Telefone netikėtai pasirodė „Smart-ID“ užklausa: ką būtina padaryti per pirmąją minutę

Telefonas tyliai suvirpėjo, nors jo savininkė tuo metu nesijungė nei prie banko, nei prie kitos elektroninės paslaugos. Ekrane pasirodė „Smart-ID“ langas ir prašymas įvesti PIN1 kodą.

Po kelių sekundžių paskambino nepažįstamas vyras. Jis prisistatė banko saugumo specialistu ir paaiškino, kad užklausa esą susijusi su įtartino prisijungimo blokavimu. Norint jį atšaukti, tereikia patvirtinti telefone rodomą veiksmą.

Būtent šią akimirką lengviausia suklysti. Žmogus mato tikrą „Smart-ID“ programėlę, todėl gali pamanyti, kad ir skambinančiojo pasakojimas yra tikras.

Tačiau „Smart-ID“ langas nepatvirtina, kad su jumis kalbantis žmogus yra banko darbuotojas. Jis tik rodo, kad kažkas pradėjo veiksmą, kuriam reikalingas jūsų tapatybės patvirtinimas arba elektroninis parašas.

Svarbiausia taisyklė labai paprasta:

Jeigu pats nepradėjote veiksmo, neįveskite nei PIN1, nei PIN2 – net jeigu skambinantysis tvirtina, kad taip atšauksite sukčiavimą.

„Smart-ID“ oficialiai nurodo PIN kodų nevesti, jeigu žmogus pats neinicijavo patvirtinimo proceso. Netikėta užklausa kartais gali atsirasti dėl kito vartotojo padarytos klaidos, tačiau ją vis tiek reikia atmesti, o ne bandyti „patikrinti“ įvedant kodą.

Straipsnio pradžioje aprašyta situacija yra modelinis pavyzdys, tačiau pats sukčiavimo mechanizmas realus: nusikaltėlis gali pradėti prisijungimą ar mokėjimą, o auką telefonu įtikinti patvirtinti jo veiksmą.

Pirmosios 10 sekundžių: nelieskite PIN laukelio

Gavus netikėtą užklausą nereikia spėlioti, kas ją atsiuntė. Nesvarbu, ar ekrane matomas banko, valstybės institucijos, dokumentų pasirašymo sistemos ar kitos pažįstamos paslaugos pavadinimas.

Neįveskite jokio kodo. Uždarykite arba atmeskite užklausą.

PIN kodo įvedimas nėra būdas gauti daugiau informacijos. Tai yra veiksmo patvirtinimas. „Smart-ID“ PIN1 naudojamas tapatybei patvirtinti ir prisijungti prie elektroninių paslaugų, o PIN2 – elektroniniu būdu pasirašyti, pavyzdžiui, patvirtinti banko operaciją arba dokumentą.

Sukčius gali teigti, kad PIN reikia įvesti norint:

• sustabdyti įtartiną prisijungimą;
• panaikinti mokėjimą;
• užblokuoti paskolą;
• uždaryti netikrą sąskaitą;
• patvirtinti, kad tikrasis klientas esate jūs;
• „sinchronizuoti“ arba atnaujinti „Smart-ID“;
• užbaigti banko saugumo patikrinimą.

Tai manipuliacija. Jeigu patys veiksmo nepradėjote, jo patvirtinti nereikia.

Kitos 20 sekundžių: patikrinkite, ką iš tikrųjų rodo ekranas

Prieš uždarydami užklausą galite atkreipti dėmesį į joje rodomą paslaugos pavadinimą ir kontrolinį kodą. „Smart-ID“ rekomenduoja patvirtinti veiksmą tik tada, kai elektroninės paslaugos pavadinimas ir kontrolinis kodas sutampa su informacija jūsų pačių atidarytoje svetainėje ar programėlėje.

Netikėtos užklausos atveju nėra su kuo to kodo lyginti, nes jokios paslaugos patys neatidarėte. Tai jau pakankama priežastis PIN nevesti.

Pravartu įsidėmėti arba padaryti ekrano nuotrauką, kurioje matytųsi:

• užklausos laikas;
• nurodytas paslaugos pavadinimas;
• ar prašoma PIN1, ar PIN2;
• kontrolinis kodas;
• tuo metu skambinusio ar žinutę siuntusio asmens duomenys.

Ši informacija gali būti naudinga bankui ar policijai, jeigu paaiškėtų, kad buvo bandoma prisijungti prie jūsų paskyros.

Tačiau nereikia fotografuoti ar kur nors siųsti savo PIN kodų. Jie skirti tik jums ir turi būti įvedami tik į oficialią „Smart-ID“ programėlę, kai patys inicijavote konkretų veiksmą.

Iki minutės pabaigos: nutraukite bet kokį įtartiną pokalbį

Jeigu tuo pat metu jums skambina žmogus, prisistatantis banko, policijos, „Smart-ID“, investavimo bendrovės ar kitos organizacijos darbuotoju, pokalbį nutraukite.

Nesakykite ekrane rodomo kontrolinio kodo, neaiškinkite, kokios paslaugos pavadinimą matote, ir neleiskite skambinančiajam nurodinėti, kurį PIN pasirinkti.

Tuomet patys atidarykite oficialią banko programėlę arba naršyklėje ranka įveskite banko adresą. Nesinaudokite skambinusio žmogaus atsiųsta nuoroda ir neperskambinkite jo nurodytu numeriu.

Lietuvos bankas rekomenduoja jokiu būdu netvirtinti „Smart-ID“ ar mobiliuoju parašu užklausų, kurių pats žmogus neinicijavo. Kilus įtarimui, su finansų įstaiga reikia susisiekti oficialiai skelbiamais kontaktais.

Jeigu užklausą atmetėte ir jokio PIN neįvedėte, dažniausiai tuo viskas ir baigiasi. Vien užklausos gavimas dar nereiškia, kad sukčius prisijungė prie sąskaitos ar perėmė telefoną.

Kodėl netikėta užklausa apskritai atsirado?

Nebūtinai kiekviena tokia užklausa yra organizuota ataka.

„Smart-ID“ aiškina, kad kai kuriais atvejais kitas žmogus gali suklysti įvesdamas savo naudotojo vardą, asmens kodą ar kitą identifikavimo informaciją. Jeigu klaidingai įvesti duomenys sutampa su jūsų paskyra, patvirtinimo prašymas gali pasirodyti būtent jūsų telefone.

Tačiau iš anksto neįmanoma žinoti, ar tai nekalta klaida, ar sukčiaus bandymas. Todėl reakcija abiem atvejais ta pati: PIN nevesti ir užklausą atmesti.

Didesnis pavojus tikėtinas, kai netikėta užklausa sutampa su kitais įvykiais:

• ką tik paspaudėte el. laiške ar SMS gautą nuorodą;
• netikroje svetainėje įrašėte asmens kodą ar banko naudotojo numerį;
• kalbate su asmeniu, kuris nurodo, ką spausti;
• per kelias minutes gaunate daug pakartotinių užklausų;
• prašoma PIN2, nors patys neatliekate jokio mokėjimo ar nepasirašote dokumento;
• gavote pranešimą apie prisijungimą ar operaciją, kurios neatlikote.

Tokiu atveju užklausos ignoruoti neužtenka – reikia patikrinti savo paskyras ir susisiekti su atitinkamu paslaugos teikėju.

Analitikai įspėja: Lietuvoje sukčiai jau medžioja aukas ne vien per skambučius – atakuoja per „Smart-ID“, siuntų žinutes, apsimeta bankų atstovais

PIN1 ir PIN2 skirtumas yra svarbus, bet abu kodai gali būti pavojingi

Kartais žmonės mano, kad PIN1 nėra toks svarbus, nes juo nepatvirtinamas pinigų pervedimas. Tačiau PIN1 gali suteikti galimybę prisijungti prie elektroninės paslaugos ir pamatyti joje esančią informaciją.

Jeigu sukčius pradėjo prisijungimą prie banko jūsų vardu, o jūs įvedėte PIN1, galėjote patvirtinti būtent jo inicijuotą prisijungimą.

PIN2 rizika dar akivaizdesnė. Šis kodas skirtas elektroniniam pasirašymui, įskaitant banko operacijų ir dokumentų patvirtinimą. „Smart-ID“ pabrėžia, kad programėlėje atliekamos operacijos gali būti teisiškai įpareigojančios, todėl PIN kodais negalima dalytis ir jais galima tvirtinti tik savo pradėtą veiksmą.

Reikia saugotis ir sukčių vartojamos kalbos. Jie gali sakyti ne „patvirtinkite pervedimą“, o „atšaukite pervedimą“. Tačiau reikšmę turi ne jų žodžiai, o „Smart-ID“ ekrane nurodytas veiksmas.

Finansinė operacija neatšaukiama patvirtinant kitą sukčiaus inicijuotą operaciją.

Ką daryti, jeigu netyčia įvedėte PIN1?

Nedelsdami nutraukite pokalbį ir oficialiu numeriu susisiekite su banku arba kita paslauga, kurios pavadinimas buvo rodomas užklausoje.

Pasakykite:

• kada pasirodė užklausa;
• kad jos patys neinicijavote;
• kad įvedėte PIN1;
• kokios paslaugos pavadinimas buvo rodomas;
• ar prieš tai spaudėte nuorodą arba įvedėte duomenis svetainėje.

Jeigu PIN1 buvo panaudotas prisijungimui prie banko, darbuotojai galės patikrinti paskyros veiklą, nutraukti aktyvias sesijas ir nurodyti tolesnius veiksmus. Nelaukite, kol sąskaitoje atsiras nežinomas mokėjimas – PIN1 galėjo suteikti prieigą prie informacijos ar paruošti kitą sukčiavimo etapą.

Taip pat patys oficialioje banko programėlėje patikrinkite:

• paskutinius prisijungimus, jeigu bankas juos rodo;
• sąskaitų operacijas;
• naujus gavėjus;
• pateiktas paskolų paraiškas;
• pakeistus kontaktinius duomenis;
• nežinomus pranešimus banko vidinėje sistemoje.

Jeigu prieš užklausą suvedėte prisijungimo duomenis į įtartiną svetainę, pakeiskite galimai atskleistus slaptažodžius. Lietuvos bankas taip pat rekomenduoja nedelsiant kreiptis į banką, kai įtariama, jog duomenys galėjo būti nutekinti.

Ką daryti, jeigu įvedėte PIN2?

Tai jau skubi situacija.

PIN2 galėjo patvirtinti mokėjimą, sutartį, paskolos paraišką, naujo gavėjo įtraukimą ar kitą elektroniniu parašu atliekamą veiksmą. Nedelsdami skambinkite savo bankui arba paslaugos teikėjui oficialiu numeriu.

Paprašykite:

• patikrinti ką tik patvirtintą operaciją;
• sustabdyti mokėjimą, jeigu tai dar įmanoma;
• laikinai apriboti prieigą prie sąskaitos;
• patikrinti, ar nebuvo pakeisti nustatymai;
• paaiškinti, ar reikia uždaryti „Smart-ID“ paskyrą ir registruoti naują.

Nelaukite darbo dienos pabaigos ir nebandykite pirmiausia savarankiškai išsiaiškinti, kas įvyko. Finansų įstaiga kai kuriais atvejais gali sustabdyti dar neįvykdytą operaciją, todėl svarbi kiekviena minutė.

Jeigu jau patyrėte žalą ar matote nežinomą mokėjimą, apie įvykį praneškite policijai per ePolicija. Apie įtartinas nuorodas, žinutes ar bandymus išvilioti duomenis galima informuoti ir Nacionalinį kibernetinio saugumo centrą.

Ar po netikėtos užklausos reikia ištrinti „Smart-ID“?

Jeigu gavote vieną netikėtą užklausą, neįvedėte PIN ir daugiau nieko įtartino nevyko, paskyros paprastai nereikia iškart naikinti. Užklausa galėjo atsirasti dėl kito žmogaus klaidos, o be PIN patvirtinimo veiksmas nebuvo užbaigtas.

Paskyrą būtina rimtai svarstyti uždaryti, jeigu:

• kitas žmogus sužinojo jūsų PIN1 ar PIN2;
• telefonas buvo pavogtas ar pamestas;
• kažkas galėjo atrakinti jūsų įrenginį;
• telefone įdiegta įtartina nuotolinio valdymo programa;
• bankas arba „Smart-ID“ pagalbos tarnyba rekomenduoja paskyrą panaikinti;
• pastebite nuolatines nepaaiškinamas užklausas ir kitus paskyros perėmimo požymius.

„Smart-ID“ paskyras ir jų veiklą galima valdyti oficialiame „Smart-ID“ portale. Paslaugos teikėjas rekomenduoja paskyrą ištrinti, jeigu pamestas įrenginys arba kas nors sužinojo PIN kodus. Vėliau galima užregistruoti naują paskyrą.

Vien programėlės pašalinimas iš telefono nebūtinai prilygsta paskyros uždarymui. Todėl tokį veiksmą reikia atlikti oficialiu paskyros valdymo būdu arba vadovaujantis pagalbos tarnybos ir banko nurodymais.

Ko nereikėtų daryti išsigandus?

Netikėta „Smart-ID“ užklausa gali sukelti paniką, tačiau keli populiarūs veiksmai nepadeda arba net apsunkina situaciją.

Nereikia kelis kartus vesti tyčia klaidingo PIN tikintis užblokuoti sukčių. Taip galite užblokuoti savo pačių „Smart-ID“ kodą ir vis tiek neišsiaiškinti, kas pradėjo užklausą.

Nereikia skambinti numeriu, kurį atsiuntė įtartinas asmuo. Banko numerį raskite jo oficialioje svetainėje, programėlėje arba ant mokėjimo kortelės.

Nereikia iškart atkurti telefono gamyklinių nustatymų. Pirmiausia pasitarkite su banku ar kibernetinio saugumo specialistais ir išsaugokite reikalingus įrodymus.

Nereikia tikrinti sukčiaus atsiųstos nuorodos dar kartą. Jos ekrano nuotrauką ar adresą galima išsaugoti, bet pačios svetainės pakartotinai neatidarykite ir joje nieko neveskite.

Policija nuolat ragina neatskleisti „Smart-ID“ kodų, neatidarinėti neaiškių nuorodų ir, kilus abejonių, su banku susisiekti savarankiškai.

Kaip pasiruošti, kad kitą kartą sprendimas būtų automatinis?

Geriausia apsauga yra iš anksto priimta taisyklė: „Smart-ID“ kodą vedu tik tada, kai pats ką tik pradėjau veiksmą.

Prieš kiekvieną PIN įvedimą verta sau atsakyti į tris klausimus:

1. Ar aš pats ką tik pradėjau šį veiksmą?
2. Ar paslaugos pavadinimas ir kontrolinis kodas sutampa abiejuose ekranuose?
3. Ar suprantu, ką patvirtins PIN1 arba pasirašys PIN2?

Jeigu bent į vieną klausimą atsakymas yra „ne“, kodo neveskite.

Banko, policijos ar „Smart-ID“ darbuotojui jūsų PIN kodų nereikia. Jų nereikia ir „saugumo patikrinimui“. PIN kodai nėra slaptažodis, kurį reikia padiktuoti darbuotojui – jie yra asmeninis įrankis, kuriuo patys patvirtinate konkretų veiksmą savo telefone.

Pirmoji minutė gali apsaugoti visas santaupas

Netikėta „Smart-ID“ užklausa savaime dar nereiškia, kad pinigai jau pavogti. Dažniausiai lemiamas momentas yra tai, ką žmogus padaro gavęs pranešimą.

Jeigu PIN neįvedamas, sukčiaus pradėtas prisijungimas ar operacija lieka nepatvirtinti.

Jeigu žmogus pasiduoda skubai, autoritetingam balsui ar paaiškinimui, kad kodas reikalingas „atšaukimui“, jis pats gali suteikti paskutinę trūkstamą autorizaciją.

Todėl pirmąją minutę nereikia spręsti visos situacijos. Pakanka padaryti tris dalykus:

• neįvesti PIN;
• nutraukti įtartiną pokalbį;
• pačiam susisiekti su oficialia institucija.

„Smart-ID“ užklausa nėra klausimas, ar pasitikite skambinančiu žmogumi. Tai klausimas, ar pats pradėjote ekrane rodomą veiksmą. Jeigu ne – nieko netvirtinkite.