# Kaip atpažinti phishing laišką > Penki požymiai, kurie išduoda daugumą apgaulių, ir trys tikros Lietuvos schemos — SMS, Smart-ID ir netikras Microsoft. Su schemomis, kaip jos veikia, ir ką daryti, jei jau paspaudėte. ## Kodėl tai svarbu būtent jums Tikra istorija iš mūsų klientų praktikos. Įmonės vadovas paspaudė netikrą nuorodą ir suvedė savo el. pašto prisijungimus. Programišiai **dvi savaites** tyliai skaitė jo gaunamus ir siunčiamus laiškus — analizavo, su kuo jis bendrauja, kaip rašo ir kas įmonėje apmoka sąskaitas. Vieną dieną iš **tikros vadovo dėžutės** buhalterė gavo laišką: sumokėti **100 000 eurų** pagal išankstinę sąskaitą. Taisyklinga lietuvių kalba, idealiai nukopijuotu vadovo rašymo stiliumi. Buhalterei kilo įtarimas, ir ji paklausė vadovo, ar tikrai. Tik taip paaiškėjo, kad dėžutė perimta, — ir dideliems nuostoliams buvo užkirstas kelias. Viskas prasidėjo nuo vienos nuorodos. Ne nuo genialaus programišiaus — nuo laiško, kuris atrodė normalus. Šioje pamokoje: kaip tokį atpažinti, ir dar dvi schemos, kurios Lietuvoje veikia būtent dabar. ## Požymis nr. 1 — dirbtinė skuba „Per 24 valandas", „nedelsiant", „paskutinis įspėjimas". Sukčių tikslas — kad veiktumėte greičiau, nei galvojate. Tikros įstaigos (bankas, VMI, Microsoft) niekada nereikalauja veiksmo „tuoj pat arba prarasi viską". ## Požymis nr. 2 — siuntėjo adresas Vardas gali būti „Swedbank", bet adresas — `info@swedbank-security.xyz`. Visada pažiūrėkite į tikrą el. pašto adresą, ne į rodomą vardą. Telefone paspauskite ant siuntėjo vardo, kad pamatytumėte adresą. ## Požymis nr. 3 — nuorodos Užveskite pelės žymeklį ant nuorodos **nespausdami** — apačioje pamatysite tikrą adresą. Telefone: palaikykite pirštą ant nuorodos, kol pasirodys peržiūra. Bet adresą reikia ir mokėti perskaityti. Sukčiai sudeda į jį pažįstamus žodžius tikėdamiesi, kad perskaitysite tik pradžią. > **Schema.** Kaip perskaityti nuorodą: adrese https://unipark.lwbtmfo.club/com tikrasis savininkas yra lwbtmfo.club, nes tai du paskutiniai žodžiai prieš pirmą pasvirąjį brūkšnį. Žodis unipark priekyje yra tik priešdėlis, kurį savininkas gali prisirašyti bet kokį, o /com gale yra dekoracija. Tikras adresas būtų unipark.lt. Lygiai taip pat microsoft-login.helpdesk-lt.com priklauso helpdesk-lt.com, ne Microsoft. ## Požymis nr. 4 — netikėtas priedas Sąskaita, kurios nelaukėte. „Skenuotas dokumentas" iš nepažįstamo skenerio. ZIP failas „CV". Jei priedo nelaukėte — neatidarykite, kol nepatikrinote su siuntėju kitu kanalu. Tikras atvejis iš mūsų klientų: laiške — prisegtas **.zip** failas. Viduje — PDF dokumentas su „mokėjimo nuoroda". Paspaudus nuorodą, atsidarė užkrėsta svetainė. Ją sustabdė ESET interneto filtras. > **Schema.** Užkrėsto priedo sluoksniai: laiškas su zip archyvu, archyve PDF dokumentas, dokumente mokėjimo nuoroda, nuoroda veda į užkrėstą svetainę, kurią sustabdė antivirusinės programos interneto filtras. Kiekvienas sluoksnis slepia nuorodą nuo pašto filtro ir yra dar viena vieta, kur galima sustoti. Šįkart išgelbėjo programa. Bet interneto filtras yra paskutinis tinklas, o ne planas: naujas, ką tik sukurtas puslapis į jo sąrašus gali dar nebūti patekęs. Šiandien dažnas pavojingas priedas — net ne virusas, o **HTML failas**. Atidarote „skenuotą dokumentą", ir naršyklėje atsiveria Microsoft prisijungimo langas. Atrodo tikrai, bet adreso juostoje — ne `microsoft.com`, o failo kelias jūsų kompiuteryje, pvz. `file:///C:/Users/.../Downloads/...` **Atidarėte priedą, o naršyklėje atsirado prisijungimo langas — jis netikras.** Tikri prisijungimo puslapiai gyvena tikrame adrese, o ne faile jūsų kompiuteryje. ## Požymis nr. 5 — „vadovo" prašymas CEO fraud: laiškas neva nuo vadovo su prašymu skubiai pervesti pinigus ar nupirkti dovanų kortelių. Visada patikrinkite skambučiu žinomu numeriu. Joks tikras vadovas nesupyks dėl patikrinimo — supyks dėl prarastų pinigų. ## „2FA nesuveikė" — tai ne klaida Vienas mūsų klientas gavo pranešimą, kad Microsoft 365 paskyroje laukia neperskaitytų laiškų. Paspaudė, suvedė slaptažodį, suvedė 2FA kodą — ir **„kažkas nesuveikė"**. Nesuveikė ne dėl klaidos. Netikras puslapis realiu laiku perdavė slaptažodį ir kodą tikram Microsoft, pasiėmė prisijungimo **sesiją** ir įleido sukčių. Vadovas matė „klaidą" — sukčius matė jo paštą. Tai vadinama **AiTM** (angl. *adversary-in-the-middle*) — sukčius tarp jūsų ir tikros svetainės: > **Schema.** Kaip veikia AiTM ataka: jūs suvedate slaptažodį ir 2FA kodą į netikrą Microsoft puslapį. Jis tą pačią sekundę perduoda juos tikram Microsoft, gauna prisijungimo sesiją ir pasilieka ją sau, o jums parodo klaidą. Sukčius patenka į paštą, nors MFA buvo įjungta. Passkey arba fizinis raktas šią grandinę nutraukia, nes veikia tik tikrame Microsoft adrese. Dvi išvados: 1. **MFA su kodu nėra neperšaunama.** Atsparūs tokiai atakai yra tik passkeys arba fiziniai raktai — ten nėra kodo, kurį būtų galima perduoti. 2. **Po tokio įvykio slaptažodžio pakeisti neužtenka.** Praneškite IT, kad būtų atšauktos aktyvios sesijos, patikrintos pašto taisyklės ir prisijungimo metodai — sukčiai dažnai pirmiausia susikuria tylų laiškų persiuntimą arba prisideda savo telefoną kaip antrą MFA būdą. Perimta dėžutė — būtent tai, nuo ko prasidėjo istorija šios pamokos pradžioje. Kaip apsaugoti įmonės pinigus net tada, kai dėžutė jau perimta, — atskiroje pamokoje **[Sąskaitų sukčiavimas: kai laiškas tikras](/pamokos/saskaitu-sukciavimas-bec)**. Ten ir atvejis, kuriame įmonė pinigus prarado. ## Ne tik el. paštas — SMS irgi Tikra žinutė, gauta 2026 m. rugpjūtį. Perskaitykite ir paieškokite trijų dalykų:
← +212 7 74 08 63 05 1
Unipark – Nesumokėto stovėjimo mokesčio pranešimas Mūsų sistemos duomenimis, su Jūsų transporto priemone susijęs stovėjimo mokestis iki šiol nėra gautas. Siekiant išvengti papildomų mokesčių ir galimų administracinių apribojimų, prašome kuo greičiau atlikti mokėjimą. Norėdami peržiūrėti savo stovėjimo sesijos informaciją, apsilankykite mūsų oficialioje svetainėje ir įveskite savo transporto priemonės valstybinį registracijos numerį. https://unipark.lwbtmfo.club/com 2 (Tiesiog atsakykite „T", tada uždarykite SMS žinutę ir atidarykite ją iš naujo, kad suaktyvintumėte nuorodą. 3 Jei nuoroda vis tiek neveikia, nukopijuokite ją ir įklijuokite tiesiai į „Safari" naršyklę.) Siekdami išvengti tolesnio administracinio nagrinėjimo, maloniai prašome kuo greičiau atlikti mokėjimą. Klientų aptarnavimo skyrius
Tikra sukčių žinutė. Tekstas perteiktas tiksliai.
  1. 1 Maroko numeris (+212). Lietuviška stovėjimo bendrovė nerašo iš Afrikos.
  2. 2 Netikras adresas. Tikras — unipark.lt. Čia — lwbtmfo.club, o „/com" gale tik apgaudinėja akį.
  3. 3 Gudriausia dalis. iPhone išjungia nuorodas iš nepažįstamų siuntėjų. Sukčius Sigitas prašo jūsų patiems išjungti savo telefono apsaugą. Jokia tikra įmonė tokio sakinio nesiunčia.
## Kai apgaulė atrodo tobulai Šis laiškas atkeliavo į mūsų pačių dėžutę. Iš pirmo žvilgsnio — tvarkingas „Paysera" pranešimas apie AML/KYC patikrą:
Outlook2026-08-04 09:12
ΑΜL/ΚΥС геіkаlаvіmаі – раtvігtіnkіtе tараtуbę 1
Ρ Ρауѕега Сһесk
siska@gmmobil.com 2
Kam: antanas@itbroliai.lt
Gerbiamas kliente, vykdydami pinigų plovimo prevencijos reikalavimus, privalome pakartotinai patvirtinti Jūsų tapatybę. Pagal sutarties 2.13 punktą 3 nepatvirtinus per 10 darbo dienų, paslaugos gali būti apribotos. Patvirtinti tapatybę: һttрѕ://www.рауѕега.соm/lt/раtvігtіntі 4 Užklausos Nr.: KEB-147-__PROT0__ 5 UAB „Paysera LT", Pilaitės pr. 16, Vilnius · +370 5 2071 558
🖱 Užvedus žymeklį matosi tikroji nuoroda:
google.com/share.google?q=7PZFAudJ2yA73JkEn
Penkios technikos viename laiške.
  1. 1 Raidės — ne raidės. Visa antraštė parašyta graikiškais ir kirilicos simboliais, kurie atrodo identiškai. Filtrai mato šiukšles, jūs matote „AML".
  2. 2 Adresas neatitinka vardo. „Paysera Check" rašo iš gmmobil.com.
  3. 3 Išgalvota teisinė galia. Nurodytas sutarties punktas neegzistuoja — bet skamba rimtai.
  4. 4 Tekstas ≠ nuoroda. Matomas adresas rodo paysera.com, o iš tikrųjų veda per Google peradresavimą.
  5. 5 Ir čia jie apsijuokė: __PROT0__ — neužpildytas šablono kintamasis. Automatika visada kur nors prasitaria. Skaitykite smulkų šriftą.
Pirmąjį požymį verta pamatyti iš arti. Štai iš ko iš tikrųjų sudarytas siuntėjo vardas: > **Schema.** Homoglifai: siuntėjo vardas Paysera laiške parašytas be nė vienos lotyniškos raidės. Pirmoji raidė P yra graikiška ro, o kitos šešios yra kirilicos raidės, kurios atrodo kaip a, y, s, e, r ir a. Žmogui žodis atrodo identiškai, bet kompiuteriui tai visai kitas žodis. ## Antra SMS schema: muitas ir kortelė Ta pati mechanika, kitas masalas — ir kitas grobis.
← Lietuvos paštas
Jūsų siunta iš AliExpress sulaikyta muitinėje. Norėdami gauti siuntą, sumokėkite muito mokestį 1,50 EUR: https://post-lt-muitas.info/pay
Perpasakota schema. Puslapis atrodo beveik kaip post.lt.
Atsidaręs puslapis labai panašus į tikrą. Jame prašoma **kortelės duomenų**. Suvedus — nurašoma 1–2 eurai ir parodoma, kad viskas pavyko. Sveikiname: kortelės duomenys pavogti. ## Kodėl maža suma yra pati gudriausia dalis Tie 1,50 € nėra sukčiaus tikslas. Tai **kortelės patikra** — jis įsitikina, kad kortelė veikia ir duomenys teisingi. Tikri nuostoliai ateina vėliau arba duomenys parduodami kitiems. Suma pasirinkta sąmoningai: **dėl pusantro euro niekas neskambina bankui.** Būtent tylėjimo ir reikia. Dvi taisyklės: 1. **Muito mokestis niekada nemokamas suvedant kortelės duomenis iš SMS nuorodos.** Tikras paštas ima mokestį per savo svetainę ar programėlę, jums prisijungus. 2. **Suvedėte kortelės duomenis → blokuokite kortelę dabar**, programėlėje, nelaukdami ryto. Tai kelių sekundžių veiksmas ir jį galima atšaukti. Schema veikia todėl, kad beveik visi kažką užsisako iš AliExpress ar Temu — žinutė pataiko į tikrą lūkestį. Prieš šventes tokių žinučių būna daugiausiai. ## Vaistas: virtualios kortelės su limitais Nuo žinučių apsisaugoti sunku — jos ateis. Bet galima padaryti taip, kad pavogti kortelės duomenys būtų beveik beverčiai. ## Kiek kainavo ši žinutė Ta pati „Unipark" schema, tikras atvejis. Įmonės savininkas paspaudė nuorodą, **patvirtino Smart-ID**, ekrane pamatė, kad viskas gerai. Po kurio laiko pastebėjo, kad iš einamosios sąskaitos dingo **penkiaženklė suma**. Jis nesuvedė jokio slaptažodžio sukčiams. Jis tiesiog patvirtino. ## Smart-ID patvirtinimas yra parašas Čia svarbiausia šios pamokos vieta. Smart-ID ekrane visada parašyta, **kas** prašo patvirtinimo ir **ko** prašo. Sukčių puslapis tuo pačiu metu jungiasi prie jūsų banko — todėl telefone atsiranda tikras banko prašymas patvirtinti. Jūs galvojate apie stovėjimo mokestį, o patvirtinate prisijungimą prie banko. > **Schema.** Kaip veikia Smart-ID sukčiavimas: netikras stovėjimo mokesčio puslapis paprašo valstybinio numerio ir asmens kodo, ir tą pačią sekundę jungiasi jūsų asmens kodu prie jūsų banko. Bankas siunčia tikrą Smart-ID užklausą į jūsų telefoną. Jūs ją patvirtinate galvodami, kad mokate už stovėjimą. Bankas įleidžia sukčių, o jums netikras puslapis parodo, kad apmokėta. Užrašas „viskas gerai" ekrane po to — netikro puslapio, ne banko. Vienintelis momentas, kai apgaulė matosi, — telefono ekranas: > **Schema.** Lūkestis prieš realybę: puslapyje tikitės sumokėti stovėjimo mokestį, o Smart-ID telefone prašo prisijungimo prie jūsų banko. Kai tai, ko tikitės, nesutampa su tuo, ko prašoma, patvirtinimą reikia atmesti. Keturios taisyklės: 1. **Perskaitykite, kas ir ko prašo.** Ne „patvirtinti", o *kam* ir *ką* patvirtinate. Laukėte „Unipark", o Smart-ID rodo banką? Stop. 2. **Sutampantis kontrolinis kodas nieko neįrodo.** Netikras puslapis jį tiesiog perkopijuoja iš tikro banko — atakos metu kodai sutaps. 3. **Tikėjotės vieno, prašoma kito** (laukėte stovėjimo — prašo banko prisijungimo) → stabdykite. Ne vėliau, o tą sekundę. 4. **Į banką — tik iš savo programėlės** arba suvedus adresą ranka. Niekada iš SMS. Beje: kodėl nesuveikė dienos ir mėnesio limitai, ši istorija nutyli. Todėl pasinaudokite proga — **pasitikrinkite savo limitus šiandien**. Daugumai žmonių jie nustatyti kur kas didesni, nei realiai reikia. ## Nesate tikri? Paklauskite AI Nebūtina spręsti vienam. AI puikiai pastebi būtent tai, ką žmogaus akis praleidžia: netikras raides, nesutampantį domeną, spaudimo formuluotes. Pamokos viršuje yra mygtukas „Mokykis su AI" — jis nukopijuoja visą pamoką kartu su instrukcija. Įklijuokite į AI ir ten pat pridėkite savo įtartiną laišką. ## Ką daryti su įtartinu laišku 1. Nespauskite nuorodų ir neatidarykite priedų. 2. Praneškite savo IT komandai — arba mums: **pagalba@itbroliai.lt** (persiųskite laišką kaip priedą, kad išliktų antraštės). Skubiu atveju skambinkite **+370 618 05093**. 3. Ištrinkite laišką. 4. **Jei jau paspaudėte** — praneškite IT, bet slaptažodžio keisti dar nereikia: vien nuorodos paspaudimas jo neatskleidžia. **Slaptažodį keiskite tik tada, jei jį įvedėte** apgaulingame puslapyje — nesvarbu, ar prisijungti pavyko, ar ne. Tada keiskite iš karto ir visur, kur naudojote tą patį slaptažodį, bei įjunkite MFA. Pranešti niekada ne gėda. Gėda tylėti. ## Pasitikrinkite Dešimt klausimų apie tai, ką ką tik perskaitėte. Pabaigoje gausite sertifikatą su savo rezultatu — jį galėsite pridėti prie LinkedIn profilio.