Hakkeroinnin tai kiristyshaittaohjelman jälkeen: palautuminen ilman uutta tartuntaa

Moduuli 8: Kun jokin menee pieleen · Lukuaika: 11 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat käydä läpi palautumisvaiheen hakkeroinnin tai kiristyshaittaohjelman jälkeen: rajaamisen, tapahtuneen selvittämisen, puhtaan palautuksen, rikosilmoituksen tekemisen, viestinnän ja siitä oppimisen.

Keskeiset käsitteet: rajaaminen, eristäminen, alkuperäinen pääsy, pysyvyys (persistenssi), rikostekninen tutkinta, puhdas uudelleenasennus, palautusjärjestys, rikosilmoitus, No More Ransom, lunnaat, kybervakuutus, arviointi

Suurin virhe: liian nopea "palauta kaikki"

Verkkosivuston rakentaja saa tiistaina ilmoituksen: asiakkaan WordPress-sivusto ohjaa kävijät valevierkkokauppaan. Hän palauttaa viime viikon varmuuskopion, sivusto toimii taas, asia selvä. Torstaina sama toistuu. Hyökkääjä oli päässyt sisään vanhentuneen lisäosan kautta ja jättänyt jälkeensä ylimääräisen ylläpitäjätunnuksen sekä piilotetun tiedoston. Viime viikon varmuuskopio sisälsi ne jo. Palauttaminen tietämättä, miten hyökkääjä pääsi sisään, palauttaa myös oven auki.

Sama tapahtuu kiristyshaittaohjelman kanssa toimistoverkossa. Rikolliset ovat usein verkossa jo päiviä tai viikkoja ennen salausta. Sinä aikana he luovat lisätunnuksia, asentavat etäkäyttöohjelmistoja ja etsivät varmuuskopiot. Jos palautat vain salatut tiedostot, hyökkääjä jää sisään.

Palautuminen etenee siksi viidessä vaiheessa, tässä järjestyksessä.

Vaihe 1: rajaaminen

Rajaaminen tarkoittaa sen varmistamista, ettei tilanne pahene. Ensimmäiset minuutit löytyvät toimintakortistasi (oppitunti 8.1).

• Eristä tartunnan saaneet laitteet: verkkokaapeli irti, wifi ja mobiiliverkko pois päältä tai lentokonetila päälle. Alankomaiden NCSC suosittelee, ettei tartunnan saaneita järjestelmiä sammuteta vaan irrotetaan verkosta; lepotila on sallittu. Näin jäljet säilyvät työmuistissa ja leviäminen pysähtyy.
• Irrota ulkoiset levyt ja varmuuskopiointivälineet äläkä liitä niitä laitteeseen, joka saattaa olla saastunut.
• Jos et voi eristää järjestelmää, katkaise yhteys verkkolevyyn. Jos koko verkko on vaikuttunut, sulje se internetistä (esimerkiksi katkaisemalla internetyhteys tai sulkemalla palomuuri).
• Vaihda salasanat puhtaalta laitteelta, aloittaen tärkeimmistä: ylläpitäjätunnukset, sähköposti, salasanojen hallintaohjelma, pankki. Kirjaudu kaikkialla kaikista istunnoista ulos. Älä tee tätä tietokoneelta, jossa saattaa olla infostealer-haittaohjelma tai näppäinloggeri (oppitunti 1.4), sillä silloin uusi salasana päätyy suoraan hyökkääjälle.
• Säilytä todisteet: kuva lunnasviestistä, sähköpostit, maksupyynnöt, kryptovaluuttaosoitteet, ajankohdat. Älä heitä mitään pois.

Hakkeroidun verkkosivuston kohdalla rajaaminen tarkoittaa: sivuston vieminen tilapäisesti pois käytöstä tai huoltotilaan, kaikkien salasanojen (hallinta, FTP, tietokanta, webhotelli) vaihtaminen ja yhteydenotto webhotellisi tarjoajaan.

Vaihe 2: selvitä, mitä tapahtui

Haluat tietää kolme asiaa:

1. Miten he pääsivät sisään? Alkuperäinen pääsy: tietojenkalasteluviesti, varastettu salasana ilman kaksivaiheista tunnistautumista, vanhentunut VPN-palvelin tai lisäosa, auki oleva etähallintayhteys.
2. Mitä he jättivät jälkeensä? Pysyvyys (persistenssi): lisätunnuksia, ajastettuja tehtäviä, etähallintaohjelmistoja, sähköpostien edelleenlähetyssääntöjä, ylimääräisiä tiedostoja verkkopalvelimella.
3. Mitä he veivät mukanaan? Nykyaikaisessa kiristyshaittaohjelmassa rikolliset usein kopioivat tietoja ensin ja uhkaavat julkaista ne (kaksoiskiristys, oppitunti 1.3). Silloin kyseessä on myös tietoturvaloukkaus (oppitunti 8.2).

Pienelle yritykselle tämä on harvoin tehtävissä itse. Ota yhteyttä IT-toimittajaasi tai erikoistuneeseen häiriötilanteiden hallinnan yritykseen. Monilla kybervakuutuksilla on kiinteä numero tällaista tiimiä varten. Kysy ulkopuoliselta yritykseltä, millainen kokemus sillä on juuri tämän tyyppisistä tapauksista, ja sovi etukäteen, mitä tutkinta kattaa.

Verkkosivuston kohdalla auttavat pääsy- ja virhelokit, tiedostojen haittaohjelmaskannaus sekä vertailu CMS:n ja lisäosien puhtaaseen kopioon.

Vaihe 3: puhdas palautus

Vasta kun tiedät, miten hyökkääjä pääsi sisään ja se reitti on tukittu, aloitat palautuksen.

Palauta siinä järjestyksessä, jonka olet määritellyt suunnitelmassasi (oppitunnit 8.1 ja 6.3): ensin se, mitä yritys tarvitsee toimiakseen. Pidä palautettu osa erillään siitä, mitä ei ole vielä tarkistettu.

Tässä vaiheessa selviää, kestääkö varmuuskopiosi. Verkossa ollut varmuuskopio on usein salattu tai pyyhitty samalla kertaa. Offline- tai muuttumaton varmuuskopio (oppitunti 6.2) ja testattu palautusmenettely (oppitunti 6.3) tekevät eron päivien ja viikkojen seisokin välillä.

Vaihe 4: rikosilmoitus, ilmoittaminen ja lunnaat

Rikosilmoitus. Tee rikosilmoitus poliisille. Säilytä todisteet (lunnasviesti, sähköpostit, maksutiedot). Rikosilmoitus tarvitaan tutkintaa varten, auttaa poliisia näkemään yhteyksiä, ja vakuutusyhtiöt pyytävät sitä usein.

No More Ransom. Osoitteessa https://www.nomoreransom.org (muun muassa Europolin ja Alankomaiden poliisin aloite) voit tunnistuttaa salatun tiedoston tai lunnasviestin. Joillekin kiristyshaittaohjelmaperheille on olemassa ilmainen purkutyökalu. Useimmille uusille versioille ei, mutta tarkistaminen vie vähän aikaa.

Ilmoittaminen. Selvitä, mitä ilmoituksia tarvitaan: tietoturvaloukkausilmoitus tietosuojavaltuutetun toimistolle (sähköinen lomake) 72 tunnin kuluessa (oppitunti 8.2), merkittävästä häiriötilanteesta ilmoittaminen valvontaviranomaiselle, jos kyberturvallisuuslaki (124/2025) koskee sinua (oppitunti 9.1), sekä mitä olet sopinut asiakkaiden tai toimeksiantajien kanssa.

Lunnaat. Alankomaiden NCSC suosittelee, ettei lunnaita makseta, ja poliisi toteaa: "mieluiten ei makseta". Syyt:

• Sinulla ei ole takeita siitä, että saat toimivan avaimen tai ettei tietoja silti julkaista.
• Takaisin saadut tiedot voivat olla vahingoittuneita tai muutettuja.
• Maksajat tunnetaan maksuhaluisina. Uhreja kiristetään toisinaan uudelleen tai ne joutuvat myöhemmin uuden hyökkäyksen kohteeksi.
• Rahoitat seuraavaa hyökkäystä.

Jos harkitset silti maksamista tai olet maksanut, ilmoita siitä aina poliisille: maksutiedot voivat auttaa tutkinnassa. Tämä päätös kuuluu toimintasuunnitelmasi päättäjälle, ei sille, joka näkee viestin ensimmäisenä.

Kybervakuutus. Kybervakuutus voi kattaa tutkinnan, palautuksen ja liiketoimintavahinkojen kuluja, ja se antaa usein pääsyn häiriötilanteiden hallintaan erikoistuneeseen tiimiin. Lue ehdot: monet vakuutukset edellyttävät perustoimenpiteitä, kuten kaksivaiheista tunnistautumista ja varmuuskopioita, ja vaativat nopeaa ilmoittamista. Alankomaiden NCSC kirjoitti huhtikuussa 2025, yli 500 pk-yrityksiin kohdistuneen kiristyshaittaohjelmatapauksen tutkimuksen pohjalta, että hyökkääjät etsivät sisäänpääsyn jälkeen tiedostoja, joiden nimissä on sanoja kuten "vakuutus" tai "vakuutuskirja", vahvistaakseen neuvotteluasemaansa. Tarkista siis, kuinka helposti tunkeutuja löytää vakuutuskirjasi, äläkä mieluiten säilytä sitä jaetulla levyllä. Vakuutus ei korvaa toimenpiteitä: se maksaa vahingon, muttei estä sitä.

Vaihe 5: viestintä ja oppiminen

Anna suunnitelmasi viestinnästä vastaavan henkilön kertoa henkilöstölle, asiakkaille ja toimittajille yksi selkeä tarina: mitä tapahtui, mitä se tarkoittaa heille, mitä heidän pitää tehdä (esimerkiksi: ole tarkkana viestien kanssa, jotka näyttävät tulevan meiltä), ja milloin he kuulevat sinusta seuraavan kerran. Rehellisyys ja ajoissa kertominen toimii paremmin kuin vaikeneminen siihen asti, kunnes tieto vuotaa.

Suunnittele muutaman viikon kuluessa arviointi: mikä meni hyvin, mikä meni pieleen, mitä muutat? Lähes aina nousee esiin samat asiat: kaksivaiheinen tunnistautuminen puuttui jostain, järjestelmää ei ollut päivitetty, varmuuskopiota ei ollut testattu tai kukaan ei tiennyt, kuka sai päättää. Kirjaa nämä kohdat suunnitelmaasi oppitunnista 9.3, vastuuhenkilön ja päivämäärän kanssa.

Käytännössä: näin se näyttää

Hakkeroidun verkkosivuston kohdalla webhotellipaketilla työskentelet usein webhotellisi tarjoaman tarjoajan työkaluilla. WebOkéssa näitä ovat esimerkiksi haittaohjelmaskannaus (Imunify360), lokitiedostot DirectAdminissa, varmuuskopion palauttaminen WebOké Backupsista ja vaiheittainen ohje DirectAdmin-käyttöoppaassa. Muilla webhotellien tarjoajilla on vastaavia työkaluja; kysy tarjoajaltasi, mitä on tarjolla ja kuinka pitkälle taaksepäin varmuuskopiot ulottuvat, ennen kuin tarvitset niitä.

Yhteenveto

• Palautuminen etenee viidessä vaiheessa: rajaaminen, selvittäminen, puhdas palautus, rikosilmoitus ja ilmoittaminen, viestintä ja oppiminen.
• Eristä, älä sammuta, ja vaihda salasanat vain puhtaalta laitteelta.
• Älä palauta mitään ennen kuin tiedät, miten hyökkääjä pääsi sisään; muuten palautat myös oven auki.
• Asenna tartunnan saaneet laitteet uudelleen ja palauta varmuuskopiosta, joka on murron edeltävältä ajalta.
• Tee rikosilmoitus, tarkista No More Ransom, äläkä mieluiten maksa lunnaita.

Tietovisa

Tehtävä

Tehtävä A8.3: Laita palautuminen oikeaan järjestykseen. Saat tapauskuvauksen ja kymmenen erillistä vaihetta (esimerkiksi "palauta varmuuskopio", "irrota verkkokaapeli", "selvitä, miten hyökkääjä pääsi sisään", "tee rikosilmoitus"). Laita ne oikeaan järjestykseen. Ohjelma tarkistaa, täyttyvätkö kiinteät järjestyssäännöt (esimerkiksi: eristäminen ennen palauttamista, syyn selvittäminen ennen palauttamista, uudelleenasennus ennen tietojen palauttamista) ja selittää jokaisen virheen kohdalla, miksi se on väärin.

Lue lisää

WebOké-artikkeleiden vaiheet koskevat WebOkén ympäristöä; muilla tarjoajilla toimintatapa on vastaava.

• DirectAdmin-ohje 18.2: Sivustoni on hakkeroitu: vaiheittainen ohje
• Apua! Sivustoni on hakkeroitu. Miten korjaan tilanteen ja miten estän sen jatkossa?
• Imunify360-skanneri
• WebOké Backups: varmuuskopion tarkasteleminen, palauttaminen tai lataaminen
• Alankomaiden NCSC, Mitä tehdä kiristyshaittaohjelmahyökkäyksen sattuessa?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Alankomaiden NCSC, Kiristyshaittaohjelmat pk-yrityksissä: rikolliset nostavat lunnassummaa kybervakuutuksen perusteella: https://www.ncsc.nl/nieuws/ransomware-in-het-mkb-cybercriminelen-verhogen-losgeld-bij-cyberverzekering
• No More Ransom: https://www.nomoreransom.org