Kas tavęs klausosi: tiesa ar paranoja?

Pasikalbėjote apie naują automobilį – vakare telefone jau mirga jo reklama. Ar telefonas klausosi? Ar valstybė įrašinėja kiekvieną mūsų pokalbį? Ar namų robotas siurblys gali tapti šnipu? Apie tai podkaste „Tapk geresniu“ Arturas Lebedenko kalbėjosi su kibernetinio saugumo specialistu, buvusiu hakeriu Marium Pareščiumi. Pokalbį peržiūrėjo daugiau nei 200 tūkst. žiūrovų. Apibendriname svarbiausias jo mintis, patikriname jas kitais šaltiniais ir papildome tuo, kas pasikeitė nuo pokalbio įrašymo.

Marius Pareščius – kibernetinio saugumo specialistas ir verslininkas, portalo „Draugas.lt“, Lietuvos klasterių asociacijos ir verslo inkubatoriaus įkūrėjas. Jis dažnai liudija teismuose kibernetinių nusikaltimų bylose ir moko teisėsaugą, kaip identifikuoti anonimiškai veikiančius pažeidėjus. Jo pagrindinė mintis paprasta: internetas ir fizinis gyvenimas jau seniai yra vienas ir tas pats. Ką darote telefone, palieka pėdsakų – ir ne tik jūsų įrenginyje.

Kas gali klausytis?

M. Pareščius išskiria kelis lygmenis. Klausytis gali ne tik valstybė, bet ir visai artimi žmonės: sutuoktinis, besidomintis kito telefonu, tėvai, vaikų kambaryje įrengę kamerą, darbdavys, įrašinėjantis darbuotojų pokalbius „kokybės užtikrinimo“ tikslais, ar konkurentai.

Valstybė. Pokalbyje M. Pareščius teigia, kad valstybė gali paprašyti ryšio operatorių pokalbių įrašų ir juos kaupti, o technologiškai toks įrašinėjimas operatoriaus lygmeniu nepastebimas – jokių traškesių ar keistų signalų neišgirsite. Kad seniau pasakojami „pasiklausymo požymiai“ – traškesys ragelyje ar pakitęs signalas – šiandien nieko nereiškia, sutinka ir kiti specialistai.

Įmonės. Skambindami į banką ar paslaugų įmonę, dažnai išgirstame, kad pokalbis bus įrašomas. M. Pareščius pasakoja, kaip pats tokiais atvejais elgiasi, kai skambina įmonė: jei jūs norite įrašinėti, pranešu, kad ir aš įrašinėsiu ir pasilieku teisę įrašą paskelbti. „Didžioji dalis neturi kitos išeities“, – šypsosi specialistas. Jis taip pat stebisi, kad kai kurie bankai, patys paskambinę klientui, prašo jo asmens kodo skaitmenų, nors visur skelbia, kad duomenų telefonu sakyti negalima.

Kodėl po pokalbio apie „Porsche“ matote „Porsche“ reklamą?

Tai, ko gero, dažniausias klausimas apie telefonus. M. Pareščius teigia, kad „Google“, „Meta“ (Facebook, Instagram) ir kitų didžiųjų bendrovių programėlės renka milžiniškus duomenų kiekius ir kad mes patys tam pritariame, pasirašydami niekada neskaitomas naudojimo sąlygas. Pasak jo, nesvarbu, ar jūsų profilis privatus, ar viešas – duomenys renkami vienodai.

Ar telefonas iš tiesų klausosi pokalbių? Tyrimai rodo sudėtingesnį vaizdą:

• Nuolatinio pasiklausymo įrodymų nerasta. 2018 m. JAV Šiaurės rytų universiteto (Northeastern University) mokslininkai ištyrė daugiau nei 17 tūkst. populiarių „Android“ programėlių ir nė viena slapta neįjungė mikrofono. Tačiau jie rado kai ką kita: kai kurios programėlės be vartotojo žinios siuntė trečiosioms šalims ekrano nuotraukas ir vaizdo įrašus.
• Bet bandymų būta. 2023–2024 m. žiniasklaida paskelbė JAV rinkodaros bendrovės „Cox Media Group“ pristatymą, kuriame ji reklamuotojams siūlė „aktyvaus klausymosi“ technologiją – esą reklamą galima taikyti pagal tai, ką žmonės kalba prie išmaniųjų įrenginių. Po skandalo „Google“ šią bendrovę pašalino iš savo partnerių programos, „Meta“ pareiškė telefonų mikrofonų reklamai nenaudojanti, o „Amazon“ – su šia programa niekada nedirbusi.
• Dažniausiai mikrofono net nereikia. Reklamos sistemos žino jūsų buvimo vietą, paieškas, pirkinius, kontaktus, o taip pat ir tai, ko ieško žmonės, prisijungę prie to paties „Wi-Fi“ tinklo. Jei draugas, su kuriuo kalbėjotės, vakare ieškojo „Porsche“, reklama gali atkeliauti ir jums. Prie to prisideda ir mūsų atmintis: įsimename sutapimus, bet nepastebime šimtų reklamų, kurios su pokalbiais nesusijusios.

Šiuolaikiniai telefonai, įjungus mikrofoną ar kamerą, ekrano viršuje parodo spalvotą tašką – iPhone oranžinį (mikrofonas) arba žalią (kamera), „Android“ – žalią. Jei toks taškas dega, kai nieko neįrašinėjate ir nesikalbate, – verta patikrinti, kuri programėlė jį įjungė.

Sukčiai: padirbtas numeris, padirbtas balsas, tikra tyrėjo pavardė

M. Pareščius pabrėžia: technologiškai paskambinti galima iš bet kokio numerio ir ekrane parodyti bet kokį vardą – „Vilniaus miesto savivaldybė“, banko pavadinimą ar net jūsų adresų knygelėje įrašytą artimojo vardą. Balsas taip pat gali būti padirbtas, o skambintojas gali prisistatyti tikrai egzistuojančio policijos tyrėjo pavarde.

Specialistas pasakoja ir asmeninę istoriją: jo mama sumokėjo sukčiams grynaisiais, išgirdusi, kad „sūnus pateko į avariją“. Pinigų atvykęs paimti žmogus buvo surastas, byla laimėta ir pinigai grąžinti. Tačiau po metų panašus skambutis pasiekė jo senelį – sukčiai vėl bandė pasinaudoti ta pačia šeima. Pats M. Pareščius prieš skrydį sulaukė skambučio iš tariamo policijos komisariato, kai su juo kalbėta pakaitomis lietuviškai ir rusiškai. Jis užsirašė „tyrėjo“ duomenis, paskambino į policiją – ir jau Londone jam perskambino tikri tyrėjai.

Jo patarimas paprastas: jei kas nors skambina per „Viber“ ar kitą programėlę, kalba rusiškai ir prisistato policija, – užsirašykite visus duomenis, padėkite ragelį ir patys paskambinkite į policiją (112). Jei skambina „bankas“ – pasakykite, kad perskambinsite, ir banko numerį susiraskite patys elektroninėje bankininkystėje.

Specialistas įspėja ir apie kitus sukčių būdus:

Įtartinas SMS žinutes ir svetaines verta pranešti Nacionaliniam kibernetinio saugumo centrui (nksc.lt). Pasak M. Pareščiaus, centras tokias nuorodas įtraukia į blokuojamų sąrašą, ir kitiems žmonėms jos nebeatsidaro – tad kiekvienas pranešimas apsaugo dar ką nors.

Plačiau apie telefoninius sukčius, jų scenarijus ir telefono nustatymus, padedančius apsisaugoti, rašėme straipsnyje „Telefoniniai sukčiai: kaip jie veikia ir kaip apsisaugoti“.

Namų siurblys, kamera ir televizorius

M. Pareščius pokalbį pradeda netikėtu teiginiu: hakeriai yra įsilaužę į robotus siurblius ir jais filmavę žmonių miegamuosius. Skamba kaip paranoja, tačiau panašių atvejų tikrai būta:

• 2022 m. „MIT Technology Review“ paskelbė, kad bandomųjų „iRobot Roomba“ siurblių užfiksuoti vaizdai iš žmonių namų, tarp jų – moters tualete, atsidūrė uždarose „Facebook“ grupėse. Tai buvo ne įsilaužimas: nuotraukas paviešino darbuotojai, kurie žymėjo vaizdus dirbtiniam intelektui mokyti. „iRobot“ teigia, kad tai buvo specialūs testiniai įrenginiai, o ne parduodami siurbliai.
• 2024 m. JAV įsilaužėliai perėmė kelių „Ecovacs Deebot“ siurblių valdymą: jie stebėjo savininkus per kameras, per garsiakalbius šūkavo įžeidimus ir vaikė naminius gyvūnus. Spragą dar prieš tai viešai buvo atskleidę saugumo tyrėjai.

Ypač prastai saugomos pigios kameros. Specialistas prašo nepirkti pačių pigiausių, iki 30 eurų, kinietiškų kamerų: dalis jų turi gamyklinius slaptažodžius, kurių neįmanoma pakeisti. Būtent tokie įrenginiai 2016 m. buvo panaudoti vienai didžiausių interneto atakų: „Mirai“ tinklas, sudarytas iš maždaug 100 tūkst. užkrėstų vaizdo kamerų ir įrašymo įrenginių, sutrikdė „Twitter“, „Netflix“, „Amazon“, „Spotify“ ir daugelio kitų svetainių veikimą JAV ir Europoje.

Kitas svarbus patarimas: „Wi-Fi“ maršrutizatorius, kameros, siurbliai ir televizoriai nėra amžini. Gamintojas jų programinę įrangą paprastai atnaujina 3–5 metus. Vėliau naujai rastos spragos nebetaisomos, todėl tokius įrenginius rekomenduojama keisti kas 5–8 metus.

Viešieji USB krovikliai. M. Pareščius pataria kavinėse ir oro uostuose nesikrauti telefono svetimais laidais ar sieninėmis USB jungtimis – per jas teoriškai galima pasiekti telefono duomenis. 2023 m. panašiai įspėjo ir FTB. Vis dėlto saugumo specialistai pabrėžia, kad realių tokių atakų atvejų užfiksuota labai mažai. Paprasčiausia nešiotis savo kroviklį ir išorinę bateriją. Jei telefonas, prijungtas prie kroviklio, klausia, ar „pasitikėti šiuo įrenginiu“, – spauskite „Ne“.

Deepfake: kai netikėti nebegalima net vaizdu ir balsu

M. Pareščius mano, kad dirbtinio intelekto klastotės pavojingesnės suaugusiems nei vaikams – ypač politikoje. Pavyzdžių jau yra: 2023 m. Slovakijoje, likus dviem dienoms iki parlamento rinkimų, paplito netikras garso įrašas, kuriame opozicijos lyderis Michalas Šimečka su žurnaliste neva aptaria rinkimų klastojimą. Įrašą pamatė šimtai tūkstančių žmonių, o paneigti jį iki rinkimų buvo sunku, nes galiojo rinkimų agitacijos draudimas.

Specialistas pataria verslui ir šeimoms susitarti dėl slaptų žodžių arba klausimų, į kuriuos atsakyti gali tik tikras žmogus: „Ar prisimeni sekretorę, su kuria gėrėme kavą prieš trejus metus? Kokios spalvos buvo jos plaukai?“

VPN ir antivirusinė programa: ką jos duoda, o ko ne

VPN paslepia jūsų tikrąjį IP adresą ir vietą – svetainė mato ne jus, o VPN serverį kitoje šalyje. Tai naudinga, kai nenorite, kad svetainė žinotų, kur esate, arba kai jungiatės prie viešo „Wi-Fi“. Tačiau VPN neapsaugo nuo sukčių, kenkėjiškų nuorodų ar slaptažodžių vagystės. M. Pareščius įspėja, kad labai pigūs ar nemokami VPN dažnai uždirba iš to, kad parduoda vartotojų duomenis.

Antivirusinė programa, pasak specialisto, šimtu procentų neapsaugos, tačiau padės. Jis pats naudoja ESET, o „Windows“ kompiuteriams dažnai pakanka integruotos „Microsoft“ apsaugos. Rusijos bendrovės „Kaspersky“ produktų jis nerekomenduoja – Lietuva juos dar 2017 m. uždraudė naudoti svarbiose valstybės institucijose, o JAV 2024 m. uždraudė parduoti.

Paprastas apsaugos planas

Pokalbio pabaigoje M. Pareščius pateikia trumpą gidą. Visiškai apsisaugoti neįmanoma – juokais jis sako, kad net negyvenamoje saloje šiandien veikia palydovinis internetas. Tačiau keli įpročiai labai sumažina riziką:

Telefono nustatymai jūsų privatumui

Kelios minutės telefono nustatymuose padės sužinoti, kurios programėlės gali naudotis mikrofonu, kamera ir buvimo vieta, ir sumažinti sekimą reklamai. Pavadinimai priklauso nuo telefono kalbos ir modelio, todėl gali šiek tiek skirtis.

iPhone

„Android“

Abiejų sistemų telefonuose verta peržiūrėti ir „Facebook“ nustatymus: skiltyje „Jūsų veikla už „Meta“ technologijų ribų“ (angl. Your activity off Meta technologies) matysite, kurios kitos svetainės ir programėlės siunčia „Meta“ informaciją apie jus, ir galėsite šį ryšį nutraukti.

Tai tiesa ar paranoja?

Ir tai, ir tai. Nėra įrodymų, kad telefonai nuolat klausosi kiekvieno mūsų žodžio ar kad valstybė kaupia visų pokalbių įrašus. Tačiau duomenų apie mus renkama tiek daug, kad mikrofono dažniausiai net nereikia: buvimo vieta, paieškos, pirkiniai, kontaktai ir nutekėjusios duomenų bazės leidžia apie žmogų sužinoti labai daug – tiek reklamuotojams, tiek sukčiams.

Todėl M. Pareščiaus žinia, ko gero, svarbiausia ne paranoja, o sąmoningumas: žinoti, kas apie mus renkama, nepasitikėti vien skambučio numeriu ar balsu, naudoti skirtingus slaptažodžius ir neskubėti. Kaip jis sako, žmonės dažnai galvoja: „Kam aš įdomus?“ Tačiau sukčiams įdomus kiekvienas, turintis banko sąskaitą, o įsilaužėliams – kiekvienas pigus įrenginys, prijungtas prie interneto.