Noklikšķinājāt? Ko darīt tālāk

3. modulis: Pikšķerēšanas atpazīšana · Lasīšanas laiks: 12 minūtes

Mērķis: Pēc šīs nodarbības Jūs zināsiet, ko darīt pirmajās stundās pēc klikšķa, ievadītas paroles, ievadītiem bankas datiem vai atvērta pielikuma, pareizā secībā, un kā ziņot par pikšķerēšanu un to pārsūtīt.
Pamatjēdzieni: ierobežošana, paroles maiņa no tīras ierīces, sesiju atsaukšana, zvans bankai, ziņošana, pikšķerēšanas pārsūtīšana (piemēram, uz CERT.LV un uzdoto zīmolu)

Tas notiek ar ikvienu

Ikviens reizi uzklikšķina uz nepareizas saites. Arī cilvēki, kuri apguvuši šo kursu, arī IT speciālisti. Labs pikšķerēšanas e-pasts ierodas īstajā brīdī, ar pareizo stāstu. Kaunēšanās nepalīdz, bet ātra rīcība gan. Jo ātrāk Jūs reaģējat, jo mazāk uzbrucējs var izdarīt ar iegūto.

Tāpēc pirmais solis katrā uzņēmumā ir: nekavējoties ziņojiet par to kolēģim, kurš atbild par IT, vai Jūsu IT uzņēmumam. Vienojieties, ka tas, kurš ziņo par klikšķi, saņem pateicību, nevis pārmetumu (vairāk par to 9.2. nodarbībā). Kurš baidās no soda, tas klusē, un tad uzbrucējam ir dienas laika.

Vispirms noskaidrojiet: kas tieši notika?

Nepieciešamā rīcība ir atkarīga no tā, cik tālu Jūs esat tikuši. Vispirms to īsi un godīgi noskaidrojiet.

Vienkārši uzklikšķināšana parasti nav nopietna: mūsdienu pārlūkprogrammas ir labi aizsargātas. Taču klikšķis var arī sākt lejupielādi. Ja šaubāties, rīkojieties tā, it kā tas būtu smagāks gadījums.

Soli pa solim pirmajās stundās

1. Ziņošana uzņēmuma iekšienē. Nekavējoties, arī šaubu gadījumā. Pastāstiet, ko Jūs redzējāt, kad, un ko Jūs esat ievadījuši vai atvēruši. Saglabājiet ziņu: nedzēsiet to, tā Jums būs nepieciešama, lai ziņotu.

2. Ierobežošana. Vai Jūs atvērāt pielikumu vai piešķīrāt kādam piekļuvi? Atvienojiet ierīci no tīkla: izslēdziet wifi, izraujiet tīkla kabeli. Neizslēdziet to uzreiz, jo tas, kas atrodas atmiņā, var palīdzēt izmeklēšanā (8.3. nodarbība). Nestrādājiet tālāk ar šo ierīci.

3. Zvaniet bankai, ja skar naudu. Ja Jūs ievadījāt bankas datus vai apstiprinājāt maksājumu, tad nekavējoties zvaniet savai bankai, uz numuru, kas norādīts uz Jūsu kartes, vai oficiālajā vietnē. Jo ātrāk, jo lielāka iespēja, ka maksājumu var apturēt vai atgūt. Arī maksājumu uz viltus IBAN pēc rēķina krāpšanas Jūs nekavējoties ziņojat savai bankai.

4. Paroles maiņa no tīras ierīces. Mainiet tā konta paroli, kuru Jūs ievadījāt. Dariet to citā ierīcē nekā tajā, kurā atvērāt pielikumu, jo tajā var slēpties programma, kas Jūs novēro. Ievadiet adresi pats vai izmantojiet savu grāmatzīmi, nevis saiti no ziņas. Ja Jūs izmantojāt to pašu paroli arī citur, mainiet to arī tur (2.1. nodarbība).

5. Sesiju atsaukšana un konta pārbaude. Jauna parole ne vienmēr automātiski izmet uzbrucēju, kurš jau ir iekšā. Tāpēc izlogojiet visas citas sesijas (2.5. nodarbība) un pārbaudiet, ko viņš varētu būt mainījis:

• divu faktoru autentifikācija (2FA): vai tur ir parādījusies nezināma lietotne vai nezināms tālruņa numurs?
• atjaunošanas dati: vai ir mainīta atjaunošanas e-pasta adrese vai tālruņa numurs?
• pārsūtīšanas noteikumi un filtri Jūsu pasta kastītē: uzbrucējs labprāt iestata noteikumu, kas visu e-pastu, vai tikai e-pastu ar vārdu "rēķins" tajā, pārsūta uz savu adresi vai nekavējoties izdzēš. Tā viņš turpina lasīt līdzi, pat ja Jūs jau esat nomainījuši paroli;
• nosūtītie vienumi: vai ir nosūtīti e-pasti, kurus Jūs neesat rakstījuši? Tad Jums jābrīdina savi kontakti.

6. Ziņošana un pārsūtīšana. Skatiet zemāk.

7. Jānoskaidro, vai tas ir datu aizsardzības pārkāpums. Vai uzbrucējs varēja piekļūt pasta kastītei, klientu datubāzei vai citai videi ar personas datiem? Tad iespējams, ka tas ir datu aizsardzības pārkāpums. Saskaņā ar VDAR (GDPR) datu aizsardzības pārkāpums bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc atklāšanas jāpaziņo Datu valsts inspekcijai (DVI), ja vien tas, visticamāk, nerada risku attiecīgajām personām. Katrā ziņā to nepieciešams fiksēt Jūsu datu aizsardzības pārkāpumu reģistrā. Kā to novērtēt, uzzināsiet 8.2. nodarbībā.

Pikšķerēšanas ziņošana un pārsūtīšana

Ziņošanai ir jēga, arī ja nekas nav noticis. Tā viltus vietni var ātrāk likvidēt bezsaistē, un citi tiek brīdināti.

CERT.LV (https://cert.lv/). Ziņojiet par krāpniecisko e-pastu CERT.LV, ja esat saņēmis viltus e-pastu ar aizdomīgām saitēm vai pielikumiem. Ieteicams:

• pārsūtīt e-pastu vēlams kā pielikumu. Parastas pārsūtīšanas gadījumā tehniskie dati (galvenes no 3.3. nodarbības) tiek zaudēti. Ja tas neizdodas, piemēram, tālrunī, tad vienkārši pārsūtiet to tālāk;
• ja e-pasts šķiet esam no bankas vai cita zināma uzņēmuma, pievienojiet attiecīgā uzņēmuma adresi cc laukā. CERT.LV savā vietnē publicē šādu adrešu sarakstu, ja tāds pieejams;
• sms, WhatsApp un citas ziņas nesūtiet uz šo adresi, bet ziņojiet par tām, izmantojot CERT.LV (https://cert.lv/) vai Valsts policijas (https://www.vp.gov.lv/) norādīto kanālu. To izmantojiet arī aizdomīgam e-pastam bez saitēm vai pielikumiem, un palīdzības dienesta krāpšanai pa tālruni.

Daudzās e-pasta programmās pārsūtīšana kā pielikums tiek saukta "Pārsūtīt kā pielikumu" vai līdzīgi.

Uzdotajam zīmolam. Ja tiek izmantots bankas, pārvadātāja vai piegādātāja nosaukums, informējiet šo organizāciju, izmantojot kanālu, ko pats atrodat tās oficiālajā vietnē, nevis izmantojot ziņu. Daudzām organizācijām ir sava pikšķerēšanas ziņošanas adrese. Ja tas skar Jūsu pašu mitināšanas (hostings) uzņēmumu vai e-pasta pakalpojumu sniedzēju, nosūtiet to arī turp; WebOké gadījumā to var izdarīt, izveidojot pieteikumu (ticket), pievienojot e-pastu kā pielikumu (Zināšanu bāze 581).

Iesniegums Valsts policijā (https://www.vp.gov.lv/). Ja Jūs esat zaudējis naudu, vai ir noticis vai mēģināts ļaunprātīgi izmantot datus, iesniedziet iesniegumu. CERT.LV sniedz konsultācijas un apkopo ziņojumus, taču pati izmeklēšanu neveic. To var darīt tikai Valsts policija.

Pēc tam Jūs varat izdzēst ziņu un bloķēt sūtītāju.

Pārbaude pēc nedēļas

Uzbrukums ne vienmēr beidzas vienas dienas laikā. Iestatiet atgādinājumu nedēļu vēlāk:

• Vai ir jauni pieteikšanās paziņojumi vai nezināmas sesijas?
• Vai bankas izrakstos ir nezināmi maksājumi?
• Vai pasta kastītē ir jauni pārsūtīšanas noteikumi vai filtri?
• Vai klienti vai piegādātāji sūdzas par dīvainiem e-pastiem, kas it kā nāk no Jums? Tad, iespējams, Jūsu pasta kastīte joprojām tiek ļaunprātīgi izmantota surogātpasta sūtīšanai (Zināšanu bāze 25).
• Ko mēs varam mācīties? Vai ziņu bija viegli atpazīt, un kas to nākamreiz liktu pamanīt agrāk?

Praksē: tā tas izskatās

Pirmdiena (Monday), 9:12. Fatima no Bakkerij Example ievada savu e-pasta paroli viltotā grāmatvedības programmas pieteikšanās lapā. Plkst. 9:15 viņa pamana, ka adrese bija boekhoudpakket.inlog-check.example. Viņa ziņo par to Kesam, kurš atbild par IT. Plkst. 9:20 Kess no savas klēpjdatora maina viņas pasta kastītes paroli un izlogo visas sesijas. Tīmekļa pastā viņš atrod jaunu noteikumu: viss e-pasts ar vārdu "rēķins" tiek nosūtīts uz nezināmu adresi un pēc tam izdzēsts. Viņš noņem šo noteikumu, ieslēdz divu faktoru autentifikāciju un pārbauda nosūtītos vienumus: nekas nav nosūtīts. Fatima nosūta pikšķerēšanas e-pastu kā pielikumu CERT.LV. Kess to ieraksta incidentu žurnālā un pārbauda, vai uzbrucējs varēja redzēt personas datus. Pēc nedēļas viņš atkārtoti pārbauda noteikumus un sesijas.

Kur šie noteikumi un sesijas atrodas, atšķiras atkarībā no vides. WebOké gadījumā adreses pārsūtīšana atrodas Mans WebOké un DirectAdmin (Forwarders), un noteikums var atrasties arī tīmekļa pastā vai pašā e-pasta programmā. Pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi: meklējiet pēc pārsūtīšanas, forwarders, noteikumiem vai filtriem.

Kopsavilkums

• Ikviens kādreiz uzklikšķina. Ziņojiet par to nekavējoties, bez kauna, un vienojieties, ka ziņošana tiek atalgota.
• Vispirms noskaidrojiet, kas notika: tikai klikšķis, parole, kods, bankas dati, pielikums vai attālā piekļuve.
• Secība: ziņošana, ierobežošana (atvienošana no tīkla), zvans bankai, ja skar naudu, paroles maiņa no tīras ierīces, sesiju atsaukšana un konta pārbaude (īpaši pārsūtīšanas noteikumi), ziņošana un pārsūtīšana, datu aizsardzības pārkāpuma izvērtēšana.
• Nosūtiet krāpniecisko e-pastu kā pielikumu, ziņojot CERT.LV (https://cert.lv/), ar uzdoto zīmolu cc laukā; sms un tērzēšanas ziņas, izmantojot CERT.LV vai Valsts policijas norādīto kanālu. Zaudējumu gadījumā: iesniegums Valsts policijā.
• Pēc nedēļas pārbaudiet atkārtoti.

Tests (quiz)

Uzdevums

Uzdevums A3.5: Soļu karte pēc klikšķa. Jūs saņemsiet situāciju un kaudzi kartīšu ar soļiem. Izvēlieties, kuri soļi ir nepieciešami, un sakārtojiet tos pareizā secībā. Programma pārbauda un paskaidro, kāpēc solis jāveic agrāk vai vēlāk.

Lasiet vairāk

Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• Vai šis e-pasts tiešām ir no WebOké? Pikšķerēšanas atpazīšana un akcijas koda izmantošana
• E-pasta kastīte pārņemta vai surogātpasts tiek sūtīts no Jūsu adreses: šādi sakārtojiet situāciju
• WebOké rokasgrāmata 3.6: Aktīvo sesiju apskate un iziešana
• DirectAdmin rokasgrāmata 3.7: Drošas paroles un kas jādara, ja parole ir noplūdusi
• CERT.LV, ziņošana par krāpniecisku e-pastu: https://cert.lv/
• CERT.LV un Valsts policija, ziņošana par sms, WhatsApp un citu krāpšanu: https://www.vp.gov.lv/
• CERT.LV, Pikšķerēšana: https://cert.lv/