Apsiperkame internetu, naudojamės elektronine bankininkyste, užsisakome paslaugas, registruojamės įvairiose platformose. Kiekvieną dieną skaitmeninėje erdvėje paliekame nemažai asmeninės informacijos. Tačiau ar dažnai susimąstome, kas nutiktų, jei šie duomenys patektų į netinkamas rankas?
Kibernetinės atakos, pavogti prisijungimo duomenys ir sukčiavimo schemos tampa rimtu iššūkiu tiek vartotojams, tiek verslui. Net ir nedidelis saugumo pažeidimas gali sukelti finansinių nuostolių, sutrikdyti paslaugų teikimą ar pakenkti įmonės reputacijai. Ypač skaudžios gali būti situacijos, kai įsilaužėliai gauna prieigą prie vartotojų paskyrų ir jų vardu atlieka neteisėtas operacijas.
Tai reiškia, kad kibernetinis saugumas skaitmeninėse platformose šiandien yra ne papildomas privalumas, o būtinybė. Patikimos platformos naudoja įvairias technologijas, kurios padeda apsaugoti vartotojų informaciją, užtikrinti saugias finansines operacijas ir sumažinti sukčiavimo tikimybę. Vis dėlto, realybė yra tokia, kad jokiose situacijose negali būti užtikrintas absoliutus saugumas, todėl svarbu suprasti, kokios apsaugos priemonės naudojamos ir ką kiekvienas galime padaryti patys.
Kodėl skaitmeninės platformos tampa kibernetinių nusikaltėlių taikiniu?
Skaitmeninėse platformose kaupiama informacija turi didelę vertę. Vartotojų vardai, elektroninio pašto adresai, telefonų numeriai, prisijungimo duomenys ir mokėjimų informacija gali būti panaudoti įvairiems sukčiavimo būdams.
Nusikaltėliams ypač patrauklios elektroninės parduotuvės, finansinių paslaugų sistemos ir platformos, kuriose nuolat vykdomos piniginės transakcijos. Įsilaužėliai gali bandyti perimti vartotojų paskyras, išvilioti mokėjimo duomenis arba sutrikdyti paslaugų veikimą. Lietuvoje taip pat aktualios sukčiavimo schemos, kai apsimetama bankais, kurjerių tarnybomis ar žinomomis įmonėmis. Tokiais atvejais nusikaltėliai dažnai išnaudoja ne technines spragas, o žmonių neatidumą. Pavyzdžiui, vartotojas gali gauti SMS žinutę apie tariamai nepavykusį siuntos pristatymą. Paspaudęs nuorodą jis nukreipiamas į suklastotą interneto svetainę, kurioje prašoma įvesti mokėjimo kortelės duomenis. Iš pirmo žvilgsnio tokia svetainė gali atrodyti beveik identiška tikrajai, todėl sukčiavimą atpažinti ne visada paprasta.
Duomenų šifravimas: pirmoji apsaugos linija
Viena svarbiausių technologijų, naudojamų skaitmeninėse platformose, yra duomenų šifravimas, kuri leidžia informaciją paversti pašaliniams asmenims neperskaitomu formatu.
Pavyzdžiui, kai vartotojas prisijungia prie elektroninės parduotuvės ar atlieka mokėjimą, HTTPS ryšys su TLS šifravimu padeda apsaugoti perduodamus duomenis nuo perėmimo ir pakeitimo. Vis dėlto, vien šifruoto ryšio nepakanka. Platformos turi tinkamai apsaugoti ir serveriuose saugomą informaciją, riboti darbuotojų prieigą bei reguliariai atnaujinti sistemas.
Svarbus vaidmuo tenka slaptažodžių saugojimui. Atsakingai veikiančios platformos neturėtų saugoti vartotojų slaptažodžių paprasto teksto pavidalu. Vietoje to naudojami specialūs slaptažodžių sumaišymo ir generavimo algoritmai, kurie apsunkina pradinių slaptažodžių atkūrimą net ir nutekėjus duomenų bazei.
Taip pat verta prisiminti, kad HTTPS ženklelis naršyklėje savaime negarantuoja svetainės patikimumo. Sukčiai taip pat gali naudoti šifruotą ryšį, todėl būtina patikrinti interneto adresą ir įsitikinti, kad lankomasi tikroje paslaugos teikėjo svetainėje.
Kaip užtikrinamas saugus mokėjimų vykdymas?
Finansinės transakcijos reikalauja ypatingo dėmesio, nes saugumo pažeidimai gali tiesiogiai paveikti vartotojų pinigus.
Patikimos mokėjimų sistemos naudoja kelis apsaugos mechanizmus. Vienas jų yra stiprus kliento autentiškumo patvirtinimas, kai mokėjimui autorizuoti naudojami keli nepriklausomi tapatybės patvirtinimo elementai.
Kitas svarbus sprendimas – mokėjimo kortelių duomenų tokenizavimas. Tikrieji kortelės duomenys pakeičiami specialiais identifikatoriais, todėl sumažėja jautrios informacijos atskleidimo rizika.
Be to, finansinės platformos gali naudoti automatines sukčiavimo aptikimo sistemas, kurios analizuoja neįprastus mokėjimus, prisijungimo vietas ir įtartinus vartotojų veiksmus.
Pavyzdžiui, jei žmogus paprastai naudojasi savo paskyra Lietuvoje, tačiau staiga iš kitos valstybės bandoma atlikti neįprastai didelės vertės operaciją, sistema gali paprašyti papildomo tapatybės patvirtinimo arba laikinai sustabdyti mokėjimą.
Tokie mechanizmai padeda sumažinti finansinio sukčiavimo riziką, tačiau kartais gali sukelti papildomų nepatogumų vartotojams. Vis dėlto keli papildomi patvirtinimo veiksmai yra nedidelė kaina už didesnį finansinių operacijų saugumą.
Kodėl dviejų veiksnių autentifikavimas toks svarbus?
Net ir sudėtingas slaptažodis negarantuoja visiško saugumo. Jis gali būti pavogtas sukčiavimo būdu arba atskleistas per duomenų nutekėjimą.
Todėl vis daugiau platformų siūlo dviejų veiksnių autentifikavimą. Prisijungiant reikia ne tik slaptažodžio, bet ir papildomo tapatybės patvirtinimo, pavyzdžiui, per autentifikavimo programėlę.
Dar saugesnis sprendimas gali būti prieigos raktai (passkeys), kurie leidžia prisijungti naudojant kriptografinius metodus ir yra atsparesni įprastoms slaptažodžių vagystėms.
Lietuvos vartotojams svarbu suprasti ir tai, kad banko ar „Smart-ID“ patvirtinimo užklausa neturėtų būti tvirtinama, jeigu jie patys nepradėjo atitinkamo veiksmo.
Papildomas dėmesys turėtų būti skiriamas ir slaptažodžių kokybei. Dažna klaida – naudoti tą patį slaptažodį elektroniniam paštui, socialiniams tinklams ir internetinėms parduotuvėms. Jei vienoje platformoje įvyksta duomenų nutekėjimas, nusikaltėliai gali bandyti tais pačiais prisijungimo duomenimis pasinaudoti kitose svetainėse.
Asmens duomenų apsauga ir platformų atsakomybė
Europos Sąjungoje veikiančios skaitmeninės platformos privalo laikytis Bendrojo duomenų apsaugos reglamento (BDAR), kai tvarko į jo taikymo sritį patenkančius asmens duomenis.
Tai reiškia, kad įmonės turi turėti teisėtą duomenų tvarkymo pagrindą, rinkti tik reikalingą informaciją ir taikyti tinkamas organizacines bei technines apsaugos priemones.
Labai svarbus yra skaidrumas. Vartotojas turi suprasti, kokie jo duomenys renkami, kokiais tikslais naudojami ir kokias teises jis turi. Taip pat jam turi būti paaiškinama, kaip duomenis ištrinti ar kitaip apsaugoti nuo naudojimo ateityje.
Įmonėms nepakanka vien paskelbti privatumo politiką. Jos taip pat turi pasirūpinti tinkamu prieigos teisių valdymu, atsarginių kopijų kūrimu, saugumo spragų šalinimu ir darbuotojų mokymu. Priklausomai nuo veiklos pobūdžio, papildomus kibernetinio saugumo reikalavimus gali nustatyti ir kiti Europos Sąjungos bei Lietuvos teisės aktai.
Kaip patys vartotojai gali sumažinti kibernetines grėsmes?
Nors didžioji techninio saugumo dalis priklauso nuo platformų valdytojų, vartotojų elgesys taip pat turi didelę reikšmę. Net gerai apsaugota sistema negali visiškai išvengti incidentų, jeigu žmogus pats atskleidžia savo prisijungimo duomenis.
Pirmiausia verta naudoti unikalius slaptažodžius, o jiems tvarkyti pasitelkti patikimą slaptažodžių tvarkyklę. Taip pat rekomenduojama įjungti papildomą autentifikavimą visur, kur tokia galimybė suteikiama.
Ne mažiau svarbu reguliariai atnaujinti telefonų, kompiuterių ir naudojamų programėlių programinę įrangą. Atnaujinimai dažnai pašalina saugumo spragas, kuriomis galėtų pasinaudoti nusikaltėliai.
Prieš atliekant mokėjimą nepažįstamoje svetainėje verta pasidomėti jos reputacija, patikrinti kontaktinius duomenis ir įvertinti siūlomus mokėjimo būdus.
Lietuvoje, kur elektroninė bankininkystė, skaitmeninės paslaugos ir internetinė prekyba tapo kasdienybe, šis klausimas ypač aktualus. Vartotojams svarbu nepamiršti paprastos taisyklės: net pati saugiausia sistema negali visiškai apsaugoti žmogaus, kuris savo prisijungimo duomenis savanoriškai perduoda sukčiams. Todėl geriausią rezultatą suteikia technologinių apsaugos priemonių ir atsakingo elgesio derinys.