Sosiaalinen insinöörihyökkäys: tyypit ja tunnistaminen

Mitä sosiaalinen manipulointi tarkoittaa?

Hyökkääjä rakentaa uskottavan tilanteen, jossa haitallinen toiminta näyttää tarpeelliselta tai hyödylliseltä. Hän voi esiintyä pankin edustajana, teknisenä tukena, esihenkilönä tai tuttavana. Tavoitteena voi olla salasana, kirjautumisen hyväksyntä, laskun maksaminen tai etäyhteysohjelman asentaminen.

Kyberturvallisuuskeskus kuvaa huijauspuheluja sosiaalisen manipuloinnin esimerkkinä: soittaja voi väittää tilillä olevan epäilyttävää toimintaa ja painostaa vastaanottajaa toimimaan heti. Huijauksen ydin ei ole viestintäväline vaan se, että ihminen saadaan tekemään hyökkääjän haluama teko.

Tietojenkalastelu on yksi sosiaalisen manipuloinnin muoto, ei sen synonyymi. Kaikki tällaiset hyökkäykset eivät tavoittele tunnuksia: osa pyrkii suoraan rahansiirtoon tai laitteen hallintaan.

Tyypit ja käytännön esimerkit

Nimitykset kuvaavat eri asioita. Osa kertoo yhteydenottokanavan, osa huijarin käyttämän tarinan tai tavoitteen. Sama hyökkäys voi siksi kuulua useaan ryhmään.

• Tietojenkalastelu eli phishing: viesti ohjaa aidolta näyttävälle kirjautumissivulle, joka kerää tunnukset hyökkääjälle.
• Tekstiviestikalastelu eli smishing: tekstiviestissä pyydetään esimerkiksi toimitusmaksua tai tietojen vahvistamista linkin kautta.
• Puhelinkalastelu eli vishing: soittaja tavoittelee kirjautumis- tai pankkitietoja luotettavan tahon nimissä.
• Toisena henkilönä esiintyminen ja peitetarinat: hyökkääjä rakentaa selityksen, jonka perusteella tietojen antaminen tai muu poikkeava toiminta näyttää perustellulta.
• Toimitusjohtaja- ja laskuhuijaukset: työntekijää pyydetään maksamaan huijauslasku tai siirtämään rahaa johtajan tai yhteistyökumppanin nimissä.
• Etäyhteyshuijaukset: vastaanottaja houkutellaan asentamaan ohjelma, jolla hyökkääjä pääsee laitteelle.
• Monivaiheiseen tunnistautumiseen kohdistuvat huijaukset: hyökkääjä pyytää tunnistautumiskoodia tai kirjautumispyynnön hyväksymistä.

Kyberturvallisuuskeskuksen kuvaamissa tapauksissa huijarit ovat käyttäneet organisaatioiden logoja, julkisia tietoja ja kaapattuja sähköpostitilejä. Viesti voi siis tulla oikeasta osoitteesta, vaikka sen lähettäminen ei ole tilin omistajan teko.

Havainnollistava esimerkki: kiireellinen lasku

Työntekijä saa esihenkilön nimissä viestin: lasku pitää maksaa heti, eikä tavallista hyväksyntää ehditä odottaa. Viestissä käytetään yrityksen oikeita tietoja, joten pyyntö vaikuttaa tutulta. Tämä on havainnollistava esimerkki, ei kuvaus yksittäisestä todetusta tapauksesta.

Ratkaiseva varoitusmerkki on pyyntö ohittaa normaali maksuprosessi. Turvallinen ratkaisu on varmistaa asia esihenkilöltä ennestään tunnetulla yhteystiedolla. Älä varmista aitoutta vastaamalla epäilyttävään viestiin.

Tunnista huijaus pyynnöstä, älä pelkästä ulkoasusta

Hyvä kieli, tuttu logo tai lähettäjän nimi eivät todista yhteydenoton aitoutta. Hyökkääjä voi käyttää julkisia tietoja juuri sen verran, että tarina tuntuu henkilökohtaiselta ja uskottavalta. Arvioi ennen kaikkea, mitä sinua pyydetään tekemään.

Miten hyökkäyksiltä voi suojautua?

1. Pysähdy painostuksen kohdalla. Kiire, uhkaus ja pyyntö poiketa tavallisesta toimintatavasta ovat syitä tarkistaa asia.
2. Siirry palveluun omaa reittiäsi. Älä käytä epäilyttävää linkkiä kirjautumiseen tai maksamiseen.
3. Varmista lähettäjä eri kanavasta. Käytä itse etsittyä virallista numeroa tai ennestään tunnettua yhteystietoa.
4. Pidä tunnukset ja tunnistautumiskoodit omana tietonasi. Älä hyväksy kirjautumista, jota et itse aloittanut.
5. Ilmoita epäilyttävästä pyynnöstä. Työpaikalla käytä sovittua tietoturvan ilmoituskanavaa ja noudata organisaation ohjeita.

Jos viesti väittää pankkisovelluksen vaativan päivitystä, tarkista asia sovelluskaupasta omaa reittiäsi. Android-käyttäjän avuksi on OP-mobiilin päivittäminen Google Playssa. Ohjelmien latauspaikan arviointia käsitellään myös NVIDIA Profile Inspectorin lataus- ja turvallisuusohjeessa; tuntemattoman soittajan asennuspyyntö ei itsessään osoita ohjelman tarpeellisuutta.

Yleinen virhe: monivaiheiseen tunnistautumiseen luotetaan ehdoitta

Monivaiheinen tunnistautuminen suojaa tiliä, mutta ei tee kaikista kirjautumispyynnöistä turvallisia. Rikollinen voi houkutella käyttäjän antamaan koodin tai hyväksymään kirjautumisen. Kyberturvallisuuskeskuksen ohjeen mukaan käyttäjän on tarkistettava, mihin koodia syöttää ja mitä kirjautumista hyväksyy.

Organisaatiossa torjunta ei saa jäädä yksittäisen työntekijän harkinnan varaan. Selkeät hyväksyntäkäytännöt, harjoittelu ja helppo ilmoittaminen tukevat suojausta. Laajempaa kokonaisuutta avaa tietoturvan toimintamallien ja viitekehysten vertailu.

Mitä tehdä, jos toimit jo huijarin ohjeiden mukaan?

• Sait viestin mutta et toiminut: älä jatka yhteydenottoa. Ilmoita epäilystä työpaikan ohjeiden mukaan tai asianomaisen palvelun ylläpidolle.
• Annoit salasanan tai hyväksyit vieraan kirjautumisen: vaihda tilin salasana virallisen palvelun kautta. Jos käytit samaa salasanaa muualla, vaihda se myös niissä palveluissa. Työtilin tapauksessa ilmoita heti organisaation IT-tuelle.
• Annoit pankki- tai korttitietoja tai siirsit rahaa: ota välittömästi yhteys pankkiisi sen virallisten yhteystietojen kautta ja ilmoita tapahtuneesta poliisille.
• Asensit ohjelman huijarin pyynnöstä: lopeta asiointi huijarin kanssa ja pyydä luotettavaa IT-tukea arvioimaan laitteen turvallisuus. Kerro pankille, jos laitteella käsiteltiin pankkiasioita.
• Luovutit henkilötietoja: selvitä, mitä tietoja paljastui. Suomi.fi:n tietovuoto-opas auttaa arvioimaan tietojen mahdollisen väärinkäytön vaikutuksia.

Huijauksesta tai rikoksesta kannattaa ilmoittaa poliisille. Sosiaalisen median tilin väärinkäytöstä ilmoita myös palvelun ylläpidolle. Kyberturvallisuuskeskuksen huijausohjeet tukevat tilanteen selvittämistä.