# Sąskaitų sukčiavimas: kai laiškas tikras > Trys tikri atvejai, vienas iš jų — 400 000 eurų. Kodėl įprasti požymiai nepadeda ir kokia viena taisyklė sustabdo visus tris. ## Trys istorijos, viena schema Ši pamoka — apie sukčiavimo tipą, kurio neatpažinsite pagal keistą adresą ar rašybos klaidas, nes jų nėra. Vadinasi jis BEC — verslo el. pašto kompromitavimas. Trys tikri atvejai iš Lietuvos įmonių, anonimizuoti. Schema visuose ta pati. Baigtys — skirtingos. Ir skyrėsi ne technologija. ## Pirmas atvejis: sąskaita iš Italijos Įmonės buhalterė gavo laišką iš Italijos tiekėjo su sąskaita už neseniai gautas paslaugas. Paslauga tikrai suteikta. Su tiekėju dirbama ne pirmus metus. Laiške — vienas papildomas sakinys: dėl banko sutrikimų pavedimą reikia atlikti kitu sąskaitos numeriu. Pavedimas atliktas. Po mėnesio tiekėjas paklausė, kodėl sąskaita vis dar neapmokėta. ## Kodėl niekas nebūtų padėję Sukčiai buvo patekę į **tiekėjo** pašto dėžutę. Jie perimdavo tikrus laiškus ir pakeisdavo vieną laukelį dokumente. Patikrinkime tą laišką pagal įprastus patarimus: - Siuntėjo adresas — **tikras**. Ne panašus, o tas pats. - Dėžutė ir laiškų gija — **tikros**. - Sąskaita — **tikra**, už realiai atliktą darbą. - Santykiai — **seni**, ne pirmas pavedimas. - Kalba — **tvarkinga**, be skubos ir grasinimų. Pasikeitė vienintelis dalykas — **sąskaitos numeris**. > **Schema.** Sąskaita, kurioje viskas tikra, išskyrus vieną laukelį: siuntėjo adresas tikras, laiškų gija tikra, sąskaita už realų darbą, suma teisinga, kalba tvarkinga. Pasikeitęs tik IBAN — ir būtent jo niekas netikrina. Kaip sukčiai atsiduria tiekėjo dėžutėje ir kodėl jų niekas nepastebi: > **Schema.** Sukčiavimo eiga laike: tiekėjo darbuotojas paspaudžia netikrą nuorodą ir dėžutė perimama; sukčiai susikuria tylią persiuntimo taisyklę; dienas ar savaites skaito, kas ir kiek moka; tiekėjas išsiunčia tikrą sąskaitą; sukčiai prideda sakinį apie naują sąskaitos numerį; jūs sumokate; po mėnesio tiekėjas klausia, kodėl neapmokėta. ## Antras atvejis: laiškas iš vadovo dėžutės Kito kliento vadovas gavo pranešimą, kad Microsoft 365 paskyroje laukia neperskaitytų svarbių laiškų. Paspaudė, suvedė slaptažodį, suvedė 2FA kodą — ir „kažkas nesuveikė". Sukčiai perėmė dėžutę ir **dvi savaites** tyliai skaitė gaunamus ir siunčiamus laiškus. Tada rado tikrą vadovo susirašinėjimą su buhaltere, jį nukopijavo ir paprašė sumokėti **100 000 eurų** pagal išankstinę sąskaitą. Laiškas atėjo iš **tikros vadovo dėžutės**, tikroje gijoje, taisyklinga lietuvių kalba ir idealiai nukopijuotu vadovo rašymo stiliumi. ## „2FA nesuveikė" — tai ne klaida Šį sakinį verta įsiminti visam gyvenimui. Netikras puslapis realiu laiku perduoda jūsų slaptažodį ir kodą tikram Microsoft, pasiima prisijungimo **sesiją** ir įleidžia sukčių. Jūs matote „klaidą" — jis mato jūsų paštą. > **Schema.** Kaip veikia AiTM ataka: jūs suvedate slaptažodį ir 2FA kodą į netikrą Microsoft puslapį. Jis tą pačią sekundę perduoda juos tikram Microsoft, gauna prisijungimo sesiją ir pasilieka ją sau, o jums parodo klaidą. Sukčius patenka į paštą, nors MFA buvo įjungta. Passkey arba fizinis raktas šią grandinę nutraukia, nes veikia tik tikrame Microsoft adrese. Todėl MFA su SMS ar programėlės kodu nėra neperšaunama. Atsparūs tokiai atakai yra tik **passkeys arba fiziniai raktai**, nes ten nėra kodo, kurį būtų galima perduoti. Ir todėl po tokio įvykio slaptažodžio pakeisti **neužtenka**: reikia atšaukti aktyvias sesijas ir patikrinti pašto taisykles — sukčiai dažnai pirmiausia susikuria tylų laiškų persiuntimą. ## Kaip baigėsi antras atvejis Buhalterė dirbo šalia vadovo kabineto. Ji tiesiog užėjo ir paklausė, ar tikrai. Vadovas nedelsdamas kreipėsi į IT, dėžutė buvo atstatyta, pinigai liko įmonėje. Palyginkite: pirmu atveju viskas atrodė tvarkinga ir niekas nepaklausė. Antru atveju niekas atakos neatpažino techniškai — tiesiog vienas žmogus nusprendė patikslinti. > Klausimas „ar tikrai tu siuntei?" yra pigiausia įmonės saugumo priemonė. ## Trečias atvejis: 400 000 eurų Kad nesusidarytų įspūdžio, jog kalbame apie smulkmenas. Stambios Lietuvos įmonės buhalterė pagal tą pačią schemą — **pakeistą sąskaitos numerį** — pervedė **400 000 eurų**. Pinigų susigrąžinti nepavyko. Įmonę išgelbėjo tai, kad ji turėjo **sukčiavimo (kibernetinių rizikų) draudimą**. Frančizė — 50 000 eurų, taigi nuostolis liko, bet vietoj 400 000 jis buvo 50 000. > **Schema.** Draudimo poveikis: pervesta sukčiams 400 000 eurų, susigrąžinta 0 eurų, įmonės nuostolis su sukčiavimo draudimu — 50 000 eurų frančizė. Trys pamokos iš šio atvejo: 1. **Suma nėra apsauga.** Kuo įmonė didesnė, tuo didesnis ir pavedimas atrodo normaliai — sukčiai tai žino ir taikosi būtent į tokias. 2. **Grąžinti beveik neįmanoma.** Pinigai per valandas išskaidomi po kelias sąskaitas užsienyje. Todėl visa viltis — sustabdyti pavedimą tą pačią dieną. 3. **Draudimas yra paskutinis, o ne pirmas sluoksnis.** Jis nepadeda išvengti atakos, bet paverčia įmonę žlugdantį nuostolį skaudžiu, tačiau pakeliamu. ## Ar verta kibernetinių rizikų draudimo? Trumpai apie tai, ko dažniausiai klausia vadovai: - **Kas dengiama.** Priklausomai nuo poliso — sukčiavimu prarastos lėšos, incidento tyrimas, duomenų atkūrimas, veiklos nutrūkimas, teisinė pagalba. - **Frančizė.** Dalis nuostolio visada lieka jums. Mažoms įmonėms ji prasideda nuo kelių šimtų eurų, stambioms siekia dešimtis tūkstančių. - **Prieš sudarant polisą draudikas jus patikrina.** Praktiškai visi skenuoja įmonės išorinę infrastruktūrą ir reikalauja pataisyti kritines spragas. Tai reiškia, kad **be tvarkingo saugumo draudimo tiesiog negausite** — arba gausite brangų. - **Draudimas nepakeičia MFA ir procedūrų.** Jis yra tam, kas lieka po jų. Pradėti verta nuo pokalbio su savo draudimo brokeriu ir klausimo: *„ar mūsų polise dengiamas pavedimas sukčiams dėl pakeisto sąskaitos numerio?"* — nes ne visi polisai tai dengia, ir būtent šis punktas yra svarbiausias. Naudingi šaltiniai: [Colemont apžvalga apie kibernetinių rizikų draudimą Lietuvoje](https://colemont.lt/kibernetiniu-riziku-draudimas-lietuvoje-lloyds-of-london-colemont/) · [BTA kibernetinio saugumo draudimo taisyklės (PDF)](https://www.bta.lt/media/Taisykles-privatiems/Cyber/kibernetinio-saugumo-taisykles-2026.pdf) ## Taisyklė, kuri veikia abiem atvejais > **Keičiasi sąskaitos numeris arba prašoma neplanuoto pavedimo → skambink.** > Anksčiau žinomu numeriu. Ne tuo, kuris nurodytas laiške. Trisdešimt sekundžių pokalbio. Visada — net jei tiekėjas pažįstamas dešimt metų. Ypač tada, nes būtent tada nekyla įtarimų. > **Schema.** Sprendimo schema prieš pavedimą: jei pasikeitė sąskaitos numeris arba prašoma neplanuoto ar skubaus pavedimo, skambinkite anksčiau žinomu numeriu, ne nurodytu laiške. Jei patvirtino balsu, galima mokėti, o virš nustatytos sumos reikia antro parašo. Jei nepatvirtino arba neatsiliepia, nemokėti ir pranešti IT. Jei nieko nepasikeitė, rekvizitai tikrinami pagal tiekėjų sąrašą. ## Procedūra per 15 minučių — užrašo AI Taisyklės veikia tik tada, kai jos užrašytos ir visi jas matė. Užrašyti padės AI — nukopijuokite, įrašykite savo duomenis vietoj laužtinių skliaustų ir nusiųskite: ```text Padėk man parašyti trumpą, vieno puslapio mokėjimų saugumo procedūrą mūsų įmonei. APIE MUS - Veikla ir darbuotojų skaičius: [...] - Kas ruošia mokėjimus: [pareigos] - Kas juos tvirtina: [pareigos] - Kokiu banku naudojamės: [...] PROCEDŪROJE TURI BŪTI 1. Kaip keičiami tiekėjo rekvizitai: niekada ne el. paštu, patvirtinimas skambučiu anksčiau žinomu numeriu, kas ir kur tai užfiksuoja. 2. Suma, virš kurios reikia dviejų žmonių patvirtinimo. Pasiūlyk ribą pagal mūsų dydį. 3. Ką daryti, kai skubus prašymas ateina iš vadovo el. pašto. 4. Ką daryti per pirmą valandą, jei pinigai jau išsiųsti. 5. Vienas sakinys darbuotojams: klausti ir tikrinti yra gerai, net jei prašo vadovas. EIGA Pirmiausia užduok man trūkstamus klausimus, po vieną. Tada parodyk juodraštį. Rašyk lietuviškai, paprastai, be teisinio žargono. Nieko neišgalvok apie mūsų įmonę — jei trūksta fakto, klausk. ``` Gautą tekstą atspausdinkite ir duokite pasirašyti visiems, kas ruošia ar tvirtina mokėjimus. Penktas punktas svarbiausias: buhalterė, bijanti „trukdyti vadovui", yra saugumo spraga. Antrame atvejyje 100 000 eurų išgelbėjo būtent klausimas. ## Patikrinkite savo dėžutę per 2 minutes Perėmę dėžutę, sukčiai pirmiausia pasirūpina, kad jų nepastebėtumėte: susikuria **persiuntimą** (kiekvienas laiškas keliauja ir jiems) arba **taisyklę**, kuri paslepia atsakymus — pavyzdžiui, perkelia laiškus su žodžiu „sąskaita" ar „mokėjimas" į aplanką, į kurį niekas nežiūri. Patikrinkite, ar jūsų dėžutėje nėra to, ko nekūrėte:

Outlook / Microsoft 365

Naršyklėje, outlook.office.com

  1. ⚙ Parametrai (Settings) → Paštas (Mail).
  2. Persiuntimas (Forwarding): ar neįjungtas į nepažįstamą adresą?
  3. Taisyklės (Rules): ar nėra taisyklių, kurių nekūrėte — ypač perkeliančių ar trinančių laiškus?

Gmail / Google Workspace

Naršyklėje, mail.google.com

  1. ⚙ → Žr. visus nustatymus (See all settings).
  2. Persiuntimas ir POP/IMAP (Forwarding): ar nėra svetimo adreso?
  3. Filtrai ir užblokuoti adresai (Filters): ar nėra filtrų, kurių nekūrėte?
Radote ką nors keisto? **Nufotografuokite ekraną ir nedelsdami praneškite IT.** Taisyklė yra įrodymas, pagal kurį nustatoma, kada ir kaip sukčiai pateko. Jei IT greitai nepasiekiamas — išjunkite persiuntimą patys, bet tik padarę nuotrauką. ## Ar gali padėti AI? Iš dalies — ir svarbu žinoti, kur riba. **Gali:** įklijuokite laišką (be asmens duomenų) ir paprašykite patikrinti, ar domenas sutampa, ar nėra netikrų raidžių, ar formuluotė neatitinka ankstesnio susirašinėjimo stiliaus. Sukčiams tenka rašyti naujai, todėl tonas dažnai „beveik toks pat". AI tokį neatitikimą pastebi. **Gali ir kas mėnesį:** jei sąskaitas į skaičiuoklę suvedate su AI, tas pats AI palygina šio mėnesio IBAN su praėjusio ir parodo, kurie pasikeitė. Kaip tai padaryti — pamokoje **[Sąskaitos iš el. pašto tiesiai į skaičiuoklę](/pamokos/saskaitos-i-skaiciuokle)**. **Negali:** patvirtinti, kad IBAN priklauso jūsų tiekėjui. Prieigos prie banko duomenų jis neturi, o atsakymas gali skambėti įtikinamai ir būti neteisingas. > Todėl AI yra **antra nuomonė prieš skambutį**, o ne vietoj jo. > Sąskaitos numerį patvirtina tik žmogus telefonu. ## Jei pinigai jau pervesti 1. **Skambinkite į banką nedelsdami** — per pirmas valandas pavedimą kartais dar galima sustabdyti ar atšaukti. 2. Praneškite policijai. 3. Įspėkite tiekėją — greičiausiai perimta jo dėžutė ir aukų yra daugiau. 4. Kreipkitės į IT: sesijų atšaukimas, slaptažodžiai, pašto taisyklės, žurnalai. 5. Nedelskite dėl gėdos. Ši schema apgauna patyrusius žmones — todėl ji ir veikia. Reikia pagalbos dabar? **pagalba@itbroliai.lt** · **+370 618 05093** ## Pasitikrinkite Šeši klausimai apie tai, ką ką tik perskaitėte. Pabaigoje gausite sertifikatą su savo rezultatu.