Pernai Lietuvoje užregistruota beveik 4 tūkstančiai kibernetinių incidentų. Didžiausią dalį sudaro socialinės inžinerijos atakos, kai žmonės patys atiduoda savo duomenis sukčiams. Ekspertai sako: klausimas ne „ar būsite atakuoti”, o „kada”.
2024 metais Nacionalinis kibernetinio saugumo centras (NKSC) užregistravo 3 874 kibernetinius incidentus – tai net 63 procentais daugiau nei 2023 metais. Nors dalis augimo siejama su didesniu verslo ir gyventojų sąmoningumu pranešant apie incidentus, tendencija aiški: kibernetinės grėsmės intensyvėja.
„Kibernetinių incidentų augimas atskleidžia, kad kibernetinis saugumas yra neatsiejama nacionalinio saugumo dalis”, – pristatydamas metinę ataskaitą sakė krašto apsaugos viceministras Tomas Godliauskas.
Žmogus – silpniausia grandis
Pagrindinė žinia iš ataskaitos: didžiausia problema – ne technologijos, o žmonės.
Net 59 procentai visų pernai fiksuotų incidentų buvo susiję su socialine inžinerija – kai sukčiai apgaule išvilioja prisijungimo duomenis, pinigus ar prieigą prie sistemų. 2023 metais tokių incidentų dalis siekė 38 procentus.
„Žmogus išlieka silpniausia kibernetinio saugumo grandimi”, – konstatavo NKSC Kibernetinio saugumo operacijų valdymo departamento direktorius Rokas Jonikas.
Praktikoje tai atrodo taip: darbuotojas gauna laišką „nuo IT skyriaus” su prašymu atnaujinti slaptažodį. Paspaudžia nuorodą, suveda duomenis – ir įmonės sistemos atviros įsilaužėliams. Arba žmogus gauna SMS apie „užstrigusią siuntą”, paspaudžia nuorodą, suveda banko duomenis – ir sąskaita ištuštėja.
Rekordinis pažeidžiamumų skaičius
2024 metais NKSC nustatė rekordinį kibernetinio saugumo spragų skaičių – 6 700. Tai daugiau nei tris kartus daugiau nei ankstesniais metais.
Ypač rizikingos buvo „Fortinet”, „Palo Alto Networks”, „Cisco”, „VMware” produktų spragos – tai įranga, kurią naudoja daugelis Lietuvos įmonių ir institucijų.
„Laiku nesureagavus, šis skaičius galėjo virsti papildomais kibernetiniais incidentais”, – įspėjo R. Jonikas.
Valstybinės duomenų apsaugos inspekcijos duomenimis, pernai paveiktų duomenų subjektų skaičius Lietuvoje padidėjo beveik tris kartus ir siekė apie 1,5 milijono. Tai reiškia, kad maždaug kas antro Lietuvos gyventojo duomenys galėjo būti pažeisti.
Geopolitinis kontekstas
Lietuvos kibernetinė erdvė nėra izoliuota nuo pasaulio įvykių. Dėl aktyvios paramos Ukrainai šalis išlieka su Kremliumi siejamų grupuočių taikinyje.
DDoS atakos, dezinformacijos kampanijos, bandymai pažeisti kritinę infrastruktūrą – visa tai tapo kasdienybe. Šių metų rugsėjį NKSC fiksavo apgaulingus elektroninius laiškus, kuriuose buvo apsimetama Seimo Nacionaliniu saugumo ir gynybos komitetu bei politinėmis partijomis.
„Didėjanti geopolitinė įtampa, hibridinės atakos, šnipinėjimas ir povandeninės infrastruktūros pažeidimai Baltijos jūroje rodo, kad stabilumas ir taika nėra savaime suprantami”, – pabrėžė viceministras T. Godliauskas.
Dirbtinis intelektas – dvipusis kardas
Dirbtinis intelektas keičia kibernetinio saugumo kraštovaizdį. Deja, ne tik į gerąją pusę.
Sukčiai naudoja DI kuriant įtikinamus apgaulingus laiškus lietuvių kalba, klastojant balsus telefono skambučiams, generuojant deepfake vaizdo įrašus. Automatizuotos atakos tampa sudėtingesnės ir sunkiau aptinkamos.
Kita vertus, DI padeda ir gynybai – grėsmių aptikimui, anomalijų identifikavimui, reagavimo automatizavimui. Tai lenktynės, kuriose svarbu neatsilikti.
Nauji reikalavimai verslui
2024 metais įsigaliojo atnaujintas Kibernetinio saugumo įstatymas, įgyvendinantis ES TIS2 direktyvą. Tai reiškia griežtesnius reikalavimus daugeliui sektorių.
Į NKSC kuruojamą Kibernetinio saugumo subjektų registrą gali būti įtraukta iki 2 tūkstančių organizacijų. Jos privalės:
- Įdiegti technines ir organizacines saugumo priemones
- Pranešti apie incidentus per 24-72 valandas
- Užtikrinti tiekimo grandinės saugumą
- Reguliariai vertinti rizikas
Už reikalavimų nesilaikymą gresia baudos iki 10 milijonų eurų arba 2 proc. metinės apyvartos. Be to, įstatymas numato asmeninę vadovų atsakomybę.
Teigiami pokyčiai
Ne visos naujienos blogos. NKSC fiksuoja teigiamą pokytį – organizacijų darbuotojai tampa atsparesni kibernetinėms atakoms.
Naujausių „PhishEx” pratybų metu daugiau darbuotojų pranešė apie įtartinus laiškus (8 417), nei pateikė jautrius duomenis sukčiams (8 029). Tai tęsia birželį užfiksuotą tendenciją, kai pranešimų skaičius pirmą kartą viršijo apgautųjų skaičių.
Per metus daugiau nei 46 tūkstančiai asmenų baigė kibernetinio saugumo kursus NKSC nemokamoje nuotolinių mokymų platformoje. Mokymai skirti darbuotojams, mokytojams, mokiniams.
Šį rudenį Lietuvoje pradėtas taikyti automatizuotas kenksmingų svetainių blokavimas. Per pirmuosius devynis šių metų mėnesius užfiksuoti 2 302 incidentai – 15 proc. mažiau nei tuo pačiu laikotarpiu pernai.
Ką daryti kiekvienam
Ekspertai vieningai kartoja tuos pačius patarimus:
Slaptažodžiai. Naudokite stiprius, unikalius slaptažodžius kiekvienai paskyrai. Slaptažodžių tvarkyklė – ne prabanga, o būtinybė.
Dviejų veiksnių autentifikacija. Įjunkite visur, kur tik įmanoma – el. pašte, banke, socialiniuose tinkluose.
Atsargumas su nuorodomis. Negavote laukiamo laiško ar SMS? Nespustelėkite nuorodos. Geriau patys įveskite adresą naršyklėje arba paskambinkite organizacijai.
Atnaujinimai. Leiskite programoms atsinaujinti. Daugelis atakų išnaudoja senas, jau pataisytas spragas.
Atsarginės kopijos. Svarbius duomenis saugokite keliose vietose. Jei užklups ransomware – turėsite iš ko atstatyti.
Verslui – laikas veikti
Mažoms ir vidutinėms įmonėms, kurios neturi vidinių IT saugumo specialistų, ekspertai rekomenduoja ieškoti profesionalios pagalbos. Rinkoje veikia įmonės, teikiančios it paslaugas – nuo sistemų stebėsenos iki incidentų valdymo. Pradedant serverių priežiūra, baigiant duomenų atkūrimu ir nutekėjimo užkardymu.
„Kibernetinis saugumas – ne vienkartinė investicija, o nuolatinis procesas”, – sako specialistai. „Grėsmės evoliucionuoja, ir gynyba turi evoliucionuoti kartu.”
Lietuvos kriminalinės policijos biuro viršininkas Arūnas Maskoliūnas situaciją apibūdino taikliai: „Kibernetinis nusikalstamumas eina šviesos greičiu, mes – procedūrų greičiu.”
Klausimas, ar spėsime pasivyti?
Daugiau informacijos nuorodoje kibernetinis saugumo
