Apsauga nuo phishing: ką sužinojome iš 4400+ sukčiavimo laiškų
- 08-11
- 5 min. skaitymo
Ketvirtadienio rytą atėjęs laiškas praneša, kad pasikeitė darbo sutarties sąlygos, ir prašo peržiūrėti dokumentą „OneDrive" saugykloje. Nuoroda atsidaro į pažįstamą „Microsoft" prisijungimo langą, darbuotojas suveda savo el. pašto adresą ir slaptažodį, tačiau dokumentas neatsidaro. Keista, bet ne tiek, kad dėl to kam nors skambintum.
Per pastaruosius mėnesius tokių laiškų savo klientų darbuotojams pristatėme virš 4400, nuorodą jose paspaudė 5,47 % gavėjų, prisijungimo duomenis suvedė 2,03 %. Norime parodyti ne tik tuos skaičius, bet ir tai, kaip juos skaityti - nes apsauga nuo phishing atakų prasideda nuo gebėjimo suprasti, ką toks procentas iš tikrųjų reiškia.
Kas yra phishing ir kodėl jis vis dar veikia
Phishing, arba sukčiavimas elektroniniais laiškais (angl. phishing) - tai bandymas apgaule išgauti prisijungimo duomenis ar kitą jautrią informaciją apsimetant kažkuo, kuo gavėjas pasitiki. Techniškai tai nėra įsilaužimas, niekas nelaužo prieigos: piktavalis tiesiog paprašo rakto, o žmogus jį paduoda.
Senos atpažinimo taisyklės jau nustojo veikti ir prasta lietuvių kalba nebėra būdinga phishing laiškams - „Verizon" 2026 m. tyrime užfiksuota 15 skirtingų atakos technikų, kurioms pasitelktas generatyvinis dirbtinis intelektas. Nebėra požymis ir keista tema: laiškas apie darbo sutartį yra būtent tai, ko darbuotojas ir tikisi.
Lietuvoje tai matyti statistikoje: NKSC 2025 m. registravo 1 551 socialinės inžinerijos incidentą - 54 proc. visų. Verta pasakyti ir kitą pusę. Tame pačiame „Verizon" tyrime pažeidžiamumų išnaudojimas kaip pirminis patekimo būdas pakilo iki 31 proc. ir aplenkė pavogtus prisijungimo duomenis. Phishing yra vienas iš pirmųjų žingsnių link įvykstančio kibernetinio incidento, bet ne vienintelis - todėl reikalingos įvairiapusės kibernetinio saugumo priemonės.
Kur sukčiavimo laiškas stovi atakos grandinėje
Duomenų išviliojimui skirto laiško gavimas dar nėra incidentas. Incidentas - tai, kas įvyksta po jo, o tarp laiško ir žalos yra šešios vietos, kuriose ataką dar galima sustabdyti.
Nė viena eilutė neveikia 100 proc., todėl jų ir reikia šešių. Dvi iš jų - antra ir trečia - priklauso ne nuo IT, o nuo vadovybės sprendimo skirti resursų juos įgyvendinti. Verta paminėti, kad kibernetinio incidento užuomazga ne visada prasideda ir pačioje įmonėje: Žabkos atveju piktavaliai pateko pro išorinio tiekėjo paskyrą.
Mūsų pratybos: 91 slaptažodis ir 68 pranešimai
Phishing pratybas vykdome daugiau nei 50 klientų, iš jų daugiau nei 35 jas jau baigė. Visi žemiau esantys skaičiai yra pirmųjų, bazinių pratybų - t. y. matuojame situaciją prieš darbuotojų mokymus, o ne po jų. Skaičiuojame nuo pristatytų, o ne išsiųstų laiškų: dalį jų sustabdo filtrai, ir įtraukti juos į vardiklį reikštų dailinti rezultatą.
Pristatyta laiškų: 4 477
Paspaudė nuorodą: 245 (5,47 proc.)
Suvedė prisijungimo duomenis: 91 (2,03 proc. arba 37 proc. paspaudusių nuorodą)
Pranešė apie laišką: 68 (1,52 proc.)
Pirmas svarbus skaičius yra santykis, o ne procentas: iš žmonių, paspaudusių nuorodą, 37 proc. nuėjo iki galo ir suvedė slaptažodį. Paspaudimas dar nėra lemtingas. Netikras prisijungimo langas - jau beveik.
Antras skaičius - nemalonesnis; daugiau žmonių atidavė slaptažodį, nei pranešė apie laišką. NKSC pratybose yra atvirkščiai: ten pranešė 6,15 proc., o duomenis suvedė 2,36 proc. - pranešimų beveik tris kartus daugiau. Sąžiningumo dėlei: pranešimus fiksavome rankiniu būdu, tad 68 yra veikiau minimumas nei tikslus skaičius - dalis žodžiu perduotų įspėjimų į jį nepateko.
Vidurkis slepia dar vieną dalyką. Keliose įmonėse duomenis suvedė iki 10 proc. darbuotojų - penkis kartus daugiau nei bendras rodiklis.
Ir dar viena metodinė pastaba: laiškų atidarymo skaičiumi (468) nesiremiame - pašto programos blokuoja atvaizdus, kuriais sekamas laiškų atidarymas, todėl atidarymų visada rodoma mažiau, nei yra. Patikimiausi skaičiai yra paspaudimai ir suvesti duomenys.
Tas pats žmogus, kitas laiškas - visai kitas skaičius
Prieš lyginant mūsų rezultatą, verta pažiūrėti į NKSC „Kibernetinio skydo - PhishEx" 2026 m. pratybas. 192 organizacijos, daugiau nei 142 tūkst. laiškų, trys skirtingi scenarijai.
Scenarijus | Suvedė duomenis |
„Microsoft" - vidinis dokumentas su vadovo vardu | 7,67 proc. |
„FundGo" - investavimo pasiūlymas | 1,07 proc. |
„Google Drive" - piliečio užklausa | 0,14 proc. |
Tie patys žmonės, ta pati savaitė, tačiau skirtumas - apie penkiasdešimt kartų. Vienintelis kintamasis - tai, koks laiškas atėjo.
Todėl pirmas klausimas apie bet kokį phishing skaičių yra ne „kiek procentų", o „koks laiškas buvo išsiųstas". Ir šį klausimą pirmiausia turime užduoti sau. Bendras NKSC rezultatas buvo 2,36 proc., mūsų - 2,03 proc. Atrodytų, šiek tiek geriau. Bet mes nė karto nenaudojome to laiško, kuris veikia geriausiai: mūsų scenarijuose nebuvo konkretaus kolegos ar vadovo vardo, o NKSC duomenys rodo, kad būtent vadovo ar kolegos vardas sumažina laiško gavėjo budrumą. Sąžininga išvada tokia: mūsų skaičius mažesnis ne todėl, kad tie darbuotojai atsparesni, o todėl, kad jiems dar neatsiuntėme sunkiausio laiško.
Ar 2,03 proc. yra geras rezultatas?
Trumpas atsakymas - neaišku, ir bet kas, kas atsako kitaip, kažką pardavinėja.
Dažniausiai cituojamas etalonas yra „KnowBe4" 2026 m. ataskaita, apimanti 42 mln. simuliacijų. Pagal ją pasaulinis pradinis rodiklis prieš mokymus yra 33,2 proc., o mažose, iki 250 darbuotojų organizacijose - 24,7 proc. Palyginę savo 2,03 proc. su 24,7 proc. galėtume paskelbti triuškinamą pergalę, tačiau tai būtų netikslinga - „KnowBe4" pardavinėja mokymus, o jų rodiklis skaičiuoja bet kokią reakciją į laišką, ne tik slaptažodžio suvedimą.
Viena tikrai naudinga toje ataskaitoje yra ne rodiklis, o kreivė. Per pirmas 90 dienų nuo mokymų pradžios vidurkis nukrenta nuo 33,2 iki 20,1 proc. Po 12 mėnesių - iki 4,2 proc. Po 24 mėnesių - 3,9 proc. Didžiausias pokytis įvyksta ne per pirmą ketvirtį, o tarp trečio ir dvylikto mėnesio. Vieni mokymai duoda mažiau nei trečdalį rezultato.
Kaip iš tikrųjų veikia apsauga nuo phishing
Apsauga nuo phishing yra nuobodi - nuolatiniai mokymai ir reguliarios pratybos. Bet tarp veikiančios programos ir vieno pristatymo kartą per metus yra keturi skirtumai.
Reguliarumas svarbesnis už intensyvumą. Žr. „KnowBe4" duomenis aukščiau. Metinis apmokymas nėra programa, tai vienkartinis ir didelės įtakos nedarantis įvykis.
Scenarijai turi būti panašūs į tikrus laiškus. Bendrinis laiškas „jūs laimėjote prizą" nieko nematuoja, nes yra praleidžiamas. Laiškas apie darbo sutartį - matuoja, nes nėra ignoruojamas.
Turi būti kur pranešti - ir tai lengviausiai pataisomas dalykas visame sąraše. Mygtukas pašto programoje arba bent vienas adresas, kurį visi žino. NKSC pratybose apie įtartinus laiškus pranešė 6,15 proc. gavėjų, mūsų - apie 1,5 proc. Skirtumas didesnis nei bet kuris kitas šiame įraše, ir jis beveik neturi nieko bendro su darbuotojų sąmoningumu. Paspaudimas jums pasako, kad kažkas jau įvyko. Pranešimas leidžia suspėti.
Paspaudusiems - jokių pasekmių. Jei už paspaudimą baudžiama ar viešai gėdijama, žmonės nustoja pranešti - ir jūs prarandate ankstyvą įspėjimą mainais į discipliną, kuri niekam nepadeda.
Ir paskutinis dalykas, kurio mokymai ir pratybos negali padaryti - dalis phishing laiškų pasieks darbuotojus, ir dalis jų suves duomenis. Todėl trečia, ketvirta ir šešta grandinės dalys yra ne alternatyva mokymams, o jų tęsinys: nuolatinė stebėsena pastebi neįprastą prisijungimą tada, kai visa kita nesuveikė.
Trys klausimai, kuriuos verta užduoti šią savaitę
Koks laiškas buvo išsiųstas per paskutines phishing pratybas? Jei atsakymas yra „nežinau" arba „standartinis" - rezultato skaičius nieko nereiškia ir jo negalima lyginti nei su praėjusiais metais, nei su niekuo kitu.
Kur darbuotojas turi paspausti, jei įtaria sukčiavimo laišką, ir per kiek laiko kas nors tai pamato? Jei atsakymas yra „parašo IT" - patikrinkite, kas nutiktų gavus laišką penktadienį 17 val.
Kada paskutinį kartą mokėmės, ir kas buvo po to? Blogas atsakymas skamba taip: „per įvadinį apmokymą". Tai reiškia, kad naujausias darbuotojas žino daugiau nei visi kiti.
Grįžtant prie ketvirtadienio ryto
Darbuotojas, kuris suvedė slaptažodį norėdamas peržiūrėti darbo sutarties pakeitimus, tačiau taip ir nesulaukė dokumento, nepadarė nieko kvailo. Jis padarė tai, ko iš jo tikimasi kiekvieną dieną - atidarė personalo laišką apie savo darbo sutartį. Didesnis klausimas yra apie tai, kiek saugumo lygių stovi už jo nugaros, galinčių sustabdyti piktavalius, o ir ar pats darbuotojas turi kam pranešti apie savo klaidą.
Savo ruožtu, siekdami stiprinti klientų atsparumo lygį, tiek vykdome phishing pratybas, tiek naudojame SOC akademijos mokymų platformą klientų darbuotojų sąmoningumui didinti. Jei norite pamatyti, kaip jūsų komanda reaguoja į apgaulingus laišką, pasikalbėkime. Pirmosios pratybos ir mokymai skirti ne įvertinti pavienius darbuotojus, o suprasti bendrą įmonės saugumo lygį.
