Kovo viduryje Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos (NKSC) surengė socialinės inžinerijos pratybas „Kibernetinis skydas – PhishEx“. Jų metu fiksuotas rekordinis darbuotojų aktyvumas reaguojant į įtartinus laiškus – iš daugiau nei 142 tūkst. išsiųstų el. laiškų apie galimas grėsmes pranešta 8793 kartus ir tai yra didžiausias rodiklis per visą pratybų laikotarpį. Duomenys taip pat atskleidžia aukštą darbuotojų budrumo lygį: apie įtartinus laiškus pranešė 6,15 proc. gavėjų, kai tuo metu tik 2,36 proc. pateikė prisijungimo ar kitus jautrius duomenis (2025 m. vidurkis siekė 5,1 proc.).
Asociatyvi „Pixabay“ nuotr.
„Didėjantis įsitraukusių organizacijų skaičius aiškiai rodo augantį dėmesį kibernetiniam saugumui – šiose pratybose dalyvavo 192 organizacijos, o tai yra 29 daugiau nei pernai tuo pačiu laikotarpiu. Šie rezultatai atspindi kibernetinio saugumo kultūros brandą – darbuotojai vis dažniau ne tik atpažįsta grėsmes, bet ir apie jas praneša. Matome nuoseklų progresą: organizacijos sistemingai stiprina atsparumą, o darbuotojų elgsena vis labiau atitinka saugumo standartus“, – sako NKSC direktorius Antanas Aleknavičius.
Šioms pratyboms buvo parengti keli scenarijai, iš kurių vienas išliko toks pats, kaip ir pernai organizuotose pratybos – tai „Microsoft“ scenarijus, kai sukčiai apsimeta įmonės darbuotoju ir dalijasi suklastota nuorodą į vidinį dokumentą. Nors scenarijus atrodo įprastas ir pasikartojantis, jis vis dar išlieka vienu efektyviausių dėl naudojamų pasitikėjimą keliančių elementų, tokių kaip vadovo vardas ir daugeliui būdinga „Office 365“ aplinka. Analizuojant vien šio siužeto duomenis matosi, kad net 7,67 proc. gavėjų suvedė duomenis, o nuorodas paspaudė daugiau nei 14 proc. darbuotojų.
Tuo metu investavimo tematikos „FundGo“ laiškai buvo gerokai mažiau efektyvūs. Savo duomenis suvedė tik 1,07 proc. gavėjų ir net 3,87 proc. apie juos pranešė savo kibernetinio saugumo padaliniams. Tai rodo, kad darbuotojai atsargiau vertina su finansais susijusius pasiūlymus.
Mažiau įtikinamu pasirodė ir fiktyvi piliečio užklausa „Google Drive“ scenarijuje – vos 0,14 proc. dalyvių suvedė duomenis fiktyviame vartotojo kontrolės lange, nors apie laiškus pranešė net 9,70 proc. gavėjų. Tikėtina, kad mažesnį efektyvumą lėmė mažiau įtikinamas puslapis ar neįprasta komunikacijos forma.
NKSC atkreipia dėmesį, kad nors darbuotojų budrumas auga, net ir paprasti, pasikartojantys scenarijai išlieka pavojingi – ypač kai išnaudojami pasitikėjimą keliantys elementai, tokie kaip vadovo vardas ar gerai žinomos platformos.
Ekspertai primena, kad vienas svarbiausių saugumo principų – visada tikrinti nuorodas ir siuntėjo adresą: ar laiškas atkeliavo iš vidinių organizacijos sistemų, ar iš išorinių šaltinių. Kilus įtarimų, rekomenduojama nespausti nuorodų ir tiesiogiai susisiekti su siuntėju, naudojantis patikimais, oficialiais komunikacijos kanalais.
NKSC organizuojamose pratybose „Kibernetinis skydas – PhishEx“ gali dalyvauti visos organizacijos, kurios yra įtrauktos į Kibernetinio saugumo subjektų sąrašą ir prisijungusias prie Kibernetinio saugumo informacinės sistemos (KSIS). Kitas organizacijas NKSC ragina tokio tipo pratybas organizuoti savarankiškai.
