Phishing tekstiviestien, chatin, puhelimen ja QR-koodien kautta

Moduuli 3: Tietojenkalastelun tunnistaminen · Lukuaika: 12 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen tunnistat phishingin myös sähköpostin ulkopuolella: tekstiviesteissä ja chat-sovelluksissa, puhelimessa (myös jäljitellyllä äänellä), QR-koodeissa ja kirjautumisilmoitusten tulvassa, ja tiedät miten tarkistat kunkin kanavan.
Keskeiset käsitteet: smishing, ystävä-hädässä-huijaus, vishing, numeron huijaaminen (spoofing), vale-helpdesk, äänikloonaus, quishing, MFA-pommitus

Miksi muut kanavat toimivat niin hyvin

Kaikki oppitunnista 3.1 pätee myös tässä: kiireellisyys, auktoriteetti, pelko, uteliaisuus ja palkinto. Mutta sähköpostin ulkopuolella temput toimivat usein vielä paremmin:

• Puhelimella luet nopeasti. Näyttö on pieni, osoitteet katkeavat, ja usein olet keskellä jotain muuta.
• Vähemmän tekniikkaa auttaa. Sähköpostipalvelin tarkistaa SPF:n, DKIM:n ja DMARC:n ja siinä on roskapostisuodatin. Tekstiviesteissä, chatissa ja puhelimessa tätä on paljon vähemmän.
• Se tuntuu henkilökohtaisemmalta. Viesti chat-sovelluksessa tai ääni puhelimessa herättää enemmän luottamusta kuin sähköposti.
• Se tapahtuu reaaliajassa. Soittaja voi udella lisää, lisätä painetta ja viedä sinua askel askeleelta eteenpäin.

Refleksi pysyy samana: pysähdy, tarkista omaa reittiä pitkin, kysy. Se mikä vaihtelee kanavan mukaan, on miltä tuo tarkistus näyttää.

Tekstiviesti ja chat: smishing ja ystävä-hädässä-huijaus

Smishing on phishingiä tekstiviestitse. Huijarit esiintyvät organisaationa, jolta voisit odottaa tekstiviestiä: kuljetusyhtiönä, pankkina, viranomaisena, sähköyhtiönä. Alankomaiden kansallisen kyberturvallisuuskeskuksen NCSC:n mukaan sama tapahtuu myös chat-sovelluksissa, kuten WhatsAppissa ja Telegramissa.

Tyypillinen esimerkki:

Kuljetuspalvelu: pakettiasi ei voitu toimittaa puutteellisen osoitteen vuoksi. Varaa uusi toimitus: https://koeriersdienst.track-nl.example/z8K

Lue linkki kuten oppitunnissa 3.2: rekisteröitävissä oleva verkkotunnus on track-nl.example, ei siis kuljetusyhtiön koeriersdienst.example. Puhelimessa tämä on erityisen hankalaa, koska näet vain alun. Paina linkkiä pitkään nähdäksesi koko osoitteen, tai älä avaa sitä vaan mene itse kuljetusyhtiön sovellukseen tai sivustolle.

Lähettäjän numero tai nimi ei todista mitään. Tekstiviestin lähettäjät ja puhelinnumerot voidaan väärentää (spoofing). Vale-viesti voi sen takia ilmestyä samaan viestiketjuun kuin saman lähettäjän aidot viestit. Myös tuttu nimi viestin yläpuolella ei siis ole todiste.

Ystävä-hädässä-huijaus tapahtuu chat-sovellusten kautta:

Hei, tämä on uusi numeroni, puhelimeni meni rikki. Voisitko maksaa jonkin asian puolestani? Maksan takaisin huomenna. Sen pitää tapahtua jo tänään.

Yrityksissä sama temppu esiintyy viestinä "toimitusjohtajalta" tai "kollegalta" uudesta numerosta, joka haluaa nopeasti maksun tai lahjakortteja. Tarkista: soita tai viestitä henkilölle vanhaan, tuttuun numeroon, tai esitä kysymys johon vain oikea henkilö osaa vastata.

Puhelin: vishing, vale-helpdesk ja äänikloonit

Vishing (voice phishing) on phishingiä puhelimessa. Kolme muotoa esiintyy yleisesti.

Pankin työntekijä. Joku soittaa pankin tai "petostenehkäisyosaston" puolesta: on epäilyttäviä maksuja, rahasi täytyy "turvata", tai sinun pitää antaa koodi tai hyväksyä maksu pankkisovelluksessasi. Näytölläsi saattaa näkyä jopa pankin oikea numero. Sekin voi olla huijattu. Oikea pankki ei koskaan pyydä kirjautumiskoodejasi tai rahan siirtämistä "turvatilille".

Vale-helpdesk. Joku soittaa ohjelmistotoimittajan, internetpalveluntarjoajan tai IT-yrityksesi puolesta: tietokoneesi on saastunut, tilissäsi on ongelma. Hän pyytää sinua asentamaan ohjelman, jolla hän voi katsella konettasi etänä. Sillä hän ottaa tietokoneesi haltuunsa. Alankomaiden NCSC sanoo sen yksinkertaisesti: älä koskaan anna kenellekään etäkäyttöoikeutta laitteisiisi noin vain.

Jäljitelty ääni. Tekoälyllä ääni voidaan jäljitellä äänitallenteiden pohjalta, esimerkiksi videosta tai puhelinvastaajasta. Äänikloonaus toimitusjohtajastasi tai perheenjäsenestäsi voi sitten soittaa kiireellisellä pyynnöllä. Korviisi ei siis voi enää luottaa sokeasti.

Kaikessa kolmessa toimii sama:

1. Katkaise puhelu heti kun tulee painetta tai kysytään koodeja, rahaa tai pääsyä. Se ei ole epäkohteliasta.
2. Soita itse takaisin numeroon, jonka etsit itse tai joka sinulla jo oli: pankkikorttisi takapuoli, virallinen sivusto, oma yhteystietolistasi. Ei soittajan ilmoittamaan numeroon.
3. Sovi tarkistuskysymys tai koodisana niiden kanssa, jotka voivat pyytää sinulta rahaa, kuten johto ja kirjanpito. Sovi myös, että maksuja ei koskaan tehdä pelkän puhelun perusteella (oppitunti 1.2).

QR-koodit: quishing

QR-koodi on vain linkki, jota et voi lukea. Quishing on phishingiä QR-koodilla. Kaksi muotoa:

• Kadulla tai tilassa. Tarra, jossa on oma QR-koodi aidon päällä, pysäköintiautomaatissa, latauspisteessä, ruokalistassa tai julisteessa. Luulet maksavasi pysäköintisovelluksessa, mutta syötät korttitietosi vale-sivustolle.
• Sähköpostissa tai pdf:ssä. "Skannaa tämä koodi vahvistaaksesi sähköpostilaatikkosi." Kuvassa olevaa QR-koodia et voi tarkistaa hiirellä. Ja skannaat sen puhelimellasi, jossa osoitteiden lukeminen on vaikeampaa.

Alankomaiden NCSC neuvoo muun muassa:

• Älä skannaa QR-koodia ilman selittävää tekstiä tai kuvaa, ja ole varovainen julkisilla paikoilla olevien koodien kanssa.
• Tarkista, onko koodi todella painettu julisteeseen tai kylttiin, vai onko sen päälle liimattu tarra.
• Käytä skanneria, joka näyttää ensin minne osoitteeseen tai mille verkkotunnukselle olet menossa. Androidin ja iOS:n uudemmissa versioissa kamera tekee tämän oletuksena.
• Jos et tunnista osoitetta, älä jatka. Älä syötä salasanaa tai maksutietoja, jos et ole varma, että sivusto on aito.

Katso kameran näyttämästä esimerkkiosoitteesta rekisteröitävissä oleva verkkotunnus, aivan kuten oppitunnissa 3.2. Pysäköintiautomaatilla voit myös käyttää virallista pysäköintisovellusta tai kyltissä olevaa osoitetta itse.

MFA-pommitus: kun puhelimesi ei lakkaa piippaamasta

Moni palvelu lähettää kirjautumisen yhteydessä ilmoituksen puhelimeesi: "Yritätkö kirjautua sisään? Hyväksy tai hylkää." Jos hyökkääjällä on jo salasanasi, hän yrittää kirjautua uudestaan ja uudestaan. Puhelimeesi tulee ilmoitus toisensa jälkeen, joskus keskellä yötä. Tätä kutsutaan MFA-pommitukseksi (myös MFA-väsytys). Hän toivoo, että ärsyyntyneenä tai vahingossa painat Hyväksy. Joskus hän soittaa tai viestii vielä päälle "helpdeskinä": "Olemme palauttamassa tiliäsi, paina vain hyväksy."

Näin toimit:

1. Älä koskaan hyväksy ilmoitusta, jota et itse ole käynnistänyt. Ei myöskään jos joku sitä pyytää.
2. Pidä sitä hälytyksenä. Odottamaton kirjautumisilmoitus tarkoittaa, että joku tietää salasanasi. Vaihda kyseisen tilin salasana heti, sivuston tai sovelluksen kautta.
3. Tarkista aktiiviset istunnot ja kirjaudu ulos tuntemattomista istunnoista (oppitunti 2.5).
4. Valitse vahvempi kaksivaiheisen tunnistautumisen muoto, jos sellainen on saatavilla. Numeroparitusessa (number matching) sinun täytyy kirjoittaa kirjautumisruudun numero sovellukseen; ilmoitusta ilman tätä ruutua edessäsi et voi silloin vain hyväksyä noin vain. Passkeyt ja turva-avaimet (oppitunti 2.4) ovat vielä vahvempia, koska ne eivät toimi vale-sivustolla.

Käytännössä: näin se näyttää

Oma WebOkéssa näet aktiivisten istuntojen alla missä ja milloin olet kirjautunut sisään, ja voit kirjata ulos muita istuntoja (WebOké-ohje 3.6). Muissa palveluissa, kuten sähköpostiohjelmassasi, kirjanpito-ohjelmistossasi tai Nextcloudissa, on vastaava näkymä tilisi turva-asetuksissa. Tarkista se ensimmäisenä odottamattoman kirjautumisilmoituksen jälkeen.

Yhteenveto

• Sähköpostin ulkopuolella toimivat samat temput, mutta vähemmän tekniikkaa auttaa ja luet nopeammin.
• Numero tai lähettäjän nimi näytölläsi ei todista mitään: ne voidaan väärentää.
• Puhelimessa: katkaise puhelu, soita itse takaisin tuttuun numeroon, älä koskaan anna koodeja, rahaa tai pääsyä etänä. Myös tuttua ääntä voidaan jäljitellä.
• QR-koodit: katso tarroja, anna kameran näyttää osoite ja lue rekisteröitävissä oleva verkkotunnus.
• Odottamaton kirjautumisilmoitus on hälytys: hylkää, vaihda salasana, tarkista istunnot.

Tietovisa

Tehtävä

Tehtävä A3.4: QR-koodin lukeminen sitä avaamatta. Ohjelma näyttää QR-koodin. Skannaa se puhelimesi kameralla, mutta älä avaa linkkiä. Lue kameran näyttämä osoite ja täytä rekisteröitävissä oleva verkkotunnus, sekä avaisitko linkin. Ohjelma tarkistaa vastauksen.

Tehtävä D3.4: Sopimukset puhelimelle, chatille ja kirjautumisilmoituksille. Sovi tiimisi kanssa takaisinsoitosta, tarkistuskysymyksestä tai koodisanasta, ja siitä mitä teette odottamattoman kirjautumisilmoituksen kohdalla. Tarkista sen jälkeen omalla puhelimellasi, näyttääkö kamera QR-koodin osoitteen ennen kuin se avaa mitään.

Lue lisää

WebOké-artikkeleiden ohjeet koskevat WebOkén omaa ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• WebOké-käyttöopas 3.6: Aktiivisten istuntojen tarkastelu ja uloskirjautuminen
• Nextcloud-opas 3.6: Laitteiden ja istuntojen tarkastelu, oikeuksien peruminen tai etätyhjennys
• Alankomaiden NCSC, Sms-phishing ('smishing'): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Alankomaiden NCSC, Miten tunnistan vale-puhelinsoiton?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Alankomaiden NCSC, QR-koodit: https://www.ncsc.nl/phishing/qr-codes
• Traficomin Kyberturvallisuuskeskus, huijausviestien ja phishingin ilmoittaminen: https://www.kyberturvallisuuskeskus.fi/