AI ir kibernetinis saugumas Lietuvoje: NKSC ataskaita

AI ir kibernetinis saugumas Lietuvoje šiandien yra glaudžiai susiję: dirbtinis intelektas tapo įrankiu tiek gynybai, tiek atakoms, o Nacionalinio kibernetinio saugumo centro duomenys rodo, kad generatyvinis DI jau kasdien naudojamas nusikaltėlių, siekiant kurti įtikinamesnius sukčiavimo scenarijus ir greičiau išnaudoti saugumo spragas.

Ką atskleidžia NKSC 2025 metų ataskaita

Krašto apsaugos ministerijos svetainėje paskelbtoje publikacijoje „Tarptautinė kibernetinių grėsmių ataskaita: dirbtinis intelektas ir pažeidžiamos interneto sistemos keičia kibernetinių atakų pobūdį“ pristatoma Nacionalinio kibernetinio saugumo centro (NKSC) prie Krašto apsaugos ministerijos kartu su tarptautiniais partneriais parengta 2025 metų kibernetinių grėsmių ataskaita.

NKSC direktorius Antanas Aleknavičius teigia: „Kibernetinės atakos tampa vis greitesnės, tikslesnės ir sunkiau atpažįstamos. Dirbtinis intelektas leidžia efektyviau rinkti informaciją apie taikinius, kurti įtikinamus sukčiavimo laiškus ir sparčiau išnaudoti saugumo spragas.“

Konkretūs skaičiai: kas dominuoja atakų peizaže

Ataskaitoje pateikiami tikslūs duomenys apie 2025 metų incidentus Lietuvoje:

• Iš viso susisteminti 5 418 kibernetiniai incidentai.
• Paskirstytos paslaugos trikdymo (DDoS) atakos sudarė 44,4 proc. visų fiksuotų incidentų.
• Išpirkos reikalaujančios kenkėjiškos programos sudarė 40,1 proc.
• Kartu šie du atakų tipai sudarė daugiau kaip 84 proc. visų susistemintų atvejų.

Ataskaitoje taip pat pažymima, kad didelę DDoS atakų dalį lėmė politiškai motyvuotos haktivistų grupės, dažniausiai taikiusios į Ukrainą remiančias valstybes: tokiomis atakomis paprastai siekiama ne ilgalaikės techninės žalos, o dėmesio ir politinio spaudimo.

Kaip DI keičia fišingo atakų pobūdį

Vienas svarbiausių ataskaitos akcentų: kaip DI paveikia fišingą, kuris išlieka pagrindiniu būdu, kuriuo užpuolikai gauna pirminę prieigą prie organizacijų sistemų. Generatyvinis DI leidžia kurti vis įtikinamesnius sukčiavimo scenarijus, todėl vartotojams tampa sunkiau atskirti tikrus pranešimus nuo apgaulingų. Tai įgalina nusikalstamas grupuotes ir valstybės remiamus veikėjus rengti daugiau, pigesnių ir geriau konkretiems žmonėms ar organizacijoms pritaikytų atakų.

Keičiasi ir išpirkos reikalaujančių programišių veikla, jie vis dažniau taikosi ir į organizacijų vidinius tinklus, ir į debesijos bei programinės įrangos kaip paslaugos (SaaS) sistemas, kuriose saugomi svarbūs duomenys.

Ką NKSC rekomenduoja organizacijoms

Ataskaitoje pabrėžiama, kad sparčiai tobulėjant dirbtinio intelekto technologijoms vien techninių apsaugos priemonių nebepakanka. NKSC rekomenduoja:

• Reguliariai atnaujinti naudojamą programinę įrangą ir stebėti viešai prieinamų sistemų saugumą.
• Taikyti daugiapakopį tapatybės patvirtinimą kritinėms sistemoms.
• Stiprinti darbuotojų gebėjimą atpažinti sukčiavimo bandymus, net profesionaliai atrodantys laiškai gali būti sukurti pasitelkus dirbtinį intelektą.

Ką tai reiškia Lietuvos verslui

Daugumai įmonių didžiausia rizika: ne sudėtingos, tikslinės atakos, o būtent DI sustiprintas fišingas ir socialinė inžinerija, nes jį lengviausia pritaikyti masiškai ir pigiai. Kartu, kaip rodo ataskaita, tos pačios DI technologijos gali padėti ir gynybai: analizuoti anomalijas, greičiau aptikti pažeidžiamumus ir automatizuoti dalį saugumo stebėsenos.

Norint saugiai integruoti AI sprendimus į įmonės IT infrastruktūrą, svarbu iš anksto numatyti, kur DI padės identifikuoti grėsmes ir kur pati DI sistema gali tapti nauju pažeidžiamumu. Būtent tuo užsiima AI sprendimai IT srityje: jų tikslas ir automatizuoti procesus, ir daryti tai saugiai.

Kaip tai atrodo praktiškai

Įsivaizduokime buhalterinės paslaugas teikiančią Lietuvos įmonę, kuriai atkeliauja laiškas, iš pažiūros parašytas ilgamečio kliento, prašantis skubiai pakeisti sąskaitos rekvizitus pervedimui. Anksčiau tokius bandymus dažnai išduodavo prastas kalbos stilius ar akivaizdžios klaidos. Šiandien, pasitelkus generatyvinį DI, panašus laiškas gali būti parašytas beveik nepriekaištinga lietuvių kalba, imituojant konkretaus žmogaus rašymo manierą. Būtent tokia situacija paaiškina, kodėl NKSC pabrėžia darbuotojų sąmoningumo svarbą: techninės priemonės, tokios kaip el. pašto filtrai, gali nesustabdyti gerai parašyto, tikslingai pritaikyto laiško, jei darbuotojas neturi įpročio patikrinti prašymą papildomu kanalu prieš atlikdamas pervedimą.

Kodėl verta įvertinti riziką prieš diegiant AI

Kadangi NKSC ataskaita rodo, kad kibernetiniai nusikaltėliai patys aktyviai naudoja DI, kiekvienas AI sprendimas, kurį diegia įmonė, turi būti vertinamas ir saugumo, o ne tik naudos kampu. AI auditas padeda iš anksto nustatyti, kur DI naudojimas gali sukurti naujas duomenų saugumo spragas, ir parengti organizaciją atsakingam, saugiam AI diegimui.

Kiek kainuoja vienas praleistas fišingo laiškas

Rizika tampa suprantamesnė, kai ją paverčiate skaičiais. Paimkime 20 darbuotojų paslaugų įmonę, kurioje 8 žmonės kasdien dirba su el. paštu ir sąskaitomis.

Tarkime, per mėnesį įmonę pasiekia 12 sukčiavimo bandymų, iš kurių filtrai sustabdo 10. Lieka du laiškai, kurie atrodo tikroviškai. Jei bent vienas iš dešimties tokių praeinančių laiškų pasiekia tikslą, per metus tikėtinas maždaug vienas sėkmingas incidentas.

Toliau paprasta aritmetika. Pakeisti rekvizitai vienam vidutiniam mokėjimui, tarkime, 4 000 eurų. Prie to pridėkite maždaug dvi darbo dienas, kol reikalas aiškinamas su banku ir klientu, ir laiką, kurį sugaišta vadovas, buhalterė bei teisininkas. Bendra vieno atvejo kaina lengvai peržengia 6 000 eurų, o reputacinė žala į šį skaičių dar neįskaičiuota.

Palyginkite tai su alternatyva: dvi valandos mokymų aštuoniems žmonėms ir viena rašytinė taisyklė, kad rekvizitų keitimas visada tikrinamas telefonu. Skaičiai nuobodūs, bet būtent jie paaiškina, kodėl NKSC kalba apie darbuotojų sąmoningumą, o ne vien apie technologijas.

Penki žingsniai, kuriuos galima padaryti per mėnesį

1. Surašykite, kur juda pinigai. Kas gali pakeisti sąskaitos rekvizitus, kas patvirtina pervedimus, kas turi prieigą prie banko. Dažnai paaiškėja, kad tai vienas žmogus be jokio antro patikrinimo.
2. Įveskite antro kanalo taisyklę. Bet koks prašymas pakeisti rekvizitus ar skubiai pervesti pinigus tikrinamas skambučiu jau žinomu numeriu, o ne tuo, kuris nurodytas laiške.
3. Įjunkite daugiapakopį tapatybės patvirtinimą. Pradėkite nuo el. pašto, buhalterinės sistemos ir banko, paskui eikite prie likusių sistemų.
4. Peržiūrėkite, kas viešai matoma. Seni testiniai serveriai, neatnaujintos svetainės ir pamiršti pašto adresai yra dažniausias įėjimo taškas.
5. Susitarkite dėl AI naudojimo taisyklių. Kokius duomenis leidžiama kelti į viešus modelius, o kokių ne. Apie tai plačiau rašome saugaus AI naudojimo įmonėje apžvalgoje.

Dažniausios klaidos

• Tikimasi, kad filtrai išspręs viską. Gerai parašytas, konkrečiam žmogui pritaikytas laiškas atrodo kaip įprastas verslo susirašinėjimas. Sprendimas: procesas, kuris neremia savęs teksto kokybe, o remiasi patikrinimu kitu kanalu.
• Mokymai vyksta kartą ir niekada nebekartojami. Po pusmečio įprotis dingsta. Sprendimas: trumpas priminimas kartą per ketvirtį ir vienas realus bandomasis laiškas komandai.
• Saugumo taisyklės niekur neužrašytos. Jei taisyklė gyvena tik vadovo galvoje, jos praktiškai nėra. Sprendimas: vienas puslapis, prieinamas visiems, apie tai kalbame ir AI naudojimo politikos įmonėje tekste.
• AI įrankiai diegiami neįvertinus duomenų srauto. Pirmiausia verta suprasti, kur keliauja įmonės duomenys: duomenų saugumo pagrindai vadovui tam yra tinkamas atspirties taškas.

Vienas žmogus ar dešimties žmonių komanda

Labai mažoje įmonėje visa apsauga telpa į kelis įpročius: daugiapakopis patvirtinimas, atskira kortelė internetinėms paslaugoms ir taisyklė niekada nekeisti rekvizitų remiantis vien laišku. Papildomų įrankių pirkti nereikia.

Dešimties ar dvidešimties žmonių komandoje atsiranda kita problema: niekas tiksliai nežino, kas ką gali. Čia jau reikia trumpo rašytinio dokumento, prieigų peržiūros bent kartą per metus ir aiškaus atsakingo žmogaus. Nebūtinai IT specialisto, pakanka, kad ši sritis būtų kažkieno pareigose.

Lietuvos rinkoje veikia dar vienas veiksnys. Dauguma įmonių dirba mažuose tinkluose, kur partneriai ir tiekėjai pažįstami asmeniškai. Tai naudinga, nes netikėtą prašymą lengva patikrinti skambučiu. Bet tai ir rizika: užpuolikui pakanka perimti vieno pažįstamo partnerio pašto dėžutę, kad laiškas atrodytų visiškai natūralus.

Ką iš to pasiimti

NKSC 2025 metų ataskaita aiškiai parodo: dirbtinis intelektas tapo kasdieniu įrankiu ir verslui, ir kibernetiniams nusikaltėliams. DDoS ir išpirkos programos toliau dominuoja atakų peizaže, o fišingas tampa vis sunkiau atpažįstamas dėl DI sukurto turinio kokybės.

Kaip pradėti: peržiūrėkite, kaip jūsų organizacija atpažįsta fišingo bandymus, ar taikomas daugiapakopis tapatybės patvirtinimas, ir ar darbuotojai reguliariai mokomi atpažinti vis įtikinamesnes DI sukurtas apgaules.

Padedame Lietuvos įmonėms saugiai diegti AI sprendimus, vertinant tiek naudą, tiek kibernetinio saugumo riziką. Norite sužinoti, kaip apsaugoti savo organizaciją nuo AI sustiprintų grėsmių? Konsultacija nemokama.