Įsilaužėliams užtenka 27 sekundžių: ekspertai įvardijo, kas 2026 metais kelia didžiausią grėsmę įmonėms

Kibernetinių nusikaltėlių ginklu tapo DI, o atakos plinta greičiau, nei IT skyrius spėja pastebėti, kad kažkas negerai. Ką tai reiškia įmonių vadovams ir kaip atsilaikyti prieš DI valdomas atakas?

Spalis – Europos kibernetinio saugumo mėnuo, tačiau šiemet jis primena ne apie silpnus slaptažodžius, o apie laiką. Naujausiais duomenimis, kibernetiniams nusikaltėliams vidutiniškai užtenka 29 minučių, kad iš pirmojo užvaldyto kompiuterio peršoktų į kitas įmonės sistemas. Tiek laiko įmonė turi sureaguoti, kol ataka dar netapo rimta problema. Rekordinis atvejis truko vos 27 sekundes.

Tokius skaičius pateikia „CrowdStrike“ 2026 m. pasaulinė grėsmių ataskaita, kurią bendrovės analitikai rengia stebėdami atakuotojų veiklą visame pasaulyje. Rugsėjį „OIXIO“kartu su „CrowdStrike“ šias išvadas aptarė specialiame vebinare. Išvada paprasta: klausimas nebe „ar mus užpuls“, o „ar spėsime sureaguoti“.

Įsilaužėlių vis daugiau, ir jie vis gudresni

Šiuo metu „CrowdStrike“ analitikai stebi daugiau nei 280 įsilaužėlių grupuočių: nuo užsienio valstybių remiamų šnipų iki pelno siekiančių nusikaltėlių. Vien per pastaruosius metus atsirado 24 naujos grupuotės, todėl jų iš viso padaugėjo maždaug dešimtadaliu.

Šių metų ataskaitos leitmotyvas – vengiantis atakuotojas, kuris visomis priemonėmis siekia likti nepastebėtas. „Dirbtinis intelektas atakuotojams tapo tuo pačiu, kuo ir verslui, – produktyvumo įrankiu. Tik jie jį naudoja tam, kad veiktų greičiau ir liktų nematomi“, – komentuoja „OIXIO“ IT ir kibernetinio saugumo paslaugų vadovas Povilas Domarkas.

„OIXIO“ ir „CrowdStrike“ ekspertai išskiria keturis ryškiausius kibernetinių atakų pokyčius per pastaruosius metus:

• Dirbtinis intelektas abiejose pusėse. DI naudojančių atakuotojų veiksmų padaugėjo 89 proc. DI rašo įtikinamus sukčiavimo laiškus, imituoja pagalbos tarnybos balsus telefonu ir kuria naujų tipų kenkėjiškas programas.
• Spragos išnaudojamos per kelias dienas. Anksčiau nuo spragos paskelbimo iki atakos praeidavo savaitės ar mėnesiai. Dabar pažangiausios grupės, pasitelkusios DI, naujas spragas paverčia ginklu vos per kelias dienas, todėl atnaujinimams lieka labai mažai laiko.
• Debesija – naujas mūšio laukas. Su užsienio valstybėmis siejamų įsilaužėlių grupių įsibrovimų į debesijos aplinkas padaugėjo net 266 proc., o iš viso tokio tipo atakų – 37 proc.
• Virusų nebereikia. 82 proc. aptiktų atakų apsiėjo be jokios kenkėjiškos programos. Atakuotojai naudojasi teisėtais prisijungimais ir įprastais administravimo įrankiais, todėl jų veiksmai atrodo kaip eilinis darbas.

Jie neįsilaužia. Jie tiesiog prisijungia

Didelė dalis šiandienių atakų prasideda ne nuo sudėtingo įsilaužimo, o nuo pavogto prisijungimo. Net 35 proc. incidentų debesijoje atakuotojai naudojosi tikromis, bet pavogtomis paskyromis. Sistemai toks atakuotojas atrodo kaip eilinis darbuotojas.

„CrowdStrike“ ataskaitoje aprašomas tipinis penkių žingsnių scenarijus. Atakuotojas patenka per įrenginį, kuris nėra įtrauktas į įmonės apsaugos sistemas, pavyzdžiui, asmeninį darbuotojo telefoną ar kompiuterį. Ten jis pasinaudoja pavogtais prisijungimo duomenimis ir juda po tinklą. Per bendro prisijungimo sistemas pasiekia įmonės programas debesijoje ir įsitvirtina virtualiuose serveriuose, kur jį sunkiau aptikti. Galiausiai jis šifruoja duomenis arba juos vagia ir parduoda.

Atakuotojai vis dažniau ateina ir per tai, kuo įmonė pasitiki. Jie paslepia kenkėjišką kodą programinės įrangos atnaujinimuose ar nemokamose programavimo bibliotekose, kurias naudoja įmonių programuotojai. Kitas taikinys – įrenginiai, jungiantys įmonės tinklą su internetu, pavyzdžiui, maršrutizatoriai, ugniasienės ar VPN įrenginiai. Būtent į juos buvo nukreipta net 40 proc. pažeidžiamumų, kuriuos išnaudojo su Kinija siejamos grupės.

Kuo daugiau prieigos įmonė suteikia DI asistentams, tuo daugiau galimybių atsiranda atakuotojams. Jau užfiksuota atvejų, kai atakuotojai sukūrė suklastotą teisėto DI įrankio kopiją. Iš pažiūros ji veikė kaip įprasta, bet įmonės el. laiškus slapta persiųsdavo įsilaužėliams.

„Įmonės, diegiančios DI, kad dirbtų produktyviau, kartu atveria atakuotojams naujas duris. Todėl būtina matyti, ką daro jūsų DI įrankiai, ir nustatyti jiems aiškias ribas“, – pabrėžia P. Domarkas.

Penki dalykai, kuriuos įmonės vadovas gali padaryti dar šiais metais

Kai sprendimui lieka minutės, o kartais sekundės, svarbiausia pasiruošti iš anksto. Ekspertai išskiria penkis prioritetus.

1. Apsaugokite tapatybes. Tiek vietines, tiek debesijos ir SaaS paskyras. Daugiaveiksnė autentifikacija ir prisijungimų stebėjimas šiandien yra minimumas.
2. Panaikinkite matomumo spragas. Labiausiai nuvertinama tai, kiek laiko užtrunka sujungti informaciją iš skirtingų sistemų. Kai visi įvykiai matomi vienoje vietoje, daug greičiau aišku, iš kur atėjo ataka ir kur ji nukeliavo.
3. Automatizuokite reakciją. Pavyzdžiui, aptikus įtartiną veiklą sistema pati priverstinai pakeičia naudotojo slaptažodį ir atjungia jį nuo kompiuterio. Be žmogaus įsikišimo ir akimirksniu.
4. Saugokite DI ir naudokite DI. Nustatykite, kokius DI įrankius naudoja darbuotojai ir ką jie gali pasiekti. Kartu įtraukite DI į savo gynybą, nes be DI atremti tokias atakas realiu laiku beveik neįmanoma.
5. Pažinkite priešą ir teisingai rinkitės, ką atnaujinti. Visko iš karto nesutvarkysite, todėl pirmiausia atnaujinkite įrenginius, jungiančius įmonės tinklą su internetu, ir užlopykite tas spragas, kurias atakuotojai jau išnaudoja.

Vis dėlto technologijos žmogaus nepakeičia. „DI nežino, kaip įprastai dirba jūsų įmonė, todėl dažnai be reikalo skelbia pavojų. O kai reikia priimti sunkų sprendimą ir už jį atsakyti, to vis tiek turi imtis žmogus“, – sako P. Domarkas.

Saugumas prasideda nuo infrastruktūros

Daugelis organizacijų kibernetinį saugumą ir IT infrastruktūrą vis dar laiko atskirais pasauliais, tačiau atakuotojai jų neskiria. „OIXIO“ abi sritis sujungia po vienu stogu: nuo darbo vietų, serverių ir debesijos priežiūros iki visą parą veikiančio saugumo operacijų centro (SOC), atakų tyrimų ir pagalbos įgyvendinant NIS2 reikalavimus. 

„Atakuotojui nesvarbu, kur baigiasi IT ir prasideda saugumas. Kai šias sritis prižiūri skirtingi tiekėjai, brangios minutės prarandamos aiškinantis, kas turi reaguoti. Jei abi sritis mato ta pati komanda, reaguojama iš karto. O kai atakai užtenka pusvalandžio, būtent tai ir lemia rezultatą“, – sako P. Domarkas.

Kibernetinio saugumo mėnuo – gera proga užduoti sau vieną klausimą: jei ataka prasidėtų dabar, ar jūsų įmonė ją pastebėtų per 27 sekundes?