CSDD datu noplūde var pavērt durvis jauniem krāpšanas veidiem: eksperts skaidro, no kā uzmanīties 0
CSDD datu noplūde var radīt daudz nopietnākus riskus, nekā cilvēkiem sākotnēji varētu šķist. Nozagtajā informācijā ir ne tikai vārds, uzvārds un valsts reģistrācijas numurs, bet arī personas kods, dzīvesvietas adrese, kā arī dati par veiktajiem darījumiem. Šāda informācija nākotnē var kļūt par pamatu ļoti ticamām krāpnieciskām īsziņām un citiem mērķētiem uzbrukumiem.
TV24 raidījumā “Uz līnijas” par notikušo skaidroja programmētājs un kiberdrošības blogeris Elviss Strazdiņš, norādot, ka publiski pieejamie dati liecina par ievērojamu personas informācijas apjomu, kas nonācis ārpus CSDD sistēmām.
Strazdiņš norāda, ka iepriekš izskanējušie apgalvojumi par to, ka garumzīmes un mīkstinājuma zīmes vārdos vai adresēs varētu apgrūtināt nozagto datu izmantošanu, nav pamats uzskatīt, ka informācija būtu pasargāta.
“Pirmkārt, mēs beidzot varam šos datus apskatīt, kuri tad ir nozagti, un CSDD diezgan nepareizi apgalvoja, ka, ja vārdā ir garumzīmes vai mīkstinājuma zīmes, vai adresē, ka tas sagādās problēmas hakeriem. Nē, tas nesagādās. Es parādīju savā video, kā tad šos datus var salabot atpakaļ,” norāda Strazdiņš.
Kiberdrošības blogeris skaidroja, ka noplūdušajā informācijā redzami dažādi personas dati. Viņš savus datus salīdzinājis ar iepriekšējiem ierakstiem un secinājis, ka tajos var parādīties arī automašīnu numuri, kas cilvēkam vairs nepieder.
Papildus tam noplūduši arī dzīvesvietas adrešu dati, kā arī informācija par to, kad konkrētais darījums veikts un kāda bijusi tā summa. Šāda informācija atsevišķos gadījumos var sniegt krāpniekiem vēl vairāk pavedienu, lai izveidotu ticamu stāstu.
Strazdiņš uzsver, ka lielākais risks nav tikai pats fakts, ka internetā nonākuši personas dati. Daudz bīstamāka var būt iespēja šos datus izmantot kopā ar sociālo inženieriju. Nozagtā informācija var tikt pārdota tālāk datu brokeriem vai nonākt kibernoziedznieku rīcībā. Pēc tam to iespējams izmantot, lai izveidotu daudz precīzākus un ticamākus krāpšanas scenārijus.
Viņš kā piemēru min mērķētu pikšķerēšanu jeb spear phishing. Atšķirībā no parastas krāpnieciskas īsziņas, kas tiek izsūtīta lielam cilvēku skaitam ar vispārīgu tekstu, mērķēts uzbrukums var saturēt konkrētā cilvēka īstos datus.
Piemēram, cilvēks var saņemt īsziņu, kurā norādīts viņa automašīnas numurs, personas dati un informācija par it kā izdarītu ceļu satiksmes noteikumu pārkāpumu. Šādā situācijā krāpniekiem vairs nav jācer, ka upuris noticēs nejaušam paziņojumam. Viņiem jau ir informācija, kas rada iespaidu, ka ziņas sūtītājs patiešām ir CSDD vai kāda cita institūcija.
Strazdiņš skaidro, ka šāda veida krāpšanas pamatā ir sociālā inženierija. Tās mērķis ir panākt, lai cilvēks uzticētos krāpniekam un pats veiktu nepieciešamo darbību, piemēram, atvērtu saiti un ievadītu savus internetbankas vai kartes datus.
“Vislabākais veids, kā panākt, ka cilvēks tev tic, ir iedot viņam reālus datus, ko it kā varēja zināt tikai īstais cilvēks, par ko šis krāpnieks uzdodas,” norāda Strazdiņš.
Šajā gadījumā krāpnieks var izmantot personas kodu, dzīvesvietas adresi vai automašīnas numuru, lai radītu iespaidu, ka ziņa patiešām nosūtīta no CSDD. Cilvēks, ieraugot savus īstos datus, var nodomāt, ka informācija ir oficiāla, un nepievērst pietiekamu uzmanību pārējām pazīmēm.
Pat tad, ja cilvēks saprot, ka nevajadzētu klikšķināt uz aizdomīgas īsziņas saites, krāpnieki var mēģināt viņu aizvest līdz viltotai mājaslapai citā veidā. Piemēram, cilvēks var pats atvērt Google un meklēt CSDD mājaslapu. Taču meklēšanas rezultātos virs parastajiem rezultātiem var parādīties apmaksāta reklāma.
Krāpnieki var izmantot reklāmu, kas vizuāli ļoti atgādina īsto CSDD vietni. Ja cilvēks nepievērš uzmanību tam, ka tas ir sponsorēts rezultāts, viņš var nonākt viltotā lapā. Strazdiņš uzsver, ka šādā gadījumā cilvēks jau var būt aizmirsis sākotnējo īsziņu un to, kādi dati tajā bija norādīti. Viņš vienkārši redz sev pazīstamu CSDD nosaukumu un pieņem, ka atrodas īstajā mājaslapā.
Pēc kiberdrošības blogera teiktā, jau ir bijuši gadījumi, kad cilvēki Latvijā pēc līdzīgām krāpnieciskām darbībām zaudējuši naudu. Precīzu kopējo skaitu viņš nevar nosaukt, jo viņa rīcībā nav visas Latvijas statistikas, taču ar šādiem gadījumiem cilvēki pie viņa ir vērsušies.
Strazdiņš uzsver, ka ar aicinājumu būt uzmanīgam vien nepietiek. Cilvēkam ir jāsaprot, ko tieši pārbaudīt, pirms viņš noklikšķina uz saites. Viens no svarīgākajiem principiem ir rūpīgi apskatīt interneta adresi. Ja cilvēks vēlas apmeklēt CSDD mājaslapu, jāskatās, vai domēns patiešām ir csdd.lv vai attiecīgā oficiālā apakšdomēna adrese, nevis līdzīgs nosaukums ar papildu vārdiem vai citu domēna turpinājumu.
Svarīgi ir arī pievērst uzmanību reklāmas rezultātiem meklētājos. Ja iespējams, drošāk ir nevis klikšķināt uz pirmo redzamo reklāmu, bet atrast oficiālo CSDD vietni un pārliecināties par tās adresi.
Eksperts uzskata, ka šādi vienkārši paradumi var ievērojami samazināt risku kļūt par krāpnieku upuri. CSDD datu noplūdes gadījumā īpaši svarīgi ir rēķināties ar to, ka turpmāk krāpnieciskie ziņojumi var izskatīties daudz ticamāki nekā līdz šim.
