Nutekėjo 125 mln. SMS: patariama keisti slaptažodžius

Viešai prieinamoje duomenų bazėje buvo sukaupta daugiau nei 125 mln. per ketverius metus nutekintų SMS žinučių. Dalis jų susijusios su Lietuvoje veikiančiomis įmonėmis ir jų klientais, todėl žmonėms, paskyrų prisijungimus patvirtinantiems SMS kodais, rekomenduojama pasikeisti slaptažodžius ir, jei įmanoma, pasirinkti kitą dviejų veiksnių autentifikavimo būdą.

Apie radinį lapkričio 11 dieną pranešė technologijų ir kibernetinio saugumo portalas „Cybernews“, o informaciją paskelbė LRT.lt. Duomenys aptikti „CSCTelecom“ Latvijos filialo duomenų bazėje. Bendrovė apie spragą informuota rugsėjo 29 dieną, o spalio 27 dieną bazė buvo uždaryta ir šiuo metu nebėra pasiekiama.

Kokios SMS žinutės pateko į viešą bazę

„Cybernews“ tyrėjų teigimu, viešai prieinami įrašai apėmė laikotarpį nuo 2022 metų spalio iki 2026 metų rugsėjo. Bazė buvo nuolat atnaujinama, todėl nusikaltėliai galėjo perimti autentifikavimo kodus, slaptažodžio atkūrimo nuorodas ir privačią informaciją dar prieš teisėtiems gavėjams ją perskaitant.

LRT.lt nurodo, kad žinutėse buvo asmeniniai ir vidiniai įmonių telefonų numeriai, užsakymų numeriai, 2FA kodai, informacija apie skrydžius, pavardės bei kiti jautrūs duomenys. 2FA – dviejų veiksnių autentifikavimas.

Pranešime nurodoma, kad tarp paveiktų „CSCTelecom“ klientų yra Lietuvoje veikiančios „EuroCash1“, „Akropolis“, „Depo“, „Iki“, „Perlas Go“, „Autoplius“, „Šypsenos akademija“, „Denticija“, „Air Baltic“ ir „Porsche“. Konkrečius su kai kuriais pavadinimais susijusius duomenis paaiškino „Cybernews“ valdančios skaitmeninės leidybos įmonės „Mediatech“ Saugumo ir platformų inžinerijos skyriaus vadovas Voldemaras Kadys:

• „EuroCash1“ žinutėse buvo telefonų numerių ir saugumo įspėjimų apie saugomus objektus bei bankomatus;
• su „Depo“ susijusiose žinutėse – telefonų numeriai, užsakymų ID ir informacija apie jų būsenos atnaujinimus;
• „Akropolio“ žinutėse rasta vidinių telefonų numerių ir lankytojų srautų statistikos;
• su „Iki“ susijusiose žinutėse buvo telefonų numerių ir autentifikavimo kodų;
• „Air Baltic“ žinutėse buvo klientų telefonų numerių, skrydžių informacijos ir pavardžių.

LRT.lt taip pat rašo, kad Latvijoje bazėje aptikta „Swedbank“ ir SEB, medicinos įstaigų, elektroninių parduotuvių, valstybinių organizacijų bei Latvijos skubiosios pagalbos numerio 112 SMS žinučių. Estijoje minimi „AirBaltic“ ir „Depo“ padaliniai. Atviroje bazėje buvo jų siųstų žinučių su keleivių pavardėmis, skrydžių maršrutais, telefonų numeriais, užsakymų ID ir pristatymo būsenos atnaujinimais.

V. Kadys teigė, kad nutekinta informacija gali leisti sudaryti itin detalų vartotojo profilį. Jo teigimu, net ir nematant viso žinučių turinio, žinojimas, kokiomis paslaugomis žmogus naudojasi, sudaro sąlygas vykdyti tikslines duomenų viliojimo atakas.

Jis taip pat suabejojo, ar ketverius metus viešai prieinami duomenys atitiko Bendrojo duomenų apsaugos reglamento, arba BDAR, reikalavimus. Pasak V. Kadžio, įmonės asmens duomenis turėtų saugoti tik tiek, kiek būtina konkretiems jų tvarkymo tikslams pasiekti.

Ką rekomenduojama daryti žmonėms, naudojantiems SMS kodus

„Lrytas“ ir „Delfi“ paskelbtose rekomendacijose siūloma, jei įmanoma, atsisakyti SMS žinutėmis siunčiamų prisijungimo patvirtinimo kodų ir pranešimų. Vietoje jų rekomenduojama pasirinkti kitą dviejų veiksnių apsaugos priemonę.

Taip pat siūloma pasikeisti el. pašto, banko ir kitų paskyrų, prie kurių prisijungimas patvirtinamas SMS žinutėmis, slaptažodžius. Tas pats slaptažodis neturėtų būti naudojamas visoms paskyroms. Dviejų veiksnių apsauga suteikia papildomą saugumo sluoksnį, nes jungiantis reikia ne tik slaptažodžio, bet ir patvirtinimo telefone.

Rekomendacijose raginama stebėti paskyrų aktyvumą ir atsargiai vertinti skambučius bei žinutes, kuriose minimi kelionių planai, vizitai pas gydytojus ar apsipirkimo įpročiai.

Lietuvos ryšių reguliavimo tarnybos (RRT) duomenimis, Lietuvos ryšio operatoriai 2026 metų trečiąjį ketvirtį užblokavo daugiau nei 2,15 mln. skambučių iš užsienio su suklastotais numeriais. Užblokuotų apgaulingų SMS žinučių skaičius, palyginti su ankstesniu laikotarpiu, išaugo daugiau nei keturis kartus ir pasiekė 5,25 mln.

RRT nurodo, kad 99,8 proc. trečiąjį ketvirtį užblokuotų SMS sudarė apgaulingos žinutės su nuorodomis į kenksmingomis pripažintas interneto svetaines. Tarnybos pirmininkė Jūratė Šovienė teigė, kad sukčiai ieško naujų būdų pasiekti gyventojus ir vis dažniau naudojasi žinutėmis bei susirašinėjimo programėlėmis.

Dažniausiai siunčiamos žinutės apie nesumokėtas baudas už kelių eismo pažeidimus, greičio viršijimą ar netinkamą automobilio parkavimą. Taip pat raginama atnaujinti arba pratęsti elektroninį parašą, „Smart-ID“ ar ryšio paslaugas.

Gavus įtartiną žinutę, RRT pataria nespausti joje esančių nuorodų, neatidaryti įtartinų priedų, neatskleisti asmens ar elektroninės bankininkystės prisijungimo duomenų ir netvirtinti mokėjimų, kurių žmogus pats nepradėjo. Valstybės institucijos tokiais kanalais neprašo pateikti prisijungimo duomenų ar patvirtinti mokėjimų.

Jei prisijungimo ar mokėjimo duomenys jau atskleisti, patvirtintas mokėjimas arba pervesti pinigai, RRT rekomenduoja kuo greičiau kreiptis į banką ir policiją. Apie įtartiną skambutį ar žinutę su galimai kenkėjiška nuoroda galima pranešti Nacionaliniam kibernetinio saugumo centrui. Įtartiną siuntėją tarnyba pataria užblokuoti, o žinutę pažymėti kaip šlamštą arba sukčiavimą.

RRT taip pat primena, kad sukčiai gali apsimesti valstybės institucijų, bankų ir kitų organizacijų atstovais ne tik SMS žinutėmis, bet ir „WhatsApp“, „Viber“, „Messenger“ bei kitose susirašinėjimo programėlėse. Įmonėms ir organizacijoms, kurios su klientais bendrauja SMS žinutėmis, tarnyba siūlo pasinaudoti galimybe apsaugoti savo pavadinimą, kad jis nebūtų naudojamas sukčiavimo žinutėse. Trečiąjį ketvirtį operatoriai užblokavo daugiau nei 12,5 tūkst. SMS, neatitikusių identifikacinių požymių.