Tilin haltuunotto ja tietoturvaloukkaukset

Moduuli 1: Miksi olet maalitaulu · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, miten varastettuja kirjautumistietoja käytetään uudelleen ja mitä vuotaneille tiedoille tapahtuu.
Keskeiset käsitteet: tilin haltuunotto, credential stuffing, infostealer, istuntoeväste, tietoturvaloukkaus, henkilötiedot, combolista

Kirjautuminen murtautumisen sijaan

Helpoin tapa päästä järjestelmään ei ole etsiä tietoturva-aukkoa, vaan yksinkertaisesti kirjautua sisään. Jos joku saa haltuunsa sähköpostiosoitteesi ja salasanasi, hänen ei tarvitse hakkeroida mitään. Järjestelmälle hän on yksinkertaisesti sinä. Tätä kutsutaan tilin haltuunotoksi: joku muu ottaa tilin haltuunsa ja käyttää sitä kuin olisi sen omistaja.

Pienelle yritykselle sähköpostilaatikko on tärkein tili. Sähköpostilaatikon haltuunsa saanut voi:

• nollata lähes kaikkien muiden tiliesi salasanat "unohtuiko salasana" toiminnolla;
• lukea sähköpostiasi ja lähettää juuri oikealla hetkellä väärennetyn laskun (oppitunti 1.2);
• lähettää viestejä sinun nimissäsi asiakkaille, jotka luottavat sinuun;
• asettaa välityssäännön, jolloin hän saa huomaamatta kopion kaikesta sähköpostista, myös salasanan vaihtamisen jälkeen (oppitunti 2.5).

Mutta miten hyökkääjä saa salasanasi haltuunsa? Siihen on kolme päätapaa: syötät sen itse huijaussivustolle (tietojenkalastelu, moduuli 3), se vuotaa jostain toisesta palvelusta jota olet käyttänyt samalla salasanalla, tai haittaohjelma varastaa sen tietokoneeltasi. Käsittelemme tässä kaksi jälkimmäistä.

Credential stuffing: yksi vuoto, kokeillaan kaikkialla

Verkkosivustoja hakkeroidaan säännöllisesti. Tällaisen vuodon yhteydessä käyttäjien sähköpostiosoitteet ja salasanat päätyvät usein julkisuuteen, joskus suoraan luettavassa muodossa, joskus muodossa joka voidaan laskentatehon avulla purkaa. Näitä tietoja kerätään, yhdistellään ja käydään kauppaa valtavina listoina sähköpostiosoitteista ja salasanoista: combolistoina.

Tällaisella listalla hyökkääjä tekee credential stuffingia: hän kokeilee automaattisesti jokaista sähköpostiosoite-salasana-paria muissa palveluissa. OWASP, tunnettu avoin verkkoturvallisuusjärjestö, kuvailee sitä varastettujen kirjautumistietojen automaattiseksi syöttämiseksi tilien haltuun saamiseksi. Se toimii yhdestä syystä: ihmiset käyttävät samaa salasanaa useassa paikassa.

Esimerkki. Petra, joka pitää Bakkerij Example -nimistä leipomoa, loi vuosia sitten tilin leivontatarvikkeita myyvään verkkokauppaan osoitteella info@example.com ja salasanalla, jota hän käytti silloin kaikkialla. Kyseinen verkkokauppa hakkeroidaan. Vuotta myöhemmin hänen yhdistelmänsä löytyy combolistalta. Ohjelma kokeilee sitä yhdessä yössä seuraavissa palveluissa:

Petra ei huomaa mitään: hän ei ole nähnyt tietojenkalasteluviestiä eikä klikannut mitään. Tästä opimme: jokaiselle palvelulle oma, uniikki salasana estää yhden vuodon leviämisen (oppitunnit 2.1 ja 2.2), ja kaksivaiheinen tunnistautuminen pysäyttää hyökkääjän, jolla on jo oikea salasana (oppitunti 2.3). Voit itse tarkistaa osoitteessa https://haveibeenpwned.com, esiintyykö sähköpostiosoitteesi tunnetussa vuodossa.

Yleinen virhe on käyttää salasanoissa "järjestelmää": Bakkerij2025! sähköpostille ja Bakkerij2025!boekhouding kirjanpidolle. Combolisteja käyttävät ohjelmat kokeilevat myös tällaisia ilmeisiä variaatioita.

Infostealerit: salasana suoraan tietokoneeltasi

Infostealer on haittaohjelma, joka kerää tietoja tietokoneeltasi ja lähettää ne hyökkääjälle. Microsoft kuvailee, että infostealerit keräävät muun muassa tallennettuja käyttäjätunnuksia ja salasanoja, istuntoevästeitä, automaattisesti täytettyjä lomaketietoja ja luottokorttitietoja selaimista. Tällaisen ohjelman saat esimerkiksi väärennetyn latauksen kautta ("ilmainen versio kalliista ohjelmasta"), liitetiedostona, väärennetyn mainoksen kautta tai sivustolta, joka pyytää kopioimaan ja liittämään komennon "ongelman korjaamiseksi".

Infostealer toimii usein muutamassa minuutissa ja häviää sitten. Saalis, niin kutsuttu loki kaikista yhden tietokoneen tiedoista, myydään eteenpäin. Joskus sitä käytetään vasta vuosia myöhemmin.

Miksi istuntoeväste on niin vaarallinen

Kun kirjaudut sisään verkkosivustolle salasanalla ja kaksivaiheisella tunnistautumisella, selaimesi saa istuntoevästeen: pienen tiedoston, joka jokaisen seuraavan pyynnön yhteydessä osoittaa, että olet jo kirjautunut sisään. Siksi sinun ei tarvitse syöttää koodia uudelleen joka klikkauksella.

Se, joka varastaa tämän evästeen, voi asettaa sen omaan selaimeensa ja on silloin myös kirjautunut sisään. Hän ei tarvitse salasanaasi eikä toista tunnistautumistekijääsi, koska kirjautuminen on jo tapahtunut. MITRE ATT&CK, julkinen hyökkäystekniikoiden tietokanta, sanoo sen suoraan: istuntoevästeitä voidaan käyttää tiettyjen monivaiheisen tunnistautumisen muotojen ohittamiseen.

Mikä auttaa infostealereita ja varastettuja evästeitä vastaan:

• älä asenna ohjelmistoja tuntemattomista lähteistä, äläkä työskentele pääkäyttäjätilillä, jotta asentaminen ei onnistu noin vain (oppitunti 5.2);
• pidä käyttöjärjestelmä ja selain ajan tasalla (oppitunti 5.1);
• tartunnan jälkeen puhdista tietokone tai asenna se uudelleen ensin, vasta sen jälkeen vaihda salasanat puhtaalta laitteelta ja kirjaudu ulos kaikista istunnoista, jotta varastetut evästeet mitätöityvät (oppitunnit 2.5 ja 3.5);
• tietojenkalastelulta suojaavat kirjautumistavat kuten passkeyt, jotka tekevät kirjautumistietojen varastamisen huijaussivustojen kautta mahdottomaksi (oppitunti 2.4).

Mikä on tietoturvaloukkaus

Tähän asti puhuimme omista tileistäsi. Mutta jos hyökkääjä pääsee sähköpostilaatikkoosi, kirjanpitoosi tai verkkokauppaasi, hän näkee myös muiden tietoja: asiakkaiden, työntekijöiden, jäsenten. Silloin kyseessä on tietoturvaloukkaus.

Tietosuoja-asetus (GDPR) määrittelee henkilötiedot kaikkena tietona, joka koskee tunnistettua tai tunnistettavissa olevaa henkilöä: nimi, sähköpostiosoite, puhelinnumero, osoite, mutta myös asiakasnumero, joka voidaan yhdistää tiettyyn henkilöön. Tietoturvaloukkaus (tietosuoja-asetuksessa: henkilötietojen tietoturvaloukkaus, 4 artiklan 12 kohta) on tietoturvaloukkaus, joka johtaa vahingossa tai laittomasti henkilötietojen tuhoutumiseen, häviämiseen, muuttumiseen taikka niiden luvattomaan luovuttamiseen tai pääsyyn niihin.

Tietoturvaloukkauksen ei tarvitse olla hakkerointi. Myös nämä voivat olla tietoturvaloukkaus:

• sähköposti asiakaslistalla väärälle vastaanottajalle;
• varastettu tai kadonnut kannettava ilman salausta;
• jakolinkki kansioon, jossa on ansioluetteloita ja joka on julkisesti internetissä;
• haltuun otettu sähköpostilaatikko, jossa on laskuja nimien ja osoitteiden kanssa;
• kiristyshaittaohjelman salaamat tiedostot, joista sinulla ei ole varmuuskopiota (tuhoutuminen ja häviäminen).

Tietoturvaloukkaukseen liittyy velvoitteita: kirjaat jokaisen tietoturvaloukkauksen tietoturvaloukkausrekisteriin, ilmoitat siitä 72 tunnin kuluessa tietosuojavaltuutetun toimistolle, ellei se todennäköisesti aiheuta riskiä rekisteröidyille, ja jos riski on suuri, informoit myös itse kyseisiä henkilöitä. Tarkemmin tästä opit oppitunnilla 8.2. Nyt on tärkeää ymmärtää, ettei tilin haltuunotto ole pelkästään "meidän ongelmamme": usein se koskettaa myös niitä ihmisiä, joiden tietoja sinulla on.

Mitä vuotaneille tiedoille tapahtuu

Vuotaneet tiedot eivät katoa mihinkään. Niitä kopioidaan, yhdistellään ja myydään eteenpäin. Siksi vuodolla on vaikutuksia, jotka jatkuvat pitkään:

• Uudelleenkäyttö: salasanat päätyvät combolistoille credential stuffingia varten.
• Parempi tietojenkalastelu: nimelläsi, asiakkaillasi ja viimeisimmällä tilauksellasi huijari laatii vakuuttavan viestin. Asiakas, joka saa sinulta "maksumuistutuksen" viikko verkkokauppasi vuodon jälkeen, maksaa nopeammin.
• Identiteettivarkaus: riittävällä määrällä tietoa henkilöstä huijari voi avata tilejä tai esiintyä kyseisenä henkilönä.
• Kiristys: "maksa, tai kerromme asiakkaillesi, että heidän tietonsa ovat vuotaneet sinulta" (oppitunti 1.3).

Siksi vähemmän tietojen säilyttäminen on myös tietoturvatoimenpide. Tiedot, joita sinulla ei ole, eivät myöskään voi vuotaa.

Yhteenveto

• Tilin haltuunotossa hyökkääjä yksinkertaisesti kirjautuu sisään; sähköpostilaatikko on tärkein tili, koska sen avulla palautat muiden tilien salasanoja.
• Credential stuffing kokeilee vuotaneita sähköpostiosoite-salasana-yhdistelmiä automaattisesti muissa palveluissa; uniikit salasanat ja kaksivaiheinen tunnistautuminen pysäyttävät sen.
• Infostealerit varastavat salasanoja ja istuntoevästeitä selaimesta; varastetulla evästeellä hyökkääjä voi ohittaa joitakin kaksivaiheisen tunnistautumisen muotoja, joten kirjaudu tartunnan jälkeen ulos kaikista istunnoista.
• Tietoturvaloukkaus on mikä tahansa henkilötietojen tietoturvan rikkomus, myös väärään osoitteeseen lähetetty sähköposti tai kadonnut kannettava.
• Vuotaneita tietoja käytetään uusiin hyökkäyksiin; vähemmän säilyttäminen tarkoittaa vähemmän riskiä.

Tietovisa (quiz)

Tehtävä

Tehtävä A1.4: Yksi vuoto, mitkä tilit ovat vaarassa? Saat yleiskatsauksen pienen yrityksen tileistä: mikä salasana (merkitty W1, W2 jne., ei koskaan oikea salasana) kuuluu mihinkin palveluun, ja onko kaksivaiheinen tunnistautuminen päällä. Sen jälkeen yksi palvelu vuotaa. Ilmoita, mitkä tilit ovat välittömässä vaarassa, missä järjestyksessä käsittelet ne ja onko kyseessä tietoturvaloukkaus. Ohjelma tarkistaa vastauksesi ja selittää ne.

Lue lisää

WebOké-artikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• DirectAdmin-ohje 3.7: Turvalliset salasanat ja mitä teet, jos salasana on vuotanut
• WebOké-käyttöopas 3.6: Aktiivisten istuntojen tarkastelu ja uloskirjautuminen
• Have I Been Pwned (tarkista itse, esiintyykö sähköpostiosoitteesi tunnetussa vuodossa): https://haveibeenpwned.com
• OWASP, Credential stuffing (englanniksi): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (englanniksi): https://attack.mitre.org/techniques/T1539/
• Tietosuoja-asetus (asetus (EU) 2016/679), virallinen teksti: https://eur-lex.europa.eu/eli/reg/2016/679/oj