Salasanat ja väärinkäytetty sähköpostiosoite: hakkeroitu vai väärennetty?

Moduuli 3: Sähköpostilaatikon hallinta · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat suojata postilaatikkosi hyvin, tunnistaa eron väärennetyn lähettäjän ja hakkeroidun postilaatikon välillä, ja toimia oikein kummassakin tilanteessa.

Keskeiset käsitteet: vahva salasana, salalause, salasananhallinta, uudelleenkäyttö, tietovuoto, brute force, IP-esto, kaksivaiheinen tunnistautuminen, sovelluskohtainen salasana, tietojenkalastelu (phishing), spoofing (väärennetty lähettäjä), backscatter, hakkeroitu postilaatikko, epäilyttävät säännöt ja uudelleenohjaukset, lähetysraja

Kaksi erilaista "osoitteestani lähtee roskapostia"-tilannetta

Lähes jokainen ylläpitäjä kuulee tämän joskus: "osoitteestani lähtee roskapostia". Syitä on kaksi hyvin erilaista, ja toimintatapa riippuu siitä, kumpi on kyseessä.

1. Väärennys (spoofing): kukaan ei päässyt postilaatikkoosi

Lähettäjäosoite on pelkkää tekstiä. Kuka tahansa voi lähettää viestin, jossa lukee Van: info@example.com, omalta palvelimeltaan, ilman että hän on koskaan päässyt sinun postilaatikkoosi. Tätä kutsutaan spoofingiksi.

Näin tunnistat sen:

• Saat yhtäkkiä kymmeniä tai satoja bounceja viesteistä, joita et ole koskaan lähettänyt, usein tuntemattomiin osoitteisiin. Tämä on backscatteria: vastaanottajat hylkäsivät väärennetyn viestin ja lähettivät virheilmoituksen osoitteeseen, joka viestissä mainittiin eli sinulle.
• Omassa Lähetetyt-kansiossasi ei ole mitään.
• Sähköpostipalvelimesi lokissa (monissa ohjauspaneeleissa toiminto nimeltä esimerkiksi "sähköpostin jäljitys") et näe näitä viestejä lähtevänä postina.
• Tällaisen palautuneen viestin otsikkoriveillä (oppitunti 1.5) näkyy Received-rivi palvelimelta, joka ei ole sinun.

Salasanan vaihtaminen ei auta tässä: kenelläkään ei ollut sitä. Mikä auttaa, on DMARC (oppitunti 4.4). Asetuksella p=quarantine tai p=reject kerrot vastaanottajille, että heidän pitää siirtää karanteeniin tai hylätä viestit, jotka eivät läpäise SPF:ää tai DKIM:ää. Tällöin väärennetty viesti perillemenon todennäköisyys pienenee, ja myös harvempi ihminen tulee huijatuksi nimissäsi. Bouncet loppuvat yleensä itsestään muutaman päivän kuluessa; voit poistaa ne.

2. Hakkeroitu postilaatikko: jollakulla on salasanasi

Jos jollakulla on salasanasi, hän kirjautuu palvelimellesi ja lähettää roskapostia aidosti postilaatikkosi kautta. Tämä on paljon vakavampaa: roskaposti lähtee luotetulta palvelimelta, pätevällä SPF:llä ja DKIM:llä, joten se menee usein perille. Lisäksi palvelin menettää hyvän maineensa (oppitunti 5.2).

Näin tunnistat sen:

• Palvelimen lokissa näet lähtevää postia, jota et ole lähettänyt, usein suurina määrinä.
• Postilaatikostasi lähetettyjen viestien määrä on paljon normaalia suurempi, tai saavutat yhtäkkiä lähetysrajan.
• Palveluntarjoajasi ilmoittaa asiasta tai estää lähettämisen.
• Postilaatikossasi on asioita, joita et tunnista: uudelleenohjaussääntö tuntemattomaan osoitteeseen, suodatin, joka siirtää tiettyjä viestejä (esimerkiksi pankiltasi tai palveluntarjoajaltasi) suoraan roskakoriin, eri vastausosoite (Reply-To) asetuksissasi, tai poissaoloviesti.

Nämä säännöt ovat tunnettu kikka. Hyökkääjä, joka ottaa postilaatikkosi haltuunsa, haluaa usein lukea viestejäsi pitkään huomaamatta, esimerkiksi lähettääkseen oikealla hetkellä väärennetyn laskun eri tilinumerolla. Uudelleenohjaussääntö hänen omaan osoitteeseensa jatkaa toimintaansa, vaikka vaihtaisit salasanasi.

Miten joku saa salasanasi haltuunsa?

• Tietojenkalastelu (phishing): väärennetty viesti, jossa on linkki jäljitellylle kirjautumissivulle ("postilaatikkosi on täynnä, kirjaudu tästä"). Yleisin syy.
• Uudelleenkäyttö: käytät samaa salasanaa myös verkkokaupassa tai keskustelupalstalla, ja se hakkeroidaan. Varastetut sähköpostiosoitteen ja salasanan yhdistelmät kokeillaan sen jälkeen automaattisesti sähköpostipalvelimilla. Palveluilla kuten Have I Been Pwned voit tarkistaa, esiintyykö osoitteesi tunnetussa tietovuodossa.
• Arvaaminen: lyhyet tai ilmeiset salasanat (Welkom2026!, yrityksen nimi) arvataan brute forcella: tuhansia yrityksiä peräkkäin.
• Haittaohjelma tietokoneellasi, joka siepaa salasanoja tai hakee niitä selaimestasi.

Postilaatikkosi suojaaminen kunnolla

1. Pitkä, uniikki salasana jokaiselle postilaatikolle. Pituus merkitsee enemmän kuin erikoiset merkit. Neljän tai viiden erillisen sanan salalause on vahva ja helppo muistaa. Älä käytä sitä missään muualla.
2. Salasananhallinta. Silloin sinun ei tarvitse muistaa kaikkia salasanoja, eikä uudelleenkäyttöä enää tarvita.
3. Kaksivaiheinen tunnistautuminen aina kun mahdollista. Yrityskäyttöön tarkoitetussa pilvisähköpostissa (Microsoft 365, Google Workspace) ja palveluntarjoajasi asiakaspaneelissa tämä on yleensä mahdollista. Tavallisessa IMAP-postilaatikossa tämä ei usein onnistu itse IMAP:lle ja SMTP:lle, koska sähköpostiohjelmat lähettävät vain salasanan. Jotkin palvelut käyttävät silloin sovelluskohtaisia salasanoja: erillinen, pitkä salasana jokaiselle ohjelmalle, jonka voit peruuttaa muuttamatta pääsalasanaasi.
4. Ole tarkka siitä, missä kirjaudut sisään. Syötä salasanasi vain omaan sähköpostiohjelmaasi tai webmailisi aitoon osoitteeseen. Palveluntarjoaja ei koskaan kysy salasanaasi sähköpostitse.
5. Tunne palvelimesi suojaukset. Moni palvelin estää IP-osoitteen tietyn määrän epäonnistuneiden kirjautumisyritysten jälkeen. Tämä suojaa brute forcelta, mutta tarkoittaa myös, että vanha laite väärällä salasanalla (vanha tabletti, tulostin joka skannaa sähköpostiin) voi aiheuttaa koko toimistoverkkosi eston.

Mitä teet, jos postilaatikko on hakkeroitu?

Tee tämä heti, tässä järjestyksessä:

1. Vaihda salasana palveluntarjoajasi paneelissa (ei viestissä olevan linkin kautta). Valitse uusi, uniikki salasana.
2. Tarkista uudelleenohjaussäännöt, suodattimet, aliakset ja poissaoloviesti, sekä webmailissa että paneelissa. Poista kaikki, mitä et ole itse luonut.
3. Katso, mitkä laitteet ja ohjelmat muodostavat yhteyden, ja syötä uusi salasana kaikkialle. Unohdettu laite vanhalla salasanalla voi aiheuttaa IP-osoitteesi eston.
4. Skannaa tietokoneesi haittaohjelmien varalta, varsinkin jos et klikannut phishing-linkkiä.
5. Vaihda salasana myös muualla, jos käytit sitä uudelleen, ja myös asiakaspaneelisi salasana, jos se oli sama.
6. Ilmoita asiasta palveluntarjoajallesi. He voivat nähdä, mitä on lähetetty, siivota lähetysjonon ja poistaa eston.
7. Varoita yhteystietojasi, jos heille on lähetetty viestejä, varsinkin väärennettyjen laskujen yhteydessä. Henkilötietoja sisältävä tietovuoto voi GDPR:n (tietosuoja-asetuksen) mukaan vaatia myös ilmoituksen tietosuojavalvontaviranomaiselle; selvitä tämä epäilyksen sattuessa.

Hakkeroitu postilaatikko tulee harvoin yksin. Tarkista myös, ettei verkkosivustosi lähetä roskapostia: suojaamaton yhteydenottolomake tai hakkeroitu lisäosa voi myös lähettää viestejä nimissäsi (oppitunti 7.3).

Käytännössä: näin se näyttää paneelissa

DirectAdminissa vaihdat postilaatikon salasanan kohdasta E-mail Accounts, kolmen pisteen kautta ja valitsemalla Change Password/Username; sarakkeesta Sent näet, kuinka paljon postia postilaatikko on tänään lähettänyt. Kohdasta E-mail Tracking näet, onko viesti todella lähetetty palvelimen kautta. Uudelleenohjaukset löytyvät kohdasta Forwarders, poissaoloviestit kohdasta Autoresponders, ja webmailissa asetuksista. Muissa paneeleissa on vastaavia toimintoja, usein nimillä kuten "viestijälki", "message trace" tai "postilaatikkosäännöt".

Yhteenveto

• Bouncet viesteistä, joita et lähettänyt, ilman mitään Lähetetyt-kansiossasi: väärennys. Siihen auttaa DMARC, ei uusi salasana.
• Aito lähtevä roskaposti palvelimen lokissa: hakkeroitu postilaatikko. Vaihda salasana, tarkista säännöt ja uudelleenohjaukset, päivitä laitteet, ilmoita palveluntarjoajalle.
• Hyökkääjät asettavat usein uudelleenohjaussäännön tai suodattimen, jotta he voivat jatkaa viestien lukemista.
• Käytä pitkää, uniikkia salasanaa jokaiselle postilaatikolle, salasananhallintaa ja aina kun mahdollista kaksivaiheista tunnistautumista tai sovelluskohtaisia salasanoja.

Tietovisa

Tehtävä

Tehtävä O3.4: Postilaatikkosi turvallisuustarkistus. Käy läpi oma postilaatikkosi. Onko salasana uniikki ja pitkä, ja onko se tallennettuna salasananhallintaan? Tarkista osoitteesi tietovuotopalvelusta (kuten Have I Been Pwned) ja merkitse muistiin, esiintyykö se jossain vuodossa. Tarkista webmailissa tai paneelissa kaikki uudelleenohjaussäännöt, suodattimet, vastausosoite ja poissaoloviesti. Merkitse muistiin, mitkä laitteet käyttävät postilaatikkoa. Vastaa lopuksi: jos saat huomenna bounceja viesteistä, joita et ole lähettänyt, miten selvität, onko kyseessä spoofing vai hakkerointi?

Lue lisää

Näiden artikkelien ohjeet koskevat WebOkén paneeleja; muilla palveluntarjoajilla toiminta on vastaavaa.

• DirectAdmin-ohje 9.6: Mitä tehdä, jos sähköpostiosoitettasi on väärinkäytetty
• DirectAdmin-ohje 7.2: Sähköpostiosoitteen salasanan vaihtaminen
• DirectAdmin-ohje 9.3: E-mail Tracking: mihin sähköpostini katosi?
• Miten vaihdan sähköpostiosoitteeni salasanan tai rajoitukset?
• Sähköpostilaatikko kaapattu tai roskopostia osoitteestasi: näin siivoat tilanteen
• NCSC, ohjeita salasanoista ja kaksivaiheisesta tunnistautumisesta (Alankomaat): https://www.ncsc.nl