Kuinka suojata rahaa ja henkilötietoja Internetissä

2024 Kirjoittaja: Malcolm Clapton | [email protected]. Viimeksi muokattu: 2023-12-17 03:55

Mitä paremmin olet perillä, sitä vaikeampaa on pettää sinua. Tässä on kaikki, mitä sinun tarvitsee tietää Microsoftin tietojenkalastelusta.

Löydä vielä lisää vinkkejä suojautumiseen digitaalisilta uhilta.

Mitä on tietojenkalastelu ja kuinka vaarallista se on

Tietojenkalastelu on yleinen verkkopetos, jonka tarkoituksena on murtaa ja kaapata tilejä, varastaa luottokorttitietoja tai muita luottamuksellisia tietoja.

Useimmiten kyberrikolliset käyttävät sähköpostia: he esimerkiksi lähettävät kirjeitä tunnetun yrityksen puolesta houkutellen käyttäjiä sen väärennetylle verkkosivustolle kannattavan kampanjan tekosyyllä. Uhri ei tunnista väärennöstä, syöttää käyttäjätunnuksen ja salasanan tililtään ja siten käyttäjä itse siirtää tiedot huijareille.

Kuka tahansa voi kärsiä. Automaattiset tietojenkalasteluviestit on useimmiten suunnattu laajalle yleisölle (sadoihin tuhansiin tai jopa miljooniin osoitteisiin), mutta hyökkäyksiä on myös tiettyyn kohteeseen. Useimmiten nämä tavoitteet ovat huippujohtajia tai muita työntekijöitä, joilla on etuoikeutettu pääsy yritystietoihin. Tätä henkilökohtaista tietojenkalastelustrategiaa kutsutaan valaanpyynniksi, joka tarkoittaa "valaiden pyydystämistä".

Tietojenkalasteluhyökkäysten seuraukset voivat olla tuhoisia. Huijarit voivat lukea henkilökohtaista kirjeenvaihtoasi, lähettää phishing-viestejä kontaktipiirillesi, nostaa rahaa pankkitileiltä ja yleensä toimia puolestasi laajassa merkityksessä. Jos harjoitat yritystä, riski on vielä suurempi. Tietojenkalastelijat voivat varastaa yrityksen salaisuuksia, tuhota arkaluonteisia tiedostoja tai vuotaa asiakkaidesi tietoja, mikä vahingoittaa yrityksen mainetta.

Anti-phishing Working Groupin Phishing Activity Trends -raportin mukaan kyberturvallisuusasiantuntijat löysivät pelkästään vuoden 2019 viimeisellä neljänneksellä yli 162 000 vilpillistä verkkosivustoa ja 132 000 sähköpostikampanjaa. Tänä aikana noin tuhat yritystä eri puolilta maailmaa on joutunut tietojenkalastelun uhreiksi. Nähtäväksi jää, kuinka monta hyökkäystä ei havaittu.

Tietojenkalastelun evoluutio ja tyypit

Termi "phishing" tulee englannin sanasta "fishing". Tämäntyyppinen huijaus muistuttaa todella kalastusta: hyökkääjä heittää syötin valeviestin tai linkin muodossa ja odottaa käyttäjien purevan.

Mutta englanniksi phishing kirjoitetaan hieman eri tavalla: phishing. Digraafia ph käytetään f-kirjaimen sijaan. Erään version mukaan tämä on viittaus sanaan phony ("pettaja", "huijari"). Toisaalta - varhaisten hakkereiden alakulttuuriin, joita kutsuttiin phreakereiksi ("phreakers").

Uskotaan, että termiä phishing käytettiin ensimmäisen kerran julkisesti 1990-luvun puolivälissä Usenet-uutisryhmissä. Tuolloin huijarit käynnistivät ensimmäiset phishing-hyökkäykset, jotka kohdistuivat amerikkalaisen Internet-palveluntarjoajan AOL:n asiakkaisiin. Hyökkääjät lähettivät viestejä, joissa pyydettiin vahvistamaan valtuustietonsa, esiintyen yrityksen työntekijöinä.

Internetin kehittymisen myötä uudentyyppisiä tietojenkalasteluhyökkäyksiä on ilmaantunut. Huijarit alkoivat väärentää kokonaisia verkkosivustoja ja hallita erilaisia kanavia ja viestintäpalveluita. Nykyään tällaiset tietojenkalastelutyypit voidaan erottaa.

• Sähköpostien tietojenkalastelu. Huijarit rekisteröivät tunnetun yrityksen tai valitun uhrin tutun osoitteen kaltaisen postiosoitteen ja lähettävät siitä kirjeitä. Samanaikaisesti väärennetty kirje voi olla lähettäjän nimen, suunnittelun ja sisällön perusteella lähes identtinen alkuperäisen kanssa. Vain sisällä on linkki väärennetylle sivustolle, tartunnan saaneita liitteitä tai suora pyyntö lähettää luottamuksellisia tietoja.
• SMS-phishing (smishing). Tämä järjestelmä on samanlainen kuin edellinen, mutta tekstiviestejä käytetään sähköpostin sijaan. Tilaaja saa tuntemattomasta (yleensä lyhyestä) numerosta viestin, jossa pyydetään luottamuksellisia tietoja tai jossa on linkki väärennetylle sivustolle. Hyökkääjä voi esimerkiksi esitellä itsensä pankiksi ja pyytää aiemmin saamaasi vahvistuskoodia. Itse asiassa huijarit tarvitsevat koodin murtautuakseen pankkitilillesi.
• Tietojenkalastelu sosiaalisessa mediassa. Pikaviestien ja sosiaalisen median yleistyessä tietojenkalasteluhyökkäykset ovat tulvanneet myös näihin kanaviin. Hyökkääjät voivat ottaa sinuun yhteyttä tunnettujen organisaatioiden tai ystäviesi väärien tai vaarantuneiden tilien kautta. Muuten hyökkäyksen periaate ei eroa aikaisemmista.
• Puhelimen tietojenkalastelu (vishing). Huijarit eivät rajoitu tekstiviesteihin ja voivat soittaa sinulle. Useimmiten tähän tarkoitukseen käytetään Internet-puhelinta (VoIP). Soittaja voi esiintyä esimerkiksi maksujärjestelmäsi tukipalvelun työntekijänä ja pyytää tietoja päästäkseen lompakkoon - oletettavasti vahvistusta varten.
• Etsi tietojenkalastelu. Voit kohdata tietojenkalastelua suoraan hakutuloksissa. Riittää, kun napsautat väärennetylle sivustolle johtavaa linkkiä ja jätät siihen henkilökohtaisia tietoja.
• Ponnahdusikkunoiden tietojenkalastelu. Hyökkääjät käyttävät usein ponnahdusikkunoita. Vieraillessasi epäilyttävässä resurssissa saatat nähdä bannerin, joka lupaa etua - esimerkiksi alennuksia tai ilmaisia tuotteita - tunnetun yrityksen puolesta. Napsauttamalla tätä linkkiä sinut ohjataan verkkorikollisten hallitsemalle sivustolle.
• Maanviljely. Ei liity suoraan tietojenkalasteluun, mutta maanviljely on myös hyvin yleinen hyökkäys. Tässä tapauksessa hyökkääjä huijaa DNS-tiedot ohjaamalla käyttäjän automaattisesti alkuperäisten sivustojen sijaan väärennetyille sivustoille. Uhri ei näe epäilyttäviä viestejä ja bannereita, mikä lisää hyökkäyksen tehokkuutta.

Tietojenkalastelu kehittyy edelleen. Microsoft puhui uusista tekniikoista, jotka sen Microsoft 365 Advanced Threat Protection -phishing-torjuntapalvelu löysi vuonna 2019. Huijarit ovat esimerkiksi oppineet naamioimaan haitalliset materiaalit paremmin hakutuloksissa: lailliset linkit näytetään ylhäällä, jotka johtavat käyttäjän tietojenkalastelusivustoille useiden uudelleenohjausten kautta.

Lisäksi kyberrikolliset alkoivat automaattisesti luoda phishing-linkkejä ja tarkkoja kopioita sähköposteista laadullisesti uudella tasolla, mikä mahdollistaa käyttäjien huijaamisen ja turvatoimien ohituksen.

Microsoft puolestaan on oppinut tunnistamaan ja estämään uusia uhkia. Yritys on käyttänyt kaiken tietoturvatietonsa luodessaan Microsoft 365 -paketin. Se tarjoaa yrityksellesi tarvitsemasi ratkaisut ja varmistaa samalla, että tietosi on suojattu tehokkaasti, myös tietojenkalastelulta. Microsoft 365 Advanced Threat Protection estää haitalliset liitteet ja mahdollisesti haitalliset linkit sähköposteissa, havaitsee kiristysohjelmat ja muut uhat.

Kuinka suojautua tietojenkalastelulta

Paranna teknistä osaamistasi. Kuten sanonta kuuluu, se, jota varoitetaan, on aseistettu. Opiskele tietoturvaa itse tai kysy neuvoa asiantuntijoilta. Jo pelkkä digitaalisen hygienian perusteiden vankka tuntemus voi säästää monilta vaivoilta.

Ole varovainen. Älä seuraa linkkejä tai avaa liitteitä tuntemattomien keskustelukumppaneiden kirjeissä. Tarkista huolellisesti lähettäjien yhteystiedot ja vierailemiesi sivustojen osoitteet. Älä vastaa henkilötietopyyntöihin, vaikka viesti vaikuttaisi uskottavalta. Jos yrityksen edustaja kysyy sinulta tietoja, on parempi soittaa heidän puhelinkeskukseensa ja ilmoittaa tilanteesta. Älä napsauta ponnahdusikkunoita.

Käytä salasanoja viisaasti. Käytä jokaiselle tilille ainutlaatuista ja vahvaa salasanaa. Tilaa palveluita, jotka varoittavat käyttäjiä, jos heidän tiliensä salasanat ilmestyvät Webissä, ja vaihda heti pääsykoodi, jos se osoittautuu vaarantuneeksi.

Määritä monivaiheinen todennus. Tämä toiminto lisäksi suojaa tiliä esimerkiksi käyttämällä kertakäyttöisiä salasanoja. Tällöin joka kerta kun kirjaudut tilillesi uudelta laitteelta, sinun tulee syöttää salasanan lisäksi neli- tai kuusimerkkinen koodi, joka lähetetään sinulle tekstiviestillä tai luotu erityissovelluksessa. Se ei ehkä vaikuta kovin kätevältä, mutta tämä lähestymistapa suojaa sinua 99 prosentilta tavallisilta hyökkäyksiltä. Loppujen lopuksi, jos huijarit varastavat salasanan, he eivät silti pääse sisään ilman vahvistuskoodia.

Käytä salasanattomia kirjautumispalveluita. Näissä palveluissa kannattaa mahdollisuuksien mukaan luopua kokonaan salasanojen käytöstä, korvata ne laitteiston suojausavaimilla tai älypuhelimen sovelluksen kautta todennuksen avulla.

Käytä virustorjuntaohjelmistoa. Ajantasainen virustorjunta auttaa osittain suojaamaan tietokonettasi haittaohjelmilta, jotka uudelleenohjaavat tietojenkalastelusivustoille tai varastavat käyttäjätunnuksia ja salasanoja. Muista kuitenkin, että tärkein suojasi on edelleen digitaalisten hygieniasääntöjen ja kyberturvallisuussuositusten noudattaminen.

Jos ajat yritystä

Seuraavat vinkit ovat hyödyllisiä myös yritysten omistajille ja yritysjohtajille.

Kouluta työntekijöitä. Selitä alaisille, mitä viestejä tulee välttää ja mitä tietoja ei saa lähettää sähköpostin ja muiden viestintäkanavien kautta. Estä työntekijöitä käyttämästä yrityksen postia henkilökohtaisiin tarkoituksiin. Opeta heitä käyttämään salasanoja. Myös viestien säilytyskäytäntöä kannattaa harkita: voit esimerkiksi turvallisuussyistä poistaa tiettyä ajanjaksoa vanhemmat viestit.

Harjoittele tietojenkalasteluhyökkäyksiä. Jos haluat testata työntekijöidesi reaktiota tietojenkalasteluun, yritä teeskennellä hyökkäystä. Rekisteröi esimerkiksi omasi kaltainen postiosoite ja lähetä siitä kirjeitä alaistensa pyytäen heitä toimittamaan sinulle luottamuksellisia tietoja.

Valitse luotettava postipalvelu. Ilmaiset sähköpostipalveluntarjoajat ovat liian haavoittuvia yritysviestinnälle. Yritysten tulisi valita vain turvalliset yrityspalvelut. Esimerkiksi Microsoft 365 -pakettiin kuuluvan Microsoft Exchange -sähköpostipalvelun käyttäjillä on kattava suojaus tietojenkalastelua ja muita uhkia vastaan. Huijaajien estämiseksi Microsoft analysoi satoja miljardeja sähköposteja kuukausittain.

Palkkaa kyberturvallisuuden asiantuntija. Jos budjettisi sallii, etsi pätevä ammattilainen, joka tarjoaa jatkuvan suojan tietojenkalastelua ja muita kyberuhkia vastaan.

Mitä tehdä, jos joudut tietojenkalastelun uhriksi

Jos on syytä epäillä, että tietosi ovat joutuneet vääriin käsiin, toimi välittömästi. Tarkista laitteesi virusten varalta ja vaihda tilien salasanat. Ilmoita pankin henkilökunnalle, että maksutietosi on saatettu varastettu. Ilmoita tarvittaessa asiakkaille mahdollisesta vuodosta.

Jotta tällaiset tilanteet eivät toistuisi, valitse luotettavat ja nykyaikaiset yhteistyöpalvelut. Sisäänrakennetulla suojamekanismilla varustetut tuotteet sopivat parhaiten: ne toimivat mahdollisimman kätevästi, eikä sinun tarvitse vaarantaa digitaalista turvallisuutta.

Esimerkiksi Microsoft 365 sisältää joukon älykkäitä suojausominaisuuksia, mukaan lukien tilien ja kirjautumisten suojaaminen kompromisseilta sisäänrakennetulla riskinarviointimallilla, salasanaton tai monitekijätodennus, joka ei vaadi lisälisenssejä.

Lisäksi palvelu tarjoaa dynaamista kulunvalvontaa riskiarvioinnilla ja useat olosuhteet huomioiden. Lisäksi Microsoft 365 sisältää sisäänrakennetun automaation ja data-analytiikan, ja sen avulla voit myös hallita laitteita ja suojata tietoja vuodilta.