"Likely-SCAM": kaip Singapūro sprendimas galėtų apsaugoti lietuvius nuo apgaulingų SMS

Jūsų telefone - žinutė. Siuntėjas: SWEDBANK. Tekste - įspėjimas, kad paskyra laikinai užblokuota ir reikia "patvirtinti tapatybę". Nuoroda atrodo beveik tikra. O svarbiausia - žinutė nukrenta į tą patį pokalbių langą, kuriame guli visos jūsų tikrosios banko žinutės apie pinigų pervedimus.

Ir tai nėra klaida. Tai - funkcija.

Klasikinėje SMS architektūroje "siuntėjo vardas" (angl. alphanumeric Sender ID) yra tiesiog tekstinis laukas. Ne sertifikatas. Ne pasas. Tiesiog laukas, kurį siuntėjas užpildo pats. Telefonas žinutes grupuoja pagal tą tekstą - todėl suklastota žinutė atsiduria greta autentiškų. Vartotojui tai atrodo kaip tęsinys, o ne kaip nauja ataka.

Singapūras 2023 m. nusprendė šią spragą uždaryti sistemiškai. Ir jų sprendimas šiandien jau kopijuojamas Europoje.

Kontekstas: kiek tai aktualu Lietuvoje

Skaičiai negailestingi. Ryšių reguliavimo tarnybos (RRT) duomenimis, 2026 m. pirmąjį ketvirtį Lietuvos operatoriai užblokavo daugiau kaip 13,8 mln. skambučių iš užsienio su suklastotais numeriais - daugiau nei per visus 2025 metus. Blokuotų apgaulingų SMS skaičius per metus išaugo beveik 30 % iki 2,12 mln.

Atkreipkite dėmesį į dėsningumą: kai operatoriai išmoko filtruoti balso skambučius, sukčiai persikėlė į SMS. Kai bus suvaldytos SMS - jie jau dabar migruoja į "Viber", "WhatsApp" ir RCS. Tai ne vienkartinė ataka, o nuolatinė kanalų migracija.

Tipiniai šiandienos scenarijai Lietuvoje: "bauda už greičio viršijimą", "netinkamas parkavimas", "pasibaigė Smart-ID galiojimas", "skola, perduota antstoliui". Visi jie turi vieną bendrą bruožą - jie eksploatuoja institucijos vardą, ne technologiją.

Kodėl siuntėjo vardas yra svajonių taikinys

Pažiūrėkime į tai užpuoliko akimis. Jo tikslas - ne "nulaužti banką". Tai brangu, ilga ir rizikinga. Jo tikslas - pasiskolinti banko reputaciją penkiolikai sekundžių.

Motyvacija ir ekonomika. Masinio SMS išsiuntimo kaina - centai už žinutę. Jei iš 100 000 gavėjų suklys 0,1 %, tai vis tiek 100 potencialių aukų. Konversijos rodiklis čia svarbesnis už techninį sofistikuotumą, todėl užpuolikas investuoja į patikimumą, ne į kodą.

Ką jis mato kaip spragą:

1. Nėra siuntėjo autentifikacijos. Skirtingai nei el. pašte (kur turime SPF, DKIM, DMARC), klasikinis SMS neturi jokio kriptografinio mechanizmo įrodyti, kad "SWEDBANK" tikrai yra Swedbank.
2. Tarptautinis tranzitas. Žinutė gali būti įleista į tinklą per agregatorių trečioje šalyje, kur patikra yra formali arba jos nėra. Todėl RRT ir pastebi dominuojančius kodus +44, +63, +91, +212.
3. Pokalbių lango "užgrobimas" (thread hijacking). Tai psichologinis, ne techninis smūgis. Suklastota žinutė paveldi visą ankstesnių tikrų žinučių sukurtą pasitikėjimą.
4. Kontekstinis taimingas. Žinutė apie "nepavykusį siuntos pristatymą" pataikius į dieną, kai žmogus tikrai laukia paketo, veikia dešimt kartų geriau.

Ką padarė Singapūras (ir kaip tai virto Europos praktika)

Singapūro Infokomunikacijų ir medijos institucija (IMDA) įvedė Singapore SMS Sender ID Registry (SSIR) - nacionalinį registrą, kuriame visos organizacijos, siunčiančios SMS su vardiniu siuntėjo ID, privalo užregistruoti savo vardą.

Loginė schema paprasta:

Nuo 2023 m. sausio 31 d. neregistruotų vardinių siuntėjų žinutės Singapūre pradėtos žymėti užrašu "Likely-SCAM" - funkciškai tai veikia kaip nepageidaujamų laiškų filtras, tik SMS kanale. IMDA duomenimis, per pirmuosius registro veikimo mėnesius (2021 m. IV ketv. - 2022 m. II ketv.) sukčiavimo per SMS atvejų sumažėjo 64 %.

Europa jau eina tuo pačiu keliu:

• Airija (ComReg) turi veikiantį nacionalinį SMS Sender ID registrą ir "Likely Scam" žymėjimą. Įdomu ir tai, ką jie viešai pripažįsta: žinutė su šia etikete gali būti ir teisėto verslo, kuris tiesiog dar neužsiregistravo.
• Ispanija (CNMC, Order TDF/149/2025) nuėjo dar toliau - griežtas blokavimas, ne tik žymėjimas, taikomas SMS, MMS ir RCS. Pradžios data buvo nukelta į 2026 m. rugsėjo 15 d., nes dešimčių tūkstančių pseudonimų validacija sukūrė realių kliūčių. Papildomai kuriamas viešas paieškos portalas, kuriame kiekvienas gali patikrinti, kam priklauso siuntėjo vardas.
• Jungtinė Karalystė veikia per pramonės iniciatyvą (MEF SMS SenderID Protection Registry).

Kur šiandien yra Lietuva

Svarbu pasakyti aiškiai: Lietuva nėra tuščioje vietoje. RRT jau anksčiau įpareigojo operatorius persiųsti tik tas vardines žinutes, kurios atitinka siuntėjų nurodytus identifikacinius požymius, blokuoti apgaulingus skambučius bei taikyti technines ir organizacines priemones vartotojams įspėti apie galimai apsimestines žinutes. Nuo 2023 m. liepos operatoriai privalo sudaryti galimybę vardinių SMS siuntėjams tokius požymius suderinti, o dėl to įmonės kreipiasi tiesiai į operatorius.

Būtent čia ir slypi skirtumas nuo Singapūro ar Airijos modelio:

Gynėjo atsakas

Quick wins (0-90 dienų)

Ilgalaikė strategija (6-24 mėn.)

1. Nacionalinis vardinių siuntėjų registras su teisėtos sąsajos su vardu įrodymo reikalavimu ir vienodu taikymu visuose tinkluose.
2. Viešas patikros portalas - kad ir žurnalistas, ir vyresnio amžiaus vartotojo anūkas galėtų per 10 sekundžių patikrinti, ar toks siuntėjas egzistuoja.
3. Fazinis įgyvendinimas: pirma žymėjimas, tik paskui blokavimas. Ispanijos pavyzdys rodo, kad per ankstyvas griežtas blokavimas kertą per teisėtą srautą - įskaitant vienkartinius prisijungimo kodus (OTP).
4. Kanalų aprėpties išplėtimas: SMS, RCS ir, kur techniškai įmanoma, žinučių programėlės. Kitaip tiesiog perkeliame problemą, o ne ją sprendžiame.
5. Nuolatinė švietimo kampanija. Registras be komunikacijos yra techninė priemonė be elgesio pokyčio.

Ką daryti vartotojui - 4 punktai

1. Sustokite. Skubos jausmas - pati ataka, ne aplinkybė.
2. Nespauskite nuorodos. Atsidarykite banko programėlę patys.
3. Jei žinutė pažymėta kaip įtartina - laikykite ją įtartina, net jei tekstas atrodo profesionaliai.
4. Nesate tikri? Paklauskite kito žmogaus. Sukčiavimas veikia izoliacijoje.

Jei norite praktinio sluoksnio komandai: smishing anatomija ir telefono apsauga, phishingo simuliacijos ir kibernetinės higienos mokymai. Organizacijoms - kibernetinio saugumo paslaugos.