Kiristyshaittaohjelmat ja kiristys

Moduuli 1: Miksi olet maalitaulu · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, miten kiristyshaittaohjelma pääsee sisään, mitä kaksoiskiristys tarkoittaa ja mitkä toimenpiteet rajoittavat vahinkoa.
Keskeiset käsitteet: kiristyshaittaohjelma, salaus, kaksoiskiristys, alkuperäinen pääsy, lateraaliliikkuminen, lunnaat, salauksenpurkaja (No More Ransom)

Mitä kiristyshaittaohjelma on

Kiristyshaittaohjelma (ransomware) on haitallinen ohjelma, joka tekee tiedostosi tai järjestelmäsi käyttökelvottomiksi ja vaatii sen jälkeen lunnaita. Sana tulee englannin sanasta ransom: lunnaat. Yleensä tämä tapahtuu salauksen avulla: ohjelma muuttaa tiedostosi lukukelvottomaan muotoon, ja avain on vain hyökkääjällä. Näet tiedostot yhä paikallaan, usein oudolla tiedostopäätteellä varustettuna, mutta et pysty enää avaamaan niitä. Näytölle tai jokaiseen kansioon ilmestyy viesti: maksa muutaman päivän kuluessa, tai kaikki on mennyttä.

Salaus itsessään ei ole mitenkään haitallista. Se on sama tekniikka, joka suojaa kannettavaasi varkaustilanteessa (oppitunti 5.2) ja joka suojaa yhteyttäsi verkkosivustoon. Ero on siinä, kenellä avain on. Hyvää salausta ei saa murrettua. Siksi "puretaan se vain äkkiä" ei juurikaan koskaan ole vaihtoehto, paitsi jos kiristyshaittaohjelman tekijät ovat tehneet virheen.

Alankomaiden NCSC:n mukaan kiristyshaittaohjelma vaikuttaa paitsi tiedostoihin, myös järjestelmiin ja varmuuskopioihin. Jälkimmäinen on tämän oppitunnin tärkein kohta.

Miten se pääsee sisään

Kiristyshaittaohjelmahyökkäys ei ole yksi hetki vaan sarja vaiheita. Se alkaa alkuperäisellä pääsyllä: ensimmäisellä jalansijalla ovesta sisään. Yleisimmät pääsytavat:

Ensimmäisen pääsyn jälkeen hyökkääjä usein odottaa. Hän katselee ympärilleen, etsii ylläpitäjätilejä ja hyppää tietokoneelta toiselle. Tätä kutsutaan lateraaliliikkumiseksi. Hän etsii erityisesti kahta asiaa: missä tärkeä data sijaitsee ja missä varmuuskopiot sijaitsevat. Vasta kun hän on löytänyt molemmat, hän iskee, usein yöllä tai viikonloppuna, kun kukaan ei huomaa.

Miksi kytketty varmuuskopio ei auta

Monilla pienillä yrityksillä on varmuuskopio: ulkoinen kiintolevy, joka on aina kiinni tietokoneessa, tai verkkolevy (NAS), johon kopio siirtyy joka yö. Se on parempi kuin ei mitään, jos kiintolevy hajoaa. Kiristyshaittaohjelmaa vastaan se ei usein auta.

Syy on yksinkertainen. Kiristyshaittaohjelma salaa kaiken, mihin tartunnan saanut tietokone tai kaapattu tili pääsee käsiksi. Jos varmuuskopiolevy on kiinni tietokoneessa, kiristyshaittaohjelma pääsee siihen käsiksi. Jos varmuuskopio sijaitsee verkkolevyllä, jolle kirjaudutaan samalla tilillä, kiristyshaittaohjelma pääsee siihen käsiksi. Hyökkääjä, joka on rauhassa katsellut ympärilleen, joskus jopa tarkoituksella poistaa varmuuskopiot ennen salaamista.

Sama pätee synkronointiin. Kansio, joka synkronoituu automaattisesti pilveen, synkronoi myös salatun version. Joskus pääset tällöin vielä takaisin tiedoston aiempaan versioon, mutta tämä riippuu palvelusta ja siitä, kuinka kauan se säilyttää versioita.

Varmuuskopio, joka selviää kiristyshaittaohjelmasta, sisältää vähintään yhden kopion, johon hyökkääjä ei pääse käsiksi tai jota hän ei pysty muuttamaan: levy, joka lojuu irrallaan laatikossa, tai varmuuskopio erillisellä palveluntarjoajalla omalla kirjautumisella, jota et käytä työkoneellasi, tai tallennustila, joka tekee muuttamisesta ja poistamisesta teknisesti mahdotonta tietyn ajan. Moduulissa 6 rakennat tämän vaihe vaiheelta. Varmuuskopio, jonka webhotelli-kumppanisi tekee erillisille palvelimille, irrallaan paketistasi, on verkkosivustosi ja sähköpostisi osalta jo etäkopio. Tarkista silti, kuinka kauan se säilytetään ja kuka voi poistaa sen.

Kaksoiskiristys

Ennen hyvä varmuuskopio oli täydellinen vastaus kiristyshaittaohjelmaan: palautus ja valmis. Hyökkääjät ovat sopeutuneet. Kaksoiskiristyksessä he varastavat ensin kopion datastasi ja vasta sitten salaavat sen. Silloin uhkauksia on kaksi:

1. Maksa, tai et saa tiedostojasi takaisin.
2. Maksa, tai julkaisemme datasi: asiakastiedostot, tarjoukset, palkkatiedot, sähköpostilaatikot.

Varmuuskopio auttaa ensimmäistä vastaan, mutta ei toista vastaan. Myös Alankomaiden NCSC varoittaa, että hyökkääjät uhkaavat joskus julkaista varastettua dataa. Lisäksi henkilötietojen varastaminen on itsessään tietoturvaloukkaus, josta on ilmoitusvelvollisuus tietosuojavaltuutetun toimistolle (oppitunti 8.2), riippumatta siitä, maksatko vai et.

Joskus hyökkääjä menee vieläkin pidemmälle ja lähestyy asiakkaitasi tai liikekumppaneitasi suoraan ilmoittaen, että heidän tietonsa on varastettu sinulta. Paine ei silloin kohdistu vain sinuun, vaan myös maineeseesi.

Maksaa vai ei?

Viranomaisten ja poliisin neuvo on yksiselitteinen: mieluummin ei maksa. No More Ransom, muun muassa Europolin ja Alankomaiden poliisin aloite, sanoo asian näin: lunnaiden maksaminen ei anna mitään takeita. Hyviä syitä on useita:

• Et saa takeita siitä, että saat toimivan avaimen tai että salauksen purkaminen onnistuu.
• Et saa takeita siitä, että varastettu data todella poistetaan sen jälkeen.
• Vahvistat, että yrityksesi maksaa, mikä tekee sinusta houkuttelevan kohteen seuraavalle hyökkäykselle.
• Rahoitat seuraavia hyökkäyksiä muita vastaan.
• Tie sisään ei ole vielä suljettu. Ilman tutkintaa sama voi tapahtua uudelleen.

Alankomaiden NCSC pitää palautusta varmuuskopiosta luotettavimpana ratkaisuna. Jos se ei onnistu, tarkista, onko olemassa salauksenpurkaja (decryptor): ilmainen ohjelma, joka pystyy purkamaan tietyn kiristyshaittaohjelmaperheen salauksen, koska tutkijat löysivät virheen kyseisestä perheestä tai takavarikoivat avaimia. No More Ransom (https://www.nomoreransom.org) kerää näitä salauksenpurkajia ja auttaa selvittämään, mikä kiristyshaittaohjelma sinulla on. Läheskään kaikille perheille ei ole ratkaisua, mutta tarkistaminen ei maksa mitään.

Tee joka tapauksessa rikosilmoitus poliisille, ja tarkista, onko sinulla ilmoitusvelvollisuus: tietosuojavaltuutetun toimistolle, jos henkilötietoja on vaarantunut, valvovalle viranomaiselle, jos kuulut kyberturvallisuuslain (124/2025) piiriin (oppitunti 9.1), ja joskus toimeksiantajalle sopimuksesi mukaan.

Mikä rajoittaa vahinkoa

Voit pienentää hyökkäyksen todennäköisyyttä ja rajoittaa vahinkoa, jos se silti tapahtuu. Yleiskatsaus, sekä oppitunti, jossa opit sen:

1. Päivittäminen, erityisesti kaikki internetiin kytketty: VPN, reititin, NAS, verkkosivusto (oppitunti 5.1).
2. Kaksivaiheinen tunnistautuminen sähköpostiin, etähallintaan ja kaikkiin ylläpitäjätileihin (oppitunti 2.3 ja 2.4).
3. Minimaaliset käyttöoikeudet: älä työskentele päivittäin ylläpitäjätilillä äläkä anna kaikille pääsyä kaikkeen (oppitunti 7.1).
4. Varmuuskopio tavallisten tilien ulottumattomissa, ja säännöllinen testaus, toimiiko palautus (moduuli 6).
5. Toimintakortti häiriötilanteisiin, jotta kaikki tietävät mitä tehdä: verkko irti, ei zomaar sammuteta, soita apua (oppitunti 8.1 ja 8.3).
6. Tietoisuus: kollega, joka heti ilmoittaa avanneensa oudon liitetiedoston, antaa sinulle tuntien etumatkan (oppitunti 9.2).

Käytännössä: tältä se näyttää

Esimerkki, koottu usein toistuvista tilanteista. Asennusyrityksellä, jossa oli kaksitoista työntekijää, oli VPN-palvelin, jonka kautta pääsi tiedostoihin kotoa käsin. Laiteohjelmistoa ei ollut päivitetty puoleentoista vuoteen. Tunnetun haavoittuvuuden kautta hyökkääjä pääsi sisään, katseli ympärilleen viikon ja löysi verkkolevyn ylläpitäjätilin. Eräänä lauantaiyönä tietokoneet, verkkolevy ja siihen kiinnitetty USB-levy, jolla oli varmuuskopio, salattiin. Jäljelle jäi: sähköposti ja verkkosivusto, jotka sijaitsivat webhotelli-kumppanilla omalla varmuuskopiollaan, sekä vanha kopio kirjanpidosta levyllä, joka kirjanpitäjällä oli kotonaan. Näin yritys pystyi muutaman päivän kuluttua taas laskuttamaan. Viime kuukausien tarjoukset ja piirustukset olivat poissa.

Päivitys ja yksi irrallinen levy laatikossa olisivat tehneet eron muutaman päivän ja muutaman kuukauden välillä.

Yhteenveto

• Kiristyshaittaohjelma salaa tiedostot, järjestelmät ja varmuuskopiot ja vaatii lunnaita; hyvää salausta ei saa murrettua.
• Kiristyshaittaohjelma pääsee sisään tietojenkalastelun, varastettujen salasanojen, päivittämättömien internetiin kytkettyjen järjestelmien, etähallinnan tai toimittajan kautta; sen jälkeen hyökkääjä usein katselee ensin ympärilleen.
• Varmuuskopio, joka on kiinni tietokoneessa tai saavutettavissa samalla tilillä, salataan usein mukana.
• Kaksoiskiristyksessä data varastetaan ensin; varmuuskopio ei silloin auta julkaisu-uhkaa vastaan, ja kyseessä on tietoturvaloukkaus.
• Mieluummin ei maksa; palauta varmuuskopiosta, tarkista No More Ransomista salauksenpurkaja ja tee rikosilmoitus.

Tietovisa

Tehtävä

Tehtävä D1.3: Entä jos se tapahtuu tänä yönä? Käy läpi omalle yrityksellesi, mitä kiristyshaittaohjelma voisi salata tänä yönä. Kirjoita ylös, missä varmuuskopiosi sijaitsevat, ovatko ne saavutettavissa tavallisella työkoneella tai tavallisella tilillä, ja mitkä järjestelmät ovat kytkettyinä internetiin. Vastaa sen jälkeen pohdintakysymyksiin.

Lue lisää

WebOké-artikkeleiden vaiheet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toimintatapa on vastaava.

• WebOké Backups: varmuuskopion tarkasteleminen, palauttaminen tai lataaminen
• DirectAdmin-ohje 16.1: Millaisia varmuuskopioita WebOké tarjoaa
• Alankomaiden NCSC, Mitä kiristyshaittaohjelma on: https://www.ncsc.nl/ransomware/wat-is-ransomware
• No More Ransom: https://www.nomoreransom.org/fi/index.html