Klikkasit: mitä nyt?

Moduuli 3: Tietojenkalastelun tunnistaminen · Lukuaika: 12 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen tiedät, mitä teet ensimmäisten tuntien aikana klikkauksen, täytetyn salasanan, täytettyjen pankkitietojen tai avatun liitteen jälkeen, oikeassa järjestyksessä, ja miten ilmoitat huijausviestistä ja lähetät sen eteenpäin.
Keskeiset käsitteet: rajoittaminen, salasanan vaihtaminen puhtaalta laitteelta, istuntojen mitätöinti, pankille soittaminen, ilmoittaminen, huijausviestin edelleenlähetys (esimerkiksi Kyberturvallisuuskeskukselle ja väärinkäytetylle brändille)

Se tapahtuu kaikille

Jokainen klikkaa joskus väärää linkkiä. Myös tämän kurssin käyneet, myös IT-ammattilaiset. Hyvä huijausviesti saapuu väärään aikaan, oikealla tarinalla. Häpeäminen ei auta, nopea toiminta auttaa. Mitä aikaisemmin puutut asiaan, sitä vähemmän hyökkääjä ehtii tehdä saamillaan tiedoilla.

Siksi ensimmäinen askel jokaisessa yrityksessä on: ilmoita heti kollegalle, joka hoitaa IT:tä, tai IT-yrityksellesi. Sopikaa, että klikkauksesta ilmoittava saa kiitoksen, ei nuhteita (lisää tästä oppitunnilla 9.2). Rangaistusta pelkäävä ei kerro mitään, ja silloin hyökkääjällä on päiviä aikaa.

Selvitä ensin: mitä täsmälleen tapahtui?

Se, mitä sinun pitää tehdä, riippuu siitä kuinka pitkälle etenit. Selvitä se ensin, lyhyesti ja rehellisesti.

Pelkkä klikkaaminen ei yleensä ole vakavaa: nykyaikaiset selaimet on hyvin suojattu. Mutta klikkaus voi myös käynnistää latauksen. Jos olet epävarma, käsittele tilanne vakavampana.

Vaihe vaiheelta ensimmäisten tuntien aikana

1. Ilmoita yrityksen sisällä. Heti, myös epäilyksen sattuessa. Kerro mitä näit, milloin, ja mitä täytit tai avasit. Säilytä viesti: älä poista sitä, tarvitset sitä ilmoitusta varten.

2. Rajoita vahinkoa. Avasitko liitteen tai annoitko jollekin pääsyn? Irrota laite verkosta: wifi pois päältä, verkkokaapeli irti. Älä sammuta sitä heti, sillä muistissa oleva tieto voi auttaa tutkinnassa (oppitunti 8.3). Älä jatka työskentelyä kyseisellä laitteella.

3. Soita pankille, jos rahaa on vaarassa. Jos täytit pankkitietoja tai hyväksyit maksun, soita välittömästi pankillesi, kortissasi olevaan numeroon tai virallisen sivuston kautta löytyvään numeroon. Mitä nopeammin toimit, sitä suurempi mahdollisuus, että maksu voidaan estää tai periä takaisin. Myös laskutuspetoksen yhteydessä väärälle IBAN-tilille tehty maksu ilmoitetaan heti pankille.

4. Vaihda salasana puhtaalta laitteelta. Vaihda sen tilin salasana, jonka tietoja täytit. Tee se toisella laitteella kuin sillä, jolla avasit liitteen, sillä se laite saattaa olla haittaohjelman tarkkailussa. Kirjoita osoite itse tai käytä kirjanmerkkiä, älä viestin linkkiä. Jos käytit samaa salasanaa myös muualla, vaihda se siellä myös (oppitunti 2.1).

5. Mitätöi istunnot ja tarkista tili. Uusi salasana ei aina automaattisesti poista jo sisällä olevaa hyökkääjää. Kirjaudu siksi ulos kaikista muista istunnoista (oppitunti 2.5) ja tarkista, mitä hyökkääjä on saattanut muuttaa:

• kaksivaiheinen tunnistautuminen: onko siellä tuntematon sovellus tai tuntematon puhelinnumero?
• palautustiedot: onko palautukseen käytettävä sähköpostiosoite tai puhelinnumero muuttunut?
• sähköpostilaatikkosi edelleenlähetyssäännöt ja suodattimet: hyökkääjä laittaa mielellään säännön, joka lähettää kaiken postin, tai pelkästään viestit joissa lukee "lasku", hänen omaan osoitteeseensa tai poistaa ne heti. Näin hän lukee viestejäsi, vaikka olisit jo vaihtanut salasanan;
• lähetetyt viestit: onko lähetetty viestejä, joita et itse kirjoittanut? Jos on, varoita yhteystietojasi.

6. Ilmoita ja lähetä eteenpäin. Katso alta.

7. Selvitä, onko kyseessä tietoturvaloukkaus. Pääsikö hyökkääjä käsiksi sähköpostilaatikkoon, asiakasrekisteriin tai muuhun ympäristöön, jossa on henkilötietoja? Silloin kyseessä voi olla tietoturvaloukkaus. Tietosuoja-asetuksen (GDPR) mukaan tietoturvaloukkaus pitää ilmoittaa ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa havaitsemisesta tietosuojavaltuutetun toimistolle, ellei se todennäköisesti aiheuta riskiä asianosaisille. Kirjaa tapaus joka tapauksessa tietoturvaloukkausrekisteriisi. Opit arvioimaan tätä oppitunnilla 8.2.

Huijausviestin ilmoittaminen ja edelleenlähetys

Ilmoittaminen kannattaa, vaikka mitään ei olisikaan tapahtunut. Näin valesivusto saadaan nopeammin pois käytöstä ja muita voidaan varoittaa.

Alankomaiden Fraudehelpdeskille. Alankomaiden Fraudehelpdesk vastaanottaa epäilyttäviä linkkejä tai liitteitä sisältäviä huijausviestejä osoitteessa valse-email@fraudehelpdesk.nl. Alankomaiden Fraudehelpdeskin mukaan:

• lähetä viesti mieluiten liitteenä. Tavallisessa edelleenlähetyksessä tekniset tiedot (otsikkotiedot, joista kerrottiin oppitunnilla 3.3) katoavat. Jos se ei onnistu, esimerkiksi puhelimella, lähetä se silloin tavallisena edelleenlähetyksenä;
• jos viesti näyttää tulevan pankilta tai muulta tunnetulta yritykseltä, lisää kyseisen yrityksen osoite kopioksi (cc). Alankomaiden Fraudehelpdeskillä on sivustollaan luettelo tällaisista osoitteista;
• tekstiviestejä, WhatsApp-viestejä ja muita viestejä ei lähetetä tuohon osoitteeseen, vaan ne ilmoitetaan fraudehelpdesk.nl-sivuston ilmoituslomakkeella. Samaa lomaketta käytetään myös epäilyttävään viestiin, jossa ei ole linkkejä tai liitteitä, sekä puhelimitse tapahtuvaan helpdesk-huijaukseen.

Monissa sähköpostiohjelmissa liitteenä edelleenlähettäminen löytyy nimellä "Lähetä liitteenä edelleen" tai jotain vastaavaa.

Väärinkäytetylle brändille. Jos pankin, kuljetusyrityksen tai toimittajan nimeä käytetään väärin, ilmoita siitä kyseiselle organisaatiolle kanavan kautta, jonka etsit itse heidän aidolta sivustoltaan, ei viestin kautta. Monilla organisaatioilla on oma ilmoitusosoite huijausviesteille. Jos kyse on omasta webhotelliyrityksestäsi tai sähköpostitarjoajastasi, lähetä se sinnekin; WebOkéssa se onnistuu tiketillä, jossa viesti on liitteenä (Tietopankki 581).

Rikosilmoitus poliisille. Jos olet menettänyt rahaa, tai tapahtui väärinkäyttöä tai sen yritys, tee rikosilmoitus poliisille. Alankomaiden Fraudehelpdesk neuvoo ja kerää ilmoituksia, mutta ei itse tutki rikoksia. Sen voi tehdä vain poliisi.

Sen jälkeen voit poistaa viestin ja estää lähettäjän.

Tarkistus viikon kuluttua

Hyökkäys ei aina ole ohi päivässä. Aseta muistutus viikon päähän:

• Onko uusia kirjautumisilmoituksia tai tuntemattomia istuntoja?
• Näkyykö pankin tiliotteilla tuntemattomia maksuja?
• Onko sähköpostilaatikossa uusia edelleenlähetyssääntöjä tai suodattimia?
• Valittavatko asiakkaat tai toimittajat oudosta viestistä, joka näyttää tulevan sinulta? Silloin sähköpostilaatikkoasi saatetaan edelleen käyttää roskapostin lähettämiseen (Tietopankki 25).
• Mitä voimme oppia? Oliko viesti helposti tunnistettavissa, ja mikä olisi saanut sen herättämään epäilyksen aikaisemmin?

Käytännössä: näin se näyttää

Maanantai 9:12. Liisa, Leipomo Examplen työntekijä, täyttää sähköpostinsa salasanan väärennetyllä "kirjanpito-ohjelman" kirjautumissivulla. Kello 9:15 hän huomaa, että osoite oli boekhoudpakket.inlog-check.example. Hän ilmoittaa asiasta Karille, joka hoitaa IT-asioita. Kello 9:20 Kari vaihtaa omalta kannettavaltaan Liisan sähköpostin salasanan ja kirjaa kaikki istunnot ulos. Webmailista hän löytää uuden säännön: kaikki viestit, joissa lukee "lasku", lähetetään tuntemattomaan osoitteeseen ja poistetaan sen jälkeen. Hän poistaa säännön, ottaa kaksivaiheisen tunnistautumisen käyttöön ja tarkistaa lähetetyt viestit: mitään ei ole lähetetty. Liisa lähettää huijausviestin liitteenä Alankomaiden Fraudehelpdeskille. Kari kirjaa tapauksen häiriölokiin ja tarkistaa, onko hyökkääjä voinut nähdä henkilötietoja. Viikon kuluttua hän tarkistaa säännöt ja istunnot uudelleen.

Se, missä nämä säännöt ja istunnot sijaitsevat, vaihtelee ympäristön mukaan. WebOkéssa osoitteen edelleenlähetykset löytyvät Oma WebOkésta ja DirectAdminista (Forwarders), ja sääntö voi olla myös webmailissa tai itse sähköpostiohjelmassa. Muilla palveluntarjoajilla toiminta on vastaavaa: etsi edelleenlähetystä, forwardereita, sääntöjä tai suodattimia.

Yhteenveto

• Jokainen klikkaa joskus väärin. Ilmoita heti, ilman häpeää, ja sopikaa, että ilmoittamisesta palkitaan.
• Selvitä ensin mitä tapahtui: pelkkä klikkaus, salasana, koodi, pankkitiedot, liite vai etäkäyttöoikeus.
• Järjestys: ilmoita, rajoita (irrota verkosta), soita pankille jos rahaa on vaarassa, vaihda salasana puhtaalta laitteelta, mitätöi istunnot ja tarkista tili (erityisesti edelleenlähetyssäännöt), ilmoita ja lähetä eteenpäin, arvioi tietoturvaloukkaus.
• Lähetä huijausviesti liitteenä osoitteeseen valse-email@fraudehelpdesk.nl, väärinkäytetty brändi kopiona (cc); tekstiviestit ja chat-viestit ilmoituslomakkeella. Vahingon sattuessa: rikosilmoitus.
• Tarkista uudelleen viikon kuluttua.

Tietovisa (quiz)

Tehtävä

Tehtävä A3.5: Vaiheittainen toimintaohje klikkauksen jälkeen. Saat tilanteen ja pinon kortteja, joissa on toimenpiteitä. Valitse tarvittavat toimenpiteet ja aseta ne oikeaan järjestykseen. Ohjelma tarkistaa vastauksen ja selittää, miksi jokin toimenpide tulee aikaisemmin tai myöhemmin.

Lisälukemista

WebOkén tietopankkiartikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• Onko tämä viesti todella WebOkélta? Tunnista tietojenkalasteluviestit ja käytä tarjouskoodi
• Sähköpostilaatikko kaapattu tai roskopostia osoitteestasi: näin siivoat tilanteen
• WebOké-käyttöopas 3.6: Aktiivisten istuntojen tarkastelu ja uloskirjautuminen
• DirectAdmin-ohje 3.7: Turvalliset salasanat ja mitä teet, jos salasana on vuotanut
• Alankomaiden Fraudehelpdesk, huijausviestin ilmoittaminen: https://www.fraudehelpdesk.nl/valse-e-mail-melden/
• Alankomaiden Fraudehelpdesk, ilmoituslomake tekstiviesteille, WhatsAppille ja muille huijauksille: https://www.fraudehelpdesk.nl/fraude-melden/
• Alankomaiden NCSC, tietojenkalastelu: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing