Интернет-алаяқтық: бизнеске төнетін цифрлық қауіп-қатерлер

Цифрлық технологиялар қарыштап дамып, әлем бойынша бизнесті цифрландыру жүріп жатқан тұста компаниялар алаяқтық және интернет-алаяқтықтан төнетін қауіпке жиі тап болады. Бүгінде алаяқтар алдаудың классикалық схемаларын қолданып қана қоймай, корпоративтік секторға бағытталған жаңа әдістерді де белсенді меңгеріп жатыр. Мұндай әрекеттер заңды тұлғаларды қаржылай шығынға ұшыратып қана қоймай, компанияның абыройы мен беделіне де нұқсан келтіруі мүмкін, мұның тигізер зияны ақшалай шығыннан да жойқын болады.

Статистикадан бастайық

Статистика алаяқтар құрбандарының қатары артқанын көрсетіп отыр. Ішкі істер министрлігінің мәліметінше, биылғы 9 айда елімізде 15 мың интернет-алаяқтық жасалған.

"Банк саласы мен онлайн-саудадағы цифрлық қызметтердің даму қарқынын ескерсек, интернет-алаяқтық саны жыл сайын артып келеді. Бүгінде қылмыстың бұл түрі барлық дерлік елдерде, тіпті, ақпараттық технологиялар саласы дамыған мемлекеттердің өзінде кеңінен таралып жатыр. Биылғы жылдың 9 айында республика аумағында 15 мыңнан астам интернет-алаяқтық тіркелді", – деп хабарлады ІІМ тілшімізге.

Айта кетейік, 2024 жылдың қаңтар-наурыз айлары аралығында ғана заңды тұлғалар арасында 40 мың алаяқтық жасалған. Бизнес өкілдерінің жалпы шығыны 67,5 миллиард теңгені құрады. Биыл алаяқтардың арбауына түскендердің саны 21,6 пайызға өскен.

Алаяқтар қалай алдайды

Технологиялар дамып, жаңа қаржылық құралдар пайда болған сайын, өзгенің ақшасын қолды қылуды көздеген алаяқтық схемалары да күрделеніп келеді. Киберқауіпсіздік, АТ және маркетинг саласының маманы, QazTech-тің Ақпараттық қауіпсіздік жөніндегі комитетінің тең төрағасы Евгений Питолин тілшімізге берген сұхбатында алаяқтықтың ең кең таралған түрлері туралы айтып берді.

"Ең алдымен айтқым келетіні - ұйым қауіпсіздігі деген түсінік жоқ. Бір ұйым өзге ұйыммен өзара әрекеттеспейді. Өйткені осы компанияларда адамдар жұмыс істейді және адамдар бір-бірімен әрекеттеседі. Яғни, кибершабуылдар, құпия ақпараттың таралуы секілді басқа да жағдайларға соқтыратын адами фактор деген бар. Сондықтан біз кез келген ұйымның қауіпсіздігі туралы айтқанда, адамдардың қаншалықты қорғалғаны, олардың қандай қателіктер жіберетіні, қылмыскерлердің оларды қаншалықты сәтті алдайтыны туралы айтамыз. Біз жаңалықтарда қарапайым қазақстандықтарға алаяқтардың жасаған табысты шабуылдары туралы естіген және оқығанның барлығы киберқылмыскерлердің ұйымдарға бағытталған шабуылдарының табысты болуына да қатысы бар", – деп әңгімесін бастады киберқауіпсіздік сарапшысы.

Компаниялардағы алаяқтықтың кең таралған түрлері:

• Фишинг және әлеуметтік инженерия: Бұл - кибералаяқтықтың ең жиі қолданылатын түрлерінің бірі. Алаяқтар банктер, серіктестер немесе басқа сенімді тараптан келгендей көрінетін жалған электрондық хаттар жібереді. Мақсаты – хатты алушыны логиндер, кілтсөздер немесе қаржылық мәліметтер секілді құпия ақпаратты беруге итермелеу.
• Сpear-фишинг: компанияның белгілі бір қызметкерлеріне, әдетте, топ-менеджерлер мен қаржы қызметкерлеріне мақсатты түрде жасалатын шабуыл. Құрбанды алдап, корпоративтік ресурстарға қол жеткізу үшін мұндай шабуылдар тыңғылықты дайындалады.
• Вишинг (телефонмен жасалатын алаяқтық) пен Смишинг (SMS арқылы жасалатын алаяқтық): құпия деректерді алу үшін телефон соғу немесе мәтіндік хабарламалар жолдау.
• Дипфейк – жасанды интеллект көмегімен жасалған видео.
• Зиянды БЖ қолдану арқылы жасалатын шабуылдар. Бопсалаушы-бағдарламалар: ең қауіпті шабуылдардың бірі. Зиянды БЖ компанияның деректеріне кіруді бұғаттап тастайды да, оны ашу үшін ақша талап етеді. Оның кесірінен компанияның жұмысы тежеліп, қыруар шығынға ұшырауы мүмкін.
• Трояндар мен шпиондық БЖ: компанияның компьютерлері мен жүйелеріне қашықтан қол жеткізу үшін пайдаланылады. Алаяқтар коммерциялық құпия немесе қаржылық ақпарат сияқты құпия деректерді ұрлауы мүмкін.
• Корпоративтік email-компрометация (Business Email Compromise, BEC): Алаяқтар корпоративтік электрондық пошта аккаунттарын бұзып алады немесе корпоративтік электрондық пошта аккаунттарына ұқсатып, әріптестерге немесе серіктестерге жалған хаттар жібереді. Олар жалған шоттарға ақша аударуды немесе банк реквизиттерін өзгертуді сұрауы мүмкін.
• Жалған шоттар мен жүкқұжаттар: Компрементациядан соң, email-алаяқтар компания клиенттерінен төлем алу үшін шын құжаттарға ұқсас жалған шоттар немесе жүкқұжаттар жолдауы мүмкін.
  Қашықтан кіру жүйелеріне шабуыл жасау: Қашықтан жұмыс істеген кезде көптеген компаниялар VPN мен қашықтағы жұмыс үстелдері секілді жүйелерді пайдаланады. Корпоративтік деректер мен ішкі желілерге рұқсатсыз қол жеткізу үшін хакерлер осы жүйелерге шабуыл жасайды.
• Брутфорс-шабуылдар: Мүмкін комбинацияларды жаппай енгізу арқылы кілтсөздерді бұзып алу үшін жасалатын әрекет, мұның кесірінен қызметкерлердің есептік жазбалары қолды болып, алаяқтар құпия ақпаратқа қол жеткізуі мүмкін.
• Жалған деректер, құжаттар жасау. Қаржылық құжаттарды қолдан жасау: Хакерлер компания жүйесіне кіріп, қаражатты өз шоттарына аудару үшін шоттар, төлем тапсырмалары және басқа маңызды құжаттарды қолдан жасауы мүмкін.
• Клиенттердің деректерін ұрлау: Компания клиенттерінің жеке және қаржылық деректерін алу үшін деректер базасын бұзып, бұл деректерді алаяқтық схемаларында пайдалану.
  DDoS-шабуылдар ("қызмет көрсетуден бас тарту" сияқты шабуылдар). Компания серверлерінің жүктемесін шамадан тыс арттыруға бағытталған шабуылдар, бұл веб-сайттың немесе онлайн қызметтердің уақытша тоқтап қалуына әкеледі. Бұл қаржылық шығынға батырып, компанияның беделіне нұқсан келтіруі мүмкін.

Ең танымал түрлері туралы айтайық

"Алаяқтықтың түрлері өте көп, бірақ соңғы жарты жылдағы ең өзекті, әрі ТОП-қа кірген кейс – мессенджер (WhatsApp, әлде Telegram екені маңызды емес) арқылы жасалатын алаяқтық, мұнда алаяқ белгілі бір ықпалды тұлға ретінде хабарласады. Ол өзін бірнеше саты жоғары тұрған топ-менеджер, серіктес ұйымның басшысы немесе атақты шенеунік ретінде таныстырады. Әңгіме әдетте стандартты сценарий бойынша жүреді: жәбірленуші онымен аса таныс болмаса, үлкен бастықтың немесе шенеуніктің өзіне хабарласып тұрғаны көңіліне майдай жағады да, бірден алаяқтың құрығына түседі.

Әңгіменің келесі кезеңінде алаяқ жұмыстағы ұсақ-түйектерді бөлісіп, "жақында бір жағдай болғанын және сол себеппен жазып тұрғанын" айтады. Көбіне деректердің қолды болғанын немесе ақша ұрланғанын хабарлайды да, "бұл туралы ешкімге тіс жаруға болмайтынын" ескертеді. "Сізден басқалардың барлығы күдікке ілінді" деп атап өтіп, тергеу жұмыстарына көмектесуді сұрайды. Сценарий әртүрлі болуы мүмкін. Әңгіме соңында алаяқ жәбірленушіні қандай да бір смс-хабарламаларды, банкинг, шоттар eGov-қа, нақты бір аккаунттарға кіруге қажет деректерді жіберуге итермелейді. Деректерді беруді, маңызды құжаттарды сканерлеуді, қызметкерлерді аңдуды, шпиондық бағдарламаларды орнатуды, т.б. сұрауы мүмкін. Бұл – ең кең таралған сценарий, мұндай алаяқтар күнде жазады", - дейді Питолин.

Сарапшының айтуынша, кеңінен таралған екінші түрі – фишингтік хаттар. Мұндай хаттар, көбіне, компанияның бірінші жетекшілеріне, есепшілеріне немесе қаржыгерлеріне жіберіледі.

"Бұл хаттарда компанияға қатысты сорақы жағдай, мысалы, деректердің таралып кетуі, сотқа шағым түскені туралы сілтемелер жолданады. "Деректеріңіз форумдарға таралып кеткен – қараңызшы, мына жерде сіздің деректер базаңыз сатылып жатыр", - деген мазмұндағы хаттар. Немесе "кеңселеріңіздің немесе қоймаларыңыздың бірінде төтенше жағдай болып, адамдардың зардап шекті немесе қаза болды" деп жазылуы мүмкін. Сондай-ақ, салық органдары немесе басқа да құқық қорғау органдары тексеріс жүргізгелі жатқаны туралы хабарланады. Жалпы алғанда, бұл үшін жауапты адам, яғни есепші, қаржыгер немесе бірінші жетекші алаңдайтындай атмосфера қалыптастырады. Жағдайды реттеу үшін жылдам әрекет ету керектігін айтады: тез арада сілтемені басып, файлды ашыңыз, толтырып, кері жіберіңіз, деректерді жылдамырақ жазып, смс жолдаңыз, т.б. Нәтижесінде қаскөйлер аккаунттарыңыз, шоттарыңыз, электрондық поштаңыз, eGov-қа қол жеткізіп алады", - деп атап өтті Евгений Питолин.

Сарапшының сөзінше, алаяқтар соңғы кездері дипфейк, яғни жасанды интеллект көмегімен жасалған видеоларды да белсенді қолданатын болған.

"Әріптестердің дауыстарымен жазылған жалған видеолар, тіпті, олар бейнеленген видеоларды да жасайды, себебі цифрлық видео із өте көп. Аудиохабарламаларды да бір-бірімізге жолдай береміз, әлеуметтік желілерде түрлі тестерден өтеміз, әр алуан видеолар жазамыз, т.б. Осылардың барлығына сүйене отырып, нейрожелі алаяқтарға жылдам-ақ дипфейктер жасауға көмектеседі де, адамдар алданып жатады. Ал дипфейктер көбіне: дерек ақша аудар, құпия құжаттарды, деректерді жібер деген мазмұнда болады. Базалық сценарийлері осындай", - дейді киберқауіпсіздік жөніндегі сарапшы.

Өмірден алынған кейстер: алаяқтық бизнесті қалай ойрандауы мүмкін

Бизнес саласындағы алаяқтық тек теория жүзіндегі қауіп емес. Шын мәнінде ол көптеген компаниялардың банкротқа ұшырауына немесе қыруар қаржысынан айырылуына себеп болған. Жалған шоттар арқылы жасалған шабуылдан зардап шеккен еуропалық компаниялардың біріндегі жағдай бұған айқын мысал бола алады. Қасқойлер компанияның негізгі жеткізушісінің поштасын бұзып, реквизиттерін өзгертіп тастаған. Компания жеткізушісіне ақша жіберіп жатырмын деп ойлап, үлкен сома аударады, бірақ қаржы алаяқтардың қалтасына түскен. Нәтижесінде фирма қаржысынан айырылып қана қоймай, жеткізушісі компанияға талап-арыз түсірген.

Тағы бір мысал – кибершабуылға тап болған ірі логистикалық компания. Құқықбұзушылардың әрекетінен компанияның барлық ішкі жүйелері бұғатталып, жұмысы бірнеше күнге тоқтап қалған. Операциялары тоқтап қалған компания миллиондаған доллар ақшадан қағылып, келісімшарт талаптарын орындамағаны үшін қомақты айыппұл арқалады.

Анықтап, жолын кесу қаншалықты қиын

Өз кезегінде Криминалдық полиция департаментінің басшысы, полиция полковнигі Қанат Нұрмағамбетов интернет көмегімен жасалатындықтан, алаяқтық қылмыстардың шекарасы болмайтынын атап өтті. Оның сөзінше, бұл - біздің елдегі ғана емес, бүкіл әлемдегі проблема, себебі цифрландыру күн өткен сайын дамып жатыр.

"Мұндай қылмыстардың бетін ашып, алдын алу үшін ІІМ тиісті шаралар қабылдап жатыр. Атап айтқанда, байланыс операторларымен фрод-қоңырауларға төтеп беру туралы меморандумға қол қойылды. Дәл осындай келісімшарттарға "Колеса", "Крыша" хабарландыру сайттарымен де қол қойылды. Барлық өңірде интернет-алаяқтықты тергейтін "Киберпол" мамандандырылған топтары құрылып, жұмыс істеп жатыр. Басқа да мемлекеттік органдармен, қаржы ұйымдарымен, жеке сектормен өзара әрекет етуге басымдық беріліп отыр. Шілде айында Ұлттық банк жанынан "Антифрод-орталық" ашылды, ол қаржы секторы мен құқық қорғау органдары арасында жедел ақпарат алмасып, күдікті банк операцияларын анықтап, оларды бұғаттауға мүмкіндік береді. Халық арасында үнемі түсіндірме жұмыстары жүрізіліп, азаматтарға интернет-алаяқтықтың жаңадан пайда болған әдістері мен сақтық шаралары туралы хабарланып тұрады", - деді полиция полковнигі.

Алаяқтықтан қалай қорғануға болады. Немесе қандай сақтық шараларын жасау керек

Бұл мақсаттағы кеңестер жеке қауіпсіздік шараларына ұқсас, - деп атап өтті киберқауіпсіздік жөніндегі сарапшы Евгений Питолин.

"Бәрі оп-оңай. Біріншіден, ойланып әрекет ету мен сыни ойлаудың маңызы зор — орынсыз әрекет жасамау керек. Ақпарат көзін жіті тексеріңіз: егер біреу бірдеңе жазса, айтқан ақпаратын тексеріңіз, жұмыс немесе ұялы телефонын тауып алып, хабарласыңыз. Немесе ресми сайтты тауып, сол арқылы байланысқа шығыңыз. Басқаша айтқанда, келген ақпаратқа сыни тұрғыда қарап, бірден сене қоймай, мұқият тексеру қажет.

Екіншіден, күрделі кілтсөздер мен VPN (виртуалды жеке желі) технологияларын пайдаланған жөн, әсіресе құрылғыңыз сыртқы желіге қосылған болса (мысалы, мейрамханада, кафеде, қонақүйде немесе әуежайда). Білмеген боларсыз, мұндай жерлерде Wi-Fi желілері бұзылуы мүмкін. Сондай-ақ, әр құрылғыда қорғаныс бағдарламаларын пайдалануға кеңес беремін.

Әрине, ең бастысы - цифрлық сауаттылықты үнемі жетілдіріп отыру және қоғамдағы цифрлық ізіңізді азайту. Аудио-хабарламаларды азырақ жіберуге және компанияның ішкі өмірін көрсететін қоғамдық іс-шаралардан фотосуреттерді сирек жариялауға тырысқан абзал (өйткені қылмыскерлер суреттер немесе геолокация негізінде қосымша ақпарат алуы мүмкін, - деп сөзін түйіндеді Питолин.

ІІМ де алаяқтардың құрығына түспеуге септігін тигізетін кеңестерін бөлісті. Төменде берілген нұсқауларды орындасаңыз болғаны:

- банк, брокерлік, инвестициялық компаниялардың немесе құқық қорғау органдарының қызметкерлері телефон арқылы несие рәсімдеу, мүлік сату, ақшаны қауіпсіз шоттарға аудару немесе қарыз алу туралы нұсқаулар бергенде, ешқашан орындамаңыз. Құқық қорғау органдары телефон арқылы арнайы операциялар жүргізбейді.

- жеке деректеріңізді, реквизиттеріңізді, банк карталарының жарамдылық мерзімін, CVV-кодтарын, аударым түбіртектерін және әсіресе SMS-кодтары мен құпия сөздерді ешкімге, тіпті, өздерін банк немесе полиция қызметкерлері ретінде таныстырған адамдарға да айтпаңыз.

- бейтаныс адамдардың өтініші бойынша телефоныңызға ешқандай мобильді қосымша орнатпаңыз, себебі бұл қосымшалар алаяқтарға сіздің құрылғыңызға кіруге мүмкіндік береді;

- тауарлар мен қызметтерді сатып алған кезде жеке деректеріңізді белгісіз, әрі тексерілмеген сайттар мен өзге де дереккөздерге сеніп тапсырмаңыз. Тексеріп алмайынша, алдын-ала төлем жасамаңыз. Тауар қолыңызға тигеннен кейін төлеуге келісуге тырысыңыз;

- күмәнді инвестициялық жобаларға ақша салмаңыз. Қаражат салмас бұрын, қор нарығын және ақша құймақ болған жобаның заңға сәйкестігін мұқият зерттеңіз;

- қосымшаларды орнату үшін тек Ап стор (App store), Плэй маркет (Play market), т.б. секілді ресми дереккөздерді пайдаланыңыз;

- бейтаныс адамдардан келген төлем жасау туралы сілтемелер немесе СПАМ-хабарламалардағы сілтемелер арқылы өтпеңіз. Алаяқтар төлем жасау үшін сілтеме бойынша өтуді жиі ұсынады, ол шын мәнінде "фишинг" сілтеме болады.

- абоненттік нөмір мерзімі аяқталғанын айтып, қызметті онлайн режимде ұзартуды ұсынып хабарласқан ұялы байланыс компанияларының өкілдеріне сенбеңіз. Олар көбінесе сізге келген SMS-кодты айтуды сұрайды, бұл код кейіннен қосымшаларға кіру үшін қолданылады.

- банкинг қызметіне кіру үшін қолданатын кілтсөздерді жиі өзгертіп тұрыңыз, банктер ұсынған 3D-қорғау мен басқа да сақтық шараларын қолданыңыз;

- дауыс беруіңізді, сілтеме арқылы өтіп, тіркелуіңізді сұрайтын мессенджерлерде таратылатын белгісіз сілтемелерге өтпеңіз.

- мессенджер арқылы жазып, қарыз сұрағандарға ақша бермеңіз. Қажет болса, қарыз сұраған адамға тікелей хабарласыңыз.

- заңды тұлғалар мен ұйымдардың кибершабуылдардан қорғану үшін лицензиясы бар антивирустық жүйе орнатқаны жөн.

Бұл – өзіңізді алаяқтардан қорғаудың негізгі амалдары.

Қорытынды

Алаяқтық пен интернет-алаяқтықтың бизнеске төндірер қаупі зор, процестер белсенді цифрландырылып, қашықтықтан жұмыс істеу тәртібіне көшкен жағдайда бұл проблеманың өзектілігі өзгеше болып тұр. Заңды тұлғалар алаяқтардың арбауына алданбау ерекше сақ болуы тиіс. Көп деңгейлі қорғаныс, тұрақты тексерулер, қызметкерлерді оқыту және заманауи қауіпсіздік құралдарын енгізу арқылы тәуекелдерді азайтып, бизнесті алаяқтықтың жойқын салдарларынан қорғауға болады.

Tengrinews пен Halyk Bank-тің арнайы жобасының парақшасына өтіп, алаяқтыққа төтеп беру жайында көбірек біле аласыздар.