Uzklikšķināju uz krāpnieciskas saites – ko darīt?

Pirmās piecas minūtes

Vispirms pārtrauc to, kas notiek: aizver lapu, neievadi vairāk neko un neatbildi uz vēstuli vai zvanu. Ja tev kāds šobrīd zvana un vada tavas darbības, noliec klausuli. Krāpniecība balstās uz steigu, un pauze pati par sevi ir aizsardzība.

Pēc tam nosaki, kurā no pieciem scenārijiem esi. Tas nosaka, kas jādara pirmais un kam jāzvana. Ja šaubies starp diviem, rīkojies pēc smagākā.

Kas notika un ar ko sākt

Ko izdarīji	Pirmais solis	Kam zvani vai raksti
Tikai atvēri lapu	Aizver lapu, neko neievadi	CERT.LV; darba ierīces gadījumā arī IT atbildīgajam atbilstoši iekšējai kārtībai
Ievadīji paroli	No uzticamas ierīces nomaini paroli un atsauc sesijas	Pakalpojuma atbalstam vai savam IT atbildīgajam
Ievadīji kartes datus	Bloķē karti bankas lietotnē vai sazinies ar banku	Bankai pa oficiālo numuru
Apstiprināji svešu Smart-ID vai eParaksts pieprasījumu	Sazinies ar attiecīgo pakalpojumu; finanšu riska gadījumā nekavējoties ar banku	Bankai vai pakalpojumam; par iespējamu noziegumu policijai
Palaidi aizdomīgu failu vai instalēji programmu	Pārtrauc darbu; saskaņo ierīces izolēšanu un pierādījumu saglabāšanu	IT vai incidentu reaģēšanas speciālistam

Ja tikai atvēri lapu, bet neko neievadīji

Lapas atvēršana pati par sevi vēl nepierāda ierīces kompromitēšanu. Tomēr pārbaudi, vai nav lejupielādēts vai palaists fails, piešķirtas pārlūka atļaujas vai ievadīti dati. Ja pārlūks nav atjaunināts vai redzamas citas aizdomīgas pazīmes, arī šajā scenārijā var būt vajadzīga ierīces pārbaude.

1. Aizver cilni. Neievadi neko arī tad, ja lapa uzstāj vai parāda kļūdas paziņojumu.
2. Ja lapa lūdza atļauju rādīt paziņojumus vai instalēt paplašinājumu, atsauc šo atļauju pārlūka iestatījumos.
3. Ja fails lejupielādējās pats, neatver to. Darba ierīcē saglabā to neskartu un saskaņo turpmāko rīcību ar IT atbildīgo.
4. Ja ir aizdomas par ierīces apdraudējumu, saskaņo pārbaudi ar IT atbildīgo. Personīgai ierīcei izmanto atjauninātu aizsardzības programmu un uzticamu tehnisko atbalstu.

Saglabā vēstuli un pārsūti to CERT.LV; darba incidentā vispirms vai paralēli informē savu IT atbildīgo. Nav jāatver saite vēlreiz, lai sagatavotu ziņojumu.

Ja ievadīji paroli

Uzskati ievadīto paroli par kompromitētu. No citas, uzticamas ierīces atver īsto pakalpojumu, nomaini paroli un atsauc aktīvās sesijas. Nomaini paroli arī citur, kur lietoji tādu pašu vai ļoti līdzīgu. Pārbaudi, vai nav pievienotas svešas MFA metodes, atkopšanas adreses vai lietotņu atļaujas.

NIST autentifikācijas vadlīnijas (SP 800-63B-4) nosaka, ka parole nav jāmaina bez iemesla, taču pakalpojumam obligāti jāpieprasa maiņa, ja ir pierādījumi par kompromitēšanu. Pikšķerēšanas lapā ievadīta parole ir tieši tāds pierādījums.

Tajās pašās vadlīnijās teikts, ka paroles garums ir svarīgāks par simbolu sajaukumu: pakalpojumam būtu jāatļauj vismaz 64 zīmes un nevajadzētu uzspiest sarežģītības noteikumus. Praktiski tas nozīmē – jaunā parole var būt gara frāze, un tā ir drošāka nekā īsa ar izsaukuma zīmi beigās.

Ja ievadīji kartes datus vai apstiprināji maksājumu

Bloķē karti pats internetbankā vai bankas lietotnē – tas ir ātrāk nekā gaidīt atbildi telefonā. Pēc tam zvani bankai pa numuru, kas norādīts uz kartes vai bankas oficiālajā vietnē, un pastāsti, kas notika.

1. Bloķē karti un, ja iespējams, apturi neapstiprinātos darījumus.
2. Pārskati darījumu vēsturi par pēdējām dienām un atzīmē visu, ko neatpazīsti.
3. Pieprasi bankai strīdus procedūru par neatļautajiem darījumiem.
4. Ja nauda ir pārskaitīta, ziņo arī Valsts policijai – jo ātrāk, jo lielāka iespēja izsekot maksājumam.

Rakstisku iesniegumu Valsts policijai vari iesniegt klātienē, e-adresē vai ar drošu elektronisko parakstu uz pasts@vp.gov.lv. Saglabā darījumu informāciju un saraksti. Tūlītējai policijas palīdzībai ārkārtas situācijā zvani 112.

Ja apstiprināji svešu Smart-ID vai eParaksts pieprasījumu

Noskaidro, kādu darbību apstiprināji. Smart-ID PIN1 izmanto autentifikācijai, PIN2 – parakstīšanai, tostarp maksājumu apstiprināšanai; ne katra autentifikācija ir dokumenta parakstīšana. Ja pieprasījums saistīts ar banku vai neesi drošs, nekavējoties sazinies ar banku. Citā pakalpojumā sazinies ar tā atbalstu un saglabā redzamo informāciju par darbību.

Smart-ID lietotnē pārbaudi pakalpojumu, darbības saturu un kontroles kodu. Apstiprini tikai saprotamu darbību, ko pats uzsāki īstajā pakalpojumā. Ja pieprasījums ir svešs, noraidi to un pārbaudi konta drošību; PIN kodus nevienam nenosauc.

Ja atvēri pielikumu

Ja ir aizdomas, ka palaista ļaunatūra, pārtrauc darbu un nekavējoties sazinies ar IT vai incidentu reaģēšanas speciālistu. Tīkla savienojuma izolēšana var ierobežot izplatīšanos un saziņu ar uzbrucēju, taču neaptur visas darbības pašā ierīcē. Darba un kritiskās sistēmās izolēšanu saskaņo, ņemot vērā pakalpojuma un cilvēku drošību.

Nerestartē ierīci, nepārinstalē sistēmu un nedzēs failus tikai tāpēc, lai mēģinātu incidentu novērst: tā var pazaudēt pierādījumus. Izslēgšanu vai citus pasākumus izvēlas atbilstoši situācijai. Paroles maini no uzticamas ierīces. Saskaņo pārbaudi un pierādījumu saglabāšanu ar atbildīgo speciālistu.

Ierīci var apdraudēt ne tikai pielikums: arī ievainojams pārlūks, instalēts paplašinājums vai krāpnieka ieteikta attālinātas piekļuves programma. Savukārt konta pārņemšanai var pietikt ar nozagtiem piekļuves vai sesijas datiem. Redzamu kļūdu trūkums nepierāda, ka viss ir droši.

Pieraksti notikumu laiku, saņemto ziņu un savas darbības. Neizplati aizdomīgu failu kolēģiem un neaugšupielādē darba dokumentus publiskos pārbaudes servisos; drošu nodošanas veidu saskaņo ar speciālistu.

Kādā secībā glābt kontus

Prioritāti nosaka tūlītējais risks. Ja notiek maksājums vai apdraudēta karte, vispirms sazinies ar banku. Paralēli aizsargā pārņemtos darba un e-pasta kontus, jo ar tiem var atjaunot piekļuvi citiem pakalpojumiem.

1. E-pasts un darba konti. Pārņemts konts var dot piekļuvi arī citu pakalpojumu atkopšanai.
2. Internetbanka un maksājumu lietotnes. Tur ir tiešs finansiāls risks.
3. Konti, kuros lietoji to pašu paroli. Uzbrucēji izmēģina noplūdušos datus citur automātiski.
4. Sociālie tīkli. Uzbrucējs var izmantot tavu identitāti, lai krāptu paziņas.
5. Pārējie. Iepirkšanās, forumi, pakalpojumi bez maksājuma datiem.

Katram no tiem, kur tas ir pieejams, ieslēdz divfaktoru autentifikāciju. Nozagta parole bez otrā faktora vairumā gadījumu vairs nedod piekļuvi.

Kam ziņot Latvijā

Aizdomīgu e-pastu pārsūti uz cert@cert.lv. Nopietna incidenta gadījumā – uzlauzts konts, zaudēta nauda, apdraudēta darba ierīce – zvani CERT.LV pa +371 67085888. Ja nauda ir zaudēta, papildus ziņo Valsts policijai.

Ziņojumā noder pilna sūtītāja adrese, saite (nokopēta, nespiežot uz tās), laiks un tas, kā ziņa pie tevis nonāca. Pilnu sarakstu, kurai iestādei kura situācija pieder, skati ceļvedī kā ziņot CERT.LV par pikšķerēšanu.

Ko pārbaudīt uzreiz un turpmāk

Sesiju atsaukšanu un konta iestatījumu pārbaudi veic uzreiz, negaidot nākamo nedēļu. Pēc sākotnējās ierobežošanas turpini pārraudzīt pieteikšanās un darījumus, seko pakalpojuma vai IT atbalsta norādēm un novērs atkārtošanās cēloņus.

• Pārskati kontu aktīvās sesijas un ierīces – izraksti visas, ko neatpazīsti.
• Pārbaudi e-pasta pāradresācijas noteikumus: uzbrucēji bieži iestata slēptu kopiju uz savu adresi un paliek iekšā pat pēc paroles maiņas.
• Pārej uz paroļu pārvaldnieku, lai katram kontam būtu atsevišķa parole – tad nākamā noplūde skars tikai vienu vietu.

Kad viss ir nokārtots, ir vērts saprast, kas tieši tevi pieķēra. Septiņas pazīmes, pēc kurām atpazīt krāpniecisku e-pastu, palīdz nākamreiz apstāties agrāk.