Vakar pasirodė „Facebook“ įrašas: tariama mergina piktinasi, kad ją išmetė iš darbo „Decathlon“. Neva keršydama ji „atskleidžia paslaptį“ – kaip gauti pigiai kuprinę, net prideda tikrą čekį.

Atrodo patikimai? Pažiūrėkime giliau.

Jums pasiūloma atsakyti į kelis klausimus, pasirinkti „dovanų dėžutę“ ir – valio – laimite kuprinę!
Liko tik vienas žingsnis – apmokėti už pristatymą. Vedate vardą, pavardę, kortelės duomenis, CVV kodą…

   

⛔ Stop! Čia ir yra spąstai.

Svetainės adresas ne „decathlon.lt“, o visiškai svetimas — glowcellar.com.
Patikrinus paaiškėja: svetainė užregistruota visai neseniai, atrodo apsimestinė, o laikrodukas viršuje skatina skubėti. Tai klasikinis socialinės inžinerijos triukas.

Kas yra socialinė inžinerija?

Socialinė inžinerija – tai psichologinio manipuliavimo menas, kai sukčiai ne nulaužia sistemas, o įtikina žmogų pačiam atiduoti savo duomenis.
Jie žaidžia emocijomis:

• skubina („liko tik 5 minutės!“),

• žadina smalsumą („visi gauna, o tu dar ne?“),

• arba sukelia pasitikėjimą („atrodo, kad tai žinomas prekės ženklas“).

Kaip apsisaugoti?

✅ Visada tikrinkite svetainės adresą (URL) – ar tikrai jis oficialus.
✅ Nesiveskite kortelės duomenų, jei nesate visiškai tikri dėl svetainės.
✅ Neleiskite emocijoms priimti sprendimo – sustokite, pagalvokite, pasikonsultuokite.
✅ Naudokite dviejų žingsnių autentifikaciją ir unikalius slaptažodžius.
✅ Apie įtartinus puslapius praneškite kibernetinio saugumo specialistams.

Norite išmokti atpažinti tokias apgaules?

Prisijunkite prie VšĮ „Solidi apsauga“ organizuojamų kibernetinio saugumo mokymų – čia praktiškai išmokysime:

• kaip atpažinti socialinės inžinerijos atakas,

• kaip apsaugoti savo duomenis ir pinigus,

• ir ką daryti, jei vis dėlto sukčiai jus bandė apgauti.

👉 Rašykite mums į mokymai@duomenu-apsauga.lt

arba sekite puslapį Facebooke: Kibernetinis saugumas ir asmens duomenų apsauga ir gaukite dar daugiau praktinių patarimų!

Tęsiam Venipak temą. Tai kas gi visgi bus, jei paspausime žinutėje atsiųstą ir viršuje matomą nuorodą. Praeitame įraše jau atkreipėme dėmesį, kad ši nuoroda nėra tikra Venipak įmonės nuoroda ir kaip tai identifikuoti. Tai kas atsitiks jei ją paspausime? Matote, kad patenkame į sekantį puslapį, kuriame nurodomas Jūsų „gautos siuntos“ numeris. Jūsų prašoma neva atnaujinti savo adresą ir siuntą žadama vėl iš naujo išsiųsti. Perėjus į sekantį langą, Jūsų prašoma suvesti Jūsų asmens duomenis, kurie vėliau gali būti panaudoti įvairioms socialinės inžinerijos atakoms prieš Jus vykdyti. Paspaudus mygtuką „Tęsti“ patenkate į „Mokėjimas internetu“ langą, kuriame jau prašoma suvesti Jūsų banko kortelės numerį, galiojimą datą ir svarbiausia CVV kodą! CVV kodas (angl. Card Verification Value) – tai trijų arba keturių skaitmenų apsaugos kodas, kuris padeda patvirtinti, kad kortelę naudojantis asmuo ją iš tikrųjų turi savo rankose.

🔒 Kam CVV naudojamas:

• Patvirtinti internetinius pirkimus arba mokėjimus telefonu.

• Tai papildoma saugumo priemonė, apsauganti nuo neteisėto kortelės duomenų naudojimo, jei kas nors sužino jūsų kortelės numerį.

---

⚠️ Svarbu žinoti:

• Niekada nesidalinkite CVV kodu el. paštu, SMS, telefonu ar per nuorodas iš neaiškių šaltinių.

• Nei bankai, nei el. parduotuvės niekada neprašo jūsų CVV atskirai per žinutę ar laišką.

• Jei kas nors to prašo – tai beveik visada sukčių bandymas išvilioti jūsų duomenis.

    Visada atminkite, geriausia priemonė prieš sukčių atakas yra žinios, o žinias galite gauti mūsų organizuojamuose kibernetinio saugumo mokymuose.    

„Jūsų siunta buvo sulaikyta dėl neteisingo pašto kodo. Kad išvengtumėte grąžinimo, patvirtinkite savo adresą per 24 valandas: [venipakz.com/svlt]…“

Atrodo patikimai?

Deja, tai klasikinis sukčių bandymas išvilioti jūsų asmeninius ar finansinius duomenis. Tokie pranešimai tampa vis realesni, o jų kalba – vis labiau „lietuviška“. Tačiau yra keli požymiai, kurie išduoda apgaulę:

Įtartini požymiai šioje žinutėje

1. Įtartinas siuntėjo numeris
   Numeris prasideda +63 (Filipinai) — tai jau pirmas signalas, kad žinutė ne iš vietinės ar oficialios tarnybos. Lietuvoje veikiančios įmonės naudoja lietuviškus numerius (pvz., +370) arba oficialius siuntėjo pavadinimus (pvz., „Venipak“).

2. Netikras siuntėjo pavadinimas („Venipakv“)

   • Tikras įmonės pavadinimas – Venipak, o ne „Venipakv“.

   • Sukčiai dažnai prideda papildomas raides ar simbolius, kad apeitų automatinius filtrus ir atrodytų panašiai kaip tikras prekinis ženklas.

3. Klaidos kalboje ir stiliuje

   • Tekste pasitaiko gramatinių netikslumų („uždarykite ir vėl atidarykite pranešimą“, „kad aktyvuotumėte nuorodą“) – taip rašo neoficialūs šaltiniai ar automatiniai vertėjai.

   • Oficialios įmonės komunikacija paprastai būna gramatiškai taisyklinga ir stiliaus požiūriu profesionali.

4. Įtartina nuoroda

   • „https://venipakz.com/svlt“ atrodo panašiai į tikrą „venipak.lt“, bet turi pakeistą domeną: venipakz.com.

   • Sukčiai kuria labai panašius domenus, kad apgautų vartotojus.

   • Tikras „Venipak“ domenas visada baigiasi .lt arba .com, be papildomų raidžių.

5. Spaudimas veikti greitai

   • Formuluotės kaip „per 24 valandas“, „jei neatliksite, pristatymas bus atšauktas“ – tai klasikinė psichologinė manipuliacija.

   • Tikros įmonės nespaudžia klientų sprendimams per tokį trumpą laiką.

6. Raginimas spustelėti nuorodą ar pateikti duomenis

   • Oficialios siuntų tarnybos niekada neprašo tikrinti adreso ar įvesti mokėjimo informacijos per neaiškias nuorodas.

   • Tokios nuorodos dažnai veda į netikras svetaines, kurios vagia jūsų asmeninius duomenis ar banko prisijungimus.

---

✅ Kaip elgtis gavus tokį pranešimą

1. Nespauskite jokių nuorodų.
   Net jei atrodo patikimai – geriau pačiam atsidaryti oficialų įmonės puslapį (pvz., įrašyti naršyklėje venipak.lt).

2. Nepildykite jokių formų ir neveskite duomenų.
   Sukčiai gali paprašyti kortelės ar prisijungimo prie banko – taip jie išvilioja pinigus.

3. Patikrinkite oficialų šaltinį.
   Prisijunkite prie tikros siuntų tarnybos svetainės arba susisiekite per jų klientų aptarnavimo kontaktus.

4. Praneškite apie sukčiavimą.
   Galite:

   • persiųsti žinutės kopiją el. paštu cert@cert.lt (Nacionalinis kibernetinio saugumo centras),

   • pažymėti numerį kaip „sukčius“ savo telefone,

   • blokuoti siuntėją.

 

Norite išmokti atpažinti sukčių siunčiamas žinutes? Kviečiame į kibernetinio saugumo mokymus įmonių darbuotojams. Apie mūsų organizuojamus kibernetinio saugumo mokymus išsamiau skaitykite mūsų svetainėje.

 

 

Asmens duomenų apsauga įmonėse dažnai siejama su klientais, tačiau viena jautriausių sričių – darbuotojų duomenų tvarkymas. Būtent čia darbdaviai dažnai neišvengia klaidų – renka perteklinius duomenis, juos laiko per ilgai ar neteisingai informuoja darbuotojus apie jų teises.

Pagal Bendrąjį duomenų apsaugos reglamentą (BDAR) darbdavys visais atvejais laikomas duomenų valdytoju – jis sprendžia, kokie duomenys renkami, kokiu tikslu, kiek laiko saugomi ir kas turi prie jų prieigą. Tai reiškia ir teisinę atsakomybę už tvarkymo teisėtumą, saugumą ir skaidrumą.

Kokius duomenis galima rinkti? Darbuotojų duomenų tvarkymas turi būti proporcingas ir pagrįstas teisėtu tikslu. Tai apima tik tuos duomenis, kurie būtini darbo santykiams užmegzti ir vykdyti – vardas, pavardė, kontaktai, asmens kodas, darbo sutarties duomenys, kvalifikacija, darbo rezultatai, sveikatos pažymos (kai būtina pagal teisės aktus) ir pan. Dažna klaida – perteklinis duomenų rinkimas, pavyzdžiui, reikalavimas pateikti informaciją apie šeimos narius ar asmens nuotraukas be būtinybės. Tokiu atveju tvarkymas laikomas neteisėtu.

Svarbu informuoti darbuotojus. Pagal BDAR 13 ir 14 straipsnius, kiekvienas darbuotojas turi būti aiškiai informuotas apie: • kokius duomenis darbdavys renka, • kokiu tikslu jie naudojami, • kokiu teisiniu pagrindu duomenys tvarkomi (pvz., teisėta prievolė, sutartis, teisėtas interesas), • kiek laiko duomenys saugomi, • kam jie gali būti perduoti (pvz., „Sodra“, VMI, audito įmonės, IT paslaugų teikėjai), • kokias teises darbuotojas turi (susipažinti, taisyti, reikalauti ištrinti ir t. t.). Tokį informavimą galima pateikti per darbuotojų privatumo politiką arba informacinį pranešimą apie duomenų tvarkymą.

Duomenų saugumas Darbdavys turi užtikrinti technines ir organizacines priemones, kad duomenys būtų apsaugoti nuo neteisėto naudojimo. Tai apima: • prieigos valdymą prie personalo dokumentų, • darbo kompiuterių ir el. pašto apsaugą, • aiškias taisykles dėl asmeninių duomenų perdavimo el. paštu ar debesų sistemose. Svarbu reguliariai tikrinti, ar prie duomenų neprieina buvę darbuotojai ar pašaliniai asmenys.

Stebėjimas ir kontrolė Dar viena jautri tema – vaizdo stebėjimas, GPS sekimas, el. pašto ar kompiuterių naudojimo kontrolė. Tokie veiksmai galimi tik jei jie būtini ir proporcingi, o darbuotojai aiškiai informuojami apie tai iš anksto. BDAR reikalauja skaidrumo – darbuotojas turi žinoti, kad yra stebimas, kodėl ir kokiu mastu.

Kokias teises pagal BDAR turi darbuotojas

1. Darbuotojas turi teisę žinoti: • kokie jo duomenys yra renkami, • kokiu tikslu, • kiek laiko jie bus saugomi, • kam jie perduodami. Darbdavys turi pateikti privatumo pranešimą ar kitą aiškų dokumentą, paaiškinantį duomenų tvarkymą.

2. Teisė susipažinti su savo duomenimis Darbuotojas gali kreiptis į darbdavį ir paprašyti: • kopijos visų apie jį tvarkomų asmens duomenų, • informacijos, kokie duomenys laikomi ir kokiu pagrindu. Darbdavys į darbuotojo užklausą privalo atsakyti per 1 mėnesį.

3. Teisė reikalauti ištaisyti netikslius duomenis Jeigu darbuotojas pastebi klaidų (pvz., neteisingas adresas ar pareigos), jis gali paprašyti pataisyti duomenis. Darbdavys turi tai padaryti „be nepagrįsto delsimo“.

4. Teisė reikalauti ištrinti duomenis („teisė būti pamirštam“) Darbuotojas gali prašyti ištrinti duomenis, kai: • jie nebereikalingi tikslui, kuriam buvo surinkti, • tvarkymas neteisėtas, • jis atšaukia savo sutikimą (jei tvarkymas remiasi sutikimu). Vis dėlto kai kurie duomenys (pvz., buhalteriniai ar darbo sutarties duomenys) turi būti saugomi pagal įstatymus, todėl jų ištrinti ne visada įmanoma (teisė nėra absoliuti).

5. Teisė apriboti duomenų tvarkymą Darbuotojas gali paprašyti, kad jo duomenys laikinai nebūtų tvarkomi (pvz., ginčo metu). Tokiu atveju duomenys saugomi, bet „nėra naudojami“ tol, kol klausimas neišspręstas.

6. Teisė į duomenų perkeliamumą Jei duomenys tvarkomi automatizuotai (pvz., per IT sistemą) ir pagal sutikimą ar sutartį, darbuotojas gali prašyti gauti juos arba perduoti kitam darbdaviui. Dažniau aktualu ne darbo santykiuose, o klientų duomenims, bet ši teisė vis tiek egzistuoja.

7. Teisė nesutikti su duomenų tvarkymu Darbuotojas gali nesutikti, kad jo duomenys būtų tvarkomi, pvz., dėl darbdavio „teisėto intereso“ (kaip stebėjimas ar sekimas). Tokiu atveju darbdavys turi įrodyti, kad tvarkymo priežastis yra svarbesnė nei darbuotojo teisės.

8. Teisė nebūti automatizuoto sprendimo objektu Darbuotojas turi teisę, kad apie jį „nebūtų priimamas sprendimas tik automatizuotai“, pvz., naudojant algoritmą be žmogaus įsikišimo (pvz., vertinant produktyvumą ar atrenkant kandidatus). Tokie sprendimai galimi tik tam tikrais atvejais, kai numatyta apsauga.

9. Teisė pateikti skundą priežiūros institucijai Jei darbuotojas mano, kad jo teisės pažeistos, jis gali kreiptis į: Valstybinę duomenų apsaugos inspekciją (VDAI). Skundas gali būti pateiktas tiek raštu, tiek elektroniniu būdu.

Kyla sunkumų įgyvendinant BDAR nuostatas? Galime padėti jas tinkamai įgyvendinti Jūsų organizacijoje.

Mūsų siūlomos paslaugos:

1. Duomenų apsaugos atitikties vertinimą (auditas) • Esamos situacijos analizė pagal BDAR reikalavimus. • Rizikų nustatymas ir atitikties trūkumų įvertinimas. • Rekomendacijos ir veiksmų planas atitikčiai užtikrinti.

2. Asmens duomenų apsaugos dokumentacijos parengimas ir atnaujinimas • Privatumo politikos, duomenų tvarkymo taisyklių, sutikimų formų, sutarčių priedų parengimas. • Vidaus procedūrų ir atsakomybių nustatymas. • Debesijos paslaugų, nuotolinio darbo ir IT sistemų atitikties įvertinimas.

3. Išorinio duomenų apsaugos pareigūno funkcija • Nuolatinė priežiūra ir konsultacijos dėl BDAR laikymosi. • Ryšys su Valstybine duomenų apsaugos inspekcija (VDAI). • Incidentų valdymas, atsakymų parengimas į duomenų subjektų prašymus. • Periodinės apžvalgos ir ataskaitos vadovybei.

4. Mokymai darbuotojams • Praktiniai mokymai apie duomenų apsaugą ir atsakomybę. • Instrukcijos, kaip saugiai tvarkyti klientų, darbuotojų ir partnerių duomenis.

Taip pat siūlome praktinius, verslo poreikiams pritaikytus kibernetinio saugumo ir asmens duomenų tvarkymo mokymus. Mokymai parengti pagal Kibernetinio saugumo įstatymo reikalavimus ir padeda organizacijoms užtikrinti teisės aktų įgyvendinimą praktikoje. Turinys pritaikytas mažoms ir vidutinėms įmonėms – be perteklinės techninės terminijos, aiškiai, praktiškai ir su realių situacijų pavyzdžiais. Mokymus veda kibernetinio saugumo ekspertas ir duomenų apsaugos pareigūnas, turintis ilgametę patirtį tiek konsultuojant įmones, tiek vedant mokymus įvairių sektorių darbuotojams. Mokymai gali būti vykdomi nuotoliniu arba kontaktiniu būdu, grupėmis nuo kelių iki keliasdešimties darbuotojų. Programos trukmė – nuo 4 iki 32 akademinių valandų, priklausomai nuo poreikių.

Jeigu norėtumėte aptarti galimą bendradarbiavimą ar gauti preliminarų pasiūlymą pagal Jūsų veiklą, susisiekite.