Telefoniniai sukčiai: kaip apsaugoti verslą

Vieno skambučio rizika prasideda gerokai anksčiau, nei ekrane pasirodo pažįstamas numeris

Telefoniniai sukčiai šiandien remiasi ne vien įtikinamu balsu. Vienas skambutis, keli skuboti paspaudimai ir Smart-ID patvirtinimas gali atverti kelią prie sąskaitos ar kitų skaitmeninių paslaugų. Pavojingiausia tai, kad situacija iš pradžių gali atrodyti visiškai kasdieniška.

PIRMYN Podkastas pokalbyje kibernetinio saugumo ekspertas Marius Pareščius nagrinėja Lietuvoje veikiančias schemas – nuo investicinio sukčiavimo iki pavogtų duomenų ir dirbtinai sukurto artimojo balso. Buvęs hakeris, daugiau nei tris dešimtmečius dirbantis kibernetinio saugumo srityje, pateikia nepatogią mintį: turime ruoštis taip, tarsi dalis mūsų duomenų jau būtų patekusi į svetimas rankas.

Kodėl apsigauna ir protingi žmonės?

Telefoniniai sukčiai laimi ne todėl, kad jų aukos nieko neišmano. Epizode aptariami atvejai rodo, kad užkibti gali atsargūs žmonės ir net saugumo eksperto šeimos nariai. Sukčius ieško ne žinių spragos, o akimirkos, kai žmogus išsigąsta, skuba arba nori greitai išspręsti tariamą problemą.

Tokiame pokalbyje informacija pateikiama mažomis, tikroviškomis dalimis. Pašnekovas gali žinoti vardą, telefono numerį ar kitą detalę, kuri sukuria patikimumo įspūdį. Tada atsiranda skuba: reikia patvirtinti veiksmą, apsaugoti sąskaitą ar nepraleisti tariamos investavimo galimybės.

Gyvame susitikime padeda veido išraiška ir kiti kūno kalbos signalai. Telefonas didelę jų dalį pašalina, todėl pažįstamas balsas ar autoritetingas tonas gali atrodyti svarbesnis už patį prašymą. Būtent prašymą, o ne žmogaus pasitikėjimą keliančią manierą, verta tikrinti pirmiausia.

Nutekėję duomenys paverčia skambutį įtikinamu

Pareščius provokuojančiai kalba apie Lietuvos duomenų bazių pažeidimus ir epizodo pabaigoje aptaria Registrų centro nutekėjimą. Esminė verslui naudinga įžvalga paprasta: pavogtas duomuo pats savaime gali atrodyti nereikšmingas, tačiau sujungtas su kitais duomenimis tampa socialinės inžinerijos žaliava.

Vardas, pareigos, įmonės rekvizitai ir viešai paskelbtas telefono numeris leidžia sukurti labai tikrovišką istoriją. Tai nėra priežastis slėpti visą verslą nuo interneto. Tai priežastis atskirti viešą informaciją nuo duomenų, kuriais galima patvirtinti tapatybę arba finansinį veiksmą.

Registrų centro tema primena platesnę valstybės IT sistemų patogumo ir saugumo įtampą. Patogios skaitmeninės paslaugos yra Lietuvos stiprybė, tačiau vien patogumas negali būti tapatybės įrodymas. Kuo daugiau procesų perkeliama į telefoną, tuo svarbesni tampa nepriklausomi patikrinimai.

Nutekėję duomenys tampa pavojingi tada, kai sukčius iš jų sukuria istoriją, kuria norisi patikėti.

Deepfake pakeičia pasitikėjimo taisykles

Didžiausią nerimą kelia giluminė klastotė, dažniau vadinama anglišku žodžiu deepfake. Pokalbio dalyje nuo 35:47 aptariama galimybė skambučio metu atkurti artimojo balsą ir ekrane parodyti jo numerį. Tai reiškia, kad pažįstamas balsas ir numeris nebėra pakankamas įrodymas.

Verslui ši rizika ypač svarbi, kai vadovas telefonu prašo skubiai pervesti pinigus, pakeisti gavėjo sąskaitą ar perduoti prisijungimo duomenis. Sprendimas nėra bandyti ausimi atpažinti kiekvieną dirbtinį balsą. Saugesnė taisyklė – finansinį ar jautrų prašymą patvirtinti kitu, iš anksto sutartu kanalu.

Asmeniniame gyvenime galima perskambinti artimajam pačiam pasirinktu numeriu arba užduoti klausimą, kurio atsakymo neatskleidžia vieši profiliai. Įmonėje reikalinga formalesnė versija: dvigubas mokėjimo patvirtinimas, aiški atsakomybė ir teisė sustabdyti neįprastą užduotį. Pauzė tokioje situacijoje nėra nepasitikėjimas kolega – tai profesionali apsauga.

Kai balsą ir numerį galima suklastoti, pasitikėjimą turi kurti procesas, o ne ekrane matomas vardas.

Saugumas turi būti procesas, ne atminties testas

Vienkartinis mokymas nepadės, jei kasdienė sistema verčia darbuotoją spręsti vieną. Saugus procesas turi veikti ir tada, kai žmogus pavargęs, klientas laukia, o vadovas tariamai skubina. Čia praverčia tas pats principas kaip ir sistemų stebėjime: svarbu ne tik pastebėti sutrikimą, bet ir iš anksto žinoti, kas reaguoja.

Įmonės taisyklės neturi būti šimto puslapių dokumentas. Pakanka kelių aiškių ribų, kurias žino finansai, klientų aptarnavimas, vadovai ir laikini darbuotojai. Jos turi galioti net tada, kai prašymas atrodo atėjęs iš pažįstamo žmogaus.

Penkios taisyklės kasdieniam darbui

• Smart-ID lange perskaitykite, kokį veiksmą tvirtinate; nepatvirtinkite vien todėl, kad kažkas skambina.
• Mokėjimo gavėjo ar sąskaitos pakeitimą patikrinkite kitu, iš anksto žinomu kanalu.
• Neleiskite vienam žmogui be papildomo patvirtinimo atlikti neįprastai didelio ar skubaus mokėjimo.
• Investavimo pažadus atskirkite nuo tikros rinkų istorijos ir rizikos; garantuotas skubus pelnas yra priežastis sustoti.
• Iš anksto užrašykite, kam pranešti apie įtartiną skambutį, prarastą prieigą ar atliktą mokėjimą.

Svarbu kurti aplinką, kurioje darbuotojas gali pasakyti „palaukime ir patikrinkime“. Jei atsargumas baudžiamas dėl lėtumo, sukčius gauna sąjungininką pačioje įmonės kultūroje. Greitis padeda verslui augti, tačiau finansinėse išimtyse jis turi turėti stabdį.

Ką daryti, kai apgaulė jau įvyko?

Epizode pabrėžiama, kad pirmosios minutės ir pirmasis pusvalandis yra ypač svarbūs. Dalyje nuo 1:01:50 aptariami konkretūs veiksmai po apgavystės. Svarbiausia neužstrigti gėdoje ar bandant vienam suprasti visą schemą.

Įmonės incidento plane turi būti banko, atsakingo vadovo ir IT specialisto kontaktai bei tvarka, kaip blokuojamos prieigos. Kartu verta išsaugoti skambučio laiką, numerį, žinutes ir informaciją apie atliktus veiksmus. Tokie duomenys padeda reaguojantiems žmonėms greičiau susidaryti situacijos vaizdą.

Ta pati nuostata svarbi susidūrus su romantiniu sukčiavimu, intymių vaizdų šantažu ar pinigų mulo schema, kai žmogaus sąskaita naudojama svetimiems pinigams pervesti. Nukentėjusiojo kaltinimas problemos neišsprendžia. Greitas pranešimas ir aiški pagalbos grandinė yra vertingesni už klausimą, kaip žmogus galėjo patikėti.

Ką iš to galima išmokti?

Kibernetinis saugumas prasideda ne nuo antivirusinės programos, o nuo sprendimų architektūros. Marius Pareščius pateikiami pavyzdžiai primena, kad sukčius mėgina valdyti ne įrenginį, bet žmogaus dėmesį, emociją ir skubos jausmą.

1. Laikykite nutekėjusius duomenis pradine rizika. Vieša ar pavogta detalė neturi veikti kaip tapatybės patvirtinimas.
2. Tikrinkite prašymą kitu kanalu. Balsas, telefono numeris ir žinoma asmeninė informacija gali būti imituojami.
3. Pasiruoškite dar prieš incidentą. Atsakomybės, kontaktai ir mokėjimo stabdymo taisyklės turi būti aiškios tada, kai dar niekas neskambina.

Didžiausias pokytis nėra techninis. Turime išmokti laikyti kelių minučių patikrinimą normaliu profesionalumo ženklu. Sukčiai skubina, todėl kartais vertingiausias verslo saugumo įrankis yra paprastas sprendimas sustoti.

▶

Šaltiniai

• PIRMYN Podkastas: Marius Pareščius apie duomenų vagystes ir telefoninius sukčius — Visas pokalbis, paskelbtas 2026 m. liepos 22 d.
• Pokalbio dalis apie deepfake skambučius — Tema pradedama aptarti nuo 35:47.
• Pokalbio dalis apie pirmąsias 30 minučių po apgavystės — Tema pradedama aptarti nuo 1:01:50.