišką – padėkokite viešai. Tai vienintelis būdas, kad pranešimų daugėtų.
Įvykus tikram incidentui svarbiausia pirmoji reakcija: darbuotojas, kuris per 10 minučių paskambino ir pasakė „atrodo, įvedžiau slaptažodį“, suteikia laiko slaptažodį pakeisti ir sesijas nutraukti. Tas, kuris tylėjo dvi dienas, – ne.
Todėl pirmoji taisyklė, kurią kartojame kiekvienuose mokymuose: už pranešimą apie savo klaidą niekas nebaudžiamas. Kai darbuotojai tuo tiki, incidentas kainuoja valandas, o ne savaites.
Nuo ko pradėti
- Patikrinkite savo domeno DMARC politiką – jei jos nėra arba ji nustatyta tik stebėti, jūsų vardu gali rašyti bet kas.
- Įjunkite pranešimo mygtuką visiems ir sutarkite, kas gautus pranešimus peržiūri tą pačią dieną.
- Patvirtinkite su finansų skyriumi rašytinę taisyklę: rekvizitų keitimas tik skambučiu žinomu numeriu.
- Suplanuokite pirmą simuliaciją su išankstiniu pranešimu ir trumpu paaiškinimu paspaudusiems.
- Jei neturite, kas tai nuolat prižiūrėtų, pašto apsaugos konfigūravimas, pranešimų peržiūra ir ketvirtinės simuliacijos įeina į mūsų IT priežiūros paslaugą, o platesnį žmonių ir procesų vertinimą atliekame per IT saugumo auditą.
