Įsilaužėlių aukomis taip pat tapo Danijos prekybos rūmų, tinklo „Saldūs Majai“, batutų parko „Skypark“, Kablių centro, Kauno vietos veiklos grupės, laikraščio „Obzor“ ir kiti tinklalapiai. Nacionalinis kibernetinio saugumo centras (NKSC) teigia, kad beveik pusė visų lietuviškų svetainių yra pažeidžiamos.
Asmens duomenų apsaugos eksperto Sauliaus Davenio tikinimu, daugybėje iš šių aptiktų svetainių nebuvo laikomasi Bendrojo duomenų apsaugos reglamento principų.
Visos svetainės, kuriose matomas nepageidaujamas ir kenkėjiškas turinys, yra pažeistos ir nesaugios naršyti.
Gali padaryti dar daugiau
D.Šveikausko tyrimas rodo, kad įsilaužėlių įdiegta informacija tinklalapiuose yra įvairi. Kai kur reklamuojama kompiuterinė įranga, kitur – vaistai, dar kitur siūloma žaisti internetiniuose lažybų portaluose. Bet dažniausiai pasirodanti informacija yra erotinio pobūdžio. Užrašai yra anglų, arba, manoma, mandarinų kalbomis.
Galerijoje pateikėme tyrime užfiksuotų tinklalapių pavyzdžių. Kaip jie atrodo įprastai ir kokius rezultatus siūlo „Google“ svetainių ieškant „site:tinklalapis.lt“ principu.
Anot kibernetinio saugumo specialisto, jei įsilaužėlis sugeba įdiegti į svetainę kenkėjišką turinį, vadinasi, jis turi pakankamai aukšto lygio prieigą ir gali padaryti kur kas daugiau ir pavojingesnių veiksmų.
„Visos svetainės, kuriose matomas nepageidaujamas ir kenkėjiškas turinys, yra pažeistos ir nesaugios naršyti“, – teigia D.Šveikauskas.
Kai kurie tinklalapiai, pavyzdžiui, Telšių kultūros centro, šiuo metu nebeveikia. Esą vykdomi atnaujinimo darbai.
Medžioja ir privačių duomenų
Anot specialisto, mažai tikėtina, kad visi įsilaužimai buvo atliekami to paties asmens ar vienos grupės. Veikiau organizuotų grupių yra keletas ar net keliolika. Kita vertus, visų jų tikslai tie patys – gauti asmeninės naudos.
Kibernetinio saugumo ekspertas aiškina, kad įsilaužimais siekiama padidinti asmeninių svetainių lankomumą ir gauti finansinės naudos iš reklamos ar pardavimų. Taip pat įsilaužti į asmeninius kompiuterius privačių duomenų – elektroninio pašto laiškų, mokėjimo kortelių, vardų, pavardžių.
Kartu, jo teigimu, įsiskverbus į kitas svetaines galima jos resursais vykdyti atakas į kitus tinklalapius ar serverius, pavyzdžiui, siųsti SPAM laiškus. Dargi jis pabrėžia, kad atakos yra automatizuotos – knisamasi į ten, kur galima patekti.
Beveik pusė visų lietuviškų svetainių yra pažeidžiamos.
Pasak D.Šveikausko, aptikti įsilaužimai gali būti klasifikuojami į kelis: tai turinio įskiepijimas, kada nepageidaujamas turinys yra įkeliamas į jau egzistuojantį turintį. Turinio pridėjimas, kai įsilaužėlis įkelia naujo turinio į pažeistą svetainę. Paslėptas turinys, kada informacija yra pateikiama tik specialiems paieškos sistemų robotams. Anot kibernetinio saugumo specialisto, tokio turinio lankytojas pamatyti negali, nes robotas, atpažindamas naršantį žmogų, jį pakeičia.
Svetainėse taip pat buvo pastebėta komentarų užteršimo technika, kada viešinama įsibrovėliams naudinga nuoroda su turiniu. D.Šveikauskas pažymi, kad norint atlikti tokį puolimą laužtis į svetainę nėra būtina. Kartu buvo atpažintas ir svetainės nukreipimo metodas, kuris, anot D.Šveikausko, yra pats pavojingiausias nulaužtų svetainių lankytojams.
„Šiuo atveju svetainės lankytojo naršyklė automatiškai peradresuojama į kitą svetainę ar net į bylos atsisiuntimo adresą. Itin didelė tikimybė būti nukreiptam į kenkėjišką svetainę arba gauti kenkėjišką bylą, jei inicijuojamas automatinis atsisiuntimas“, – sako jis.
Lankytojų duomenų apsauga – ne prioritetas
Duomenų apsaugos specialistas S.Davenis peržiūrėjo D.Šveikausko sąrašą ir aptiko, jog dauguma svetainių prastai rūpinasi lankytojų duomenų apsauga arba nesirūpina visai.
Jo teigimu, beveik visų tinklalapių pagalba yra tvarkomi asmens duomenys, bet nė vienas iš 100 viešai nedemonstruoja aukščiausių standartų, ISO 27001 standarto sertifikato. Pastarasis užtikrinta informacijos saugumą ir padeda atitikti Bendrąjį duomenų apsaugos reglamentą (BDAR), taip pat skatina patikėti tinklapių valdytojais.
Pasak specialisto, tik 9 internetinės svetainės turėjo privatumo pranešimus, matomus į svetainę atėjusiems lankytojams.
„Praktiškai visų pažeistų svetainių valdytojai neįgyvendina ar nevisai tinkamai įgyvendina BDAR įtvirtiną teisėtumo, sąžiningumo ir skaidrumo principą. Toks požiūris neprideda pasitikėjimo asmens duomenų saugumu ir gali skatinti dvejoti svetainių valdytojų gebėjimais užtikrinti asmens duomenų saugumą“, – sako S. Davenis.
-
Į internetines parduotuves įsisuko kenkėjiška programa, specialistai ragina blokuoti banko korteles
-
Lenkija įkurs kibernetinės gynybos pajėgas
-
Nepavykusi Rusijos kibernetinė ataka prieš Ukrainą: žala turėjo būti kur kas didesnė
-
Ar per išaiškintą SIM kortelių spragą sekami Lietuvos mobiliojo ryšio naudotojai?
-
„Aš neturiu ką slėpti“ – prarastoji karta kibernetinio saugumo pasaulyje
-
Dažniausiai įmonių daromos IT saugumo klaidos
VDAI įtarimo nesukėlė
Valstybinės duomenų apsaugos inspekcijos (VDAI) Teisės skyriaus patarėja Raminta Sinkevičiūtė-Šeckuvienė teigia, kad iš D.Šveikausko atradimų sunku spręsti, ar lankytojai prarado asmens duomenų.
Jos teigimu, kibernetinis incidentas gali lemti asmens duomenų saugumo pažeidimą tik keliais atvejais. Tada, kai įvyksta neleistinas tvarkomų asmens duomenų atskleidimas, pakeitimas ar prieinamumo praradimas.
Svetainių valdytojams dažnai užkratų išvalyti nepavyksta. Anot NKSC, į tinklalapį pakartotinai įsilaužiama net kelis kartus.
Šiuo atveju, VDAI teigimu, nėra aišku, ar svetainėse yra tvarkomi asmens duomenys.
„Šiuo atveju iš pateiktos informacijos nėra galimybės vienareikšmiškai nustatyti, ar minėti kibernetiniai incidentai galėjo lemti asmens duomenų saugumo pažeidimus, nes nėra aišku, ar minėtose svetainėse tvarkomi ir asmens duomenys“, – teigia ji.
Kartu ji pabrėžia, jeigu visgi duomenys tvarkomi, nustačius pažeidimą privalu jį ištaisyti, apie situaciją pranešti VDAI ir pačiam asmeniui.
NKSC: pažeidžiamos yra beveik pusė visų lietuviškų svetainių
NKSC, peržiūrėjęs paveiktų svetainių sąrašą, taip pat teigia, kad kol kas sunku nustatyti įsilaužimų rimtumą. Tačiau, jeigu svetainėje yra paveiktų bylų (angl. files – red.), tai esą parodo rimtą grėsmę ir galimybę pasiekti bei pažeisti kitus tarnybinėje stotyje esančius duomenis.
„Nepriklausomai nuo to, ar vartotojai registruoti, ar ne, rizika netekti duomenų, įvedamų pažeistoje svetainėje, išlieka visada. Net iš pirmo žvilgsnio visai nekaltos brukalo tipo nuorodos gali indikuoti dideles problemas sistemoje ir duomenų praradimo riziką“, – 15min teigia NKSC.
Centro atstovai teigia, kad atlikus prieš keletą savaičių pristatytą interneto svetainių pažeidžiamumo tyrimo statistiką, buvo pastebėta nerimą keliant tendencija. Beveik pusė lietuviškų svetainių, registruotų .lt zonoje, yra pažeidžiamos.
Kartu tikinama, kad net ir nustačius įsilaužimus, svetainių valdytojams dažnai užkratų išvalyti nepavyksta. Anot NKSC, į tinklalapį pakartotinai įsilaužiama net kelis kartus.
Todėl, anot NKSC, rekomenduojama kreiptis į specialistus pažeistoms svetainėms sutvarkyti ir apsaugoti ateityje.
Visais pažeistų svetainių atvejais pradėtas NKSC tyrimas.
Visas paveiktų svetainių sąrašas
-
maistasreklamai.lt
-
telsiukultura.lt
-
hotel-vingis.lt
-
skypark.lt
-
gediminogimnazija.lt
-
majai.lt
-
gargzdupsc.lt
-
leanacademy.lt
-
alytausbu.lt
-
nekiltukas.lt
-
igmovila.lt
-
dcc.lt
-
sodyba-namelis.lt
-
symulevic.lt
-
kabliucentras.lt
-
kaunorvvg.lt
-
uroboras.lt
-
ekskavatoriaus.lt
-
bosasirko.lt
-
tangutas.lt
-
komtela.lt
-
gerbuviai.lt
-
hidreja.lt
-
kursucentras.lt
-
lamberta.lt
-
sandeliunuoma.lt
-
utenostv.lt
-
teisingumocentras.lt
-
genmak.lt
-
truckmaster.lt
-
autonuomaplius.lt
-
reklamosremontas.lt
-
raleksas.lt
-
sofijossukneles.lt
-
tempusnovum.lt
-
tikstara.lt
-
egofirmus.lt
-
benvenuta.lt
-
stogdenga.lt
-
almeca.lt
-
avoice.lt
-
dentinas.lt
-
brcentras.lt
-
lsiskl.lt
-
nivelsta.lt
-
norusalis.lt
-
brazuolejepasjuoza.lt
-
secretgarden.lt
-
snowbees.lt
-
asrc.lt
-
angelma.lt
-
statrama.lt
-
lese.lt
-
ist.su.lt
-
tpm.lt
-
amestana.lt
-
topdog.lt
-
gerugne.lt
-
lovemedia.lt
-
chgroupnt.lt
-
saltineliovaikai.lt
-
laurus.lt
-
pociunas.lt
-
gina-laura.lt
-
maistprofsajunga.lt
-
zootop.lt
-
daukantas.lt
-
4hair.lt
-
labaiteatras.lt
-
pastatupamatustatyba.lt
-
autolandus.lt
-
barsis.lt
-
officebee.lt
-
slimi.lt
-
renginiubankas.lt
-
termodomus.lt
-
ntzp.lt
-
vilimeksas.lt
-
nedelsk.lt
-
obzor.lt
-
notanga.lt
-
miniekskavatorius.lt
-
siuksliutvarkymas.lt
-
dideiva.lt
-
hitra.lt
-
telemedicina.santa.lt
-
joku.lt
-
jerevan.lt
-
wenge.lt
-
priemiestis.lt
-
elektrikaskaune.lt
-
dainiaussodyba.lt
-
gargzdurangosdarbai.lt
-
evaldolangai.lt
-
superpusryciai.lt
-
intrus.lt
-
csrbaltic.lt
-
virtuveslyga.lt
-
vairada.lt
-
gaisrine.siauliai.lt
