Kalastelupuhelut ovat yleistyneet
Sosiaaliset hyökkäykset ovat kuluneen koronakevään- ja syksyn aikana suorastaan räjähtäneet käsiin. Lisääntyneet etätyöt ovat tehneet työntekijään kohdistuneista tietoturvahyökkäyksistä pitkäkyntisille erittäin houkuttelevaa. Syy on selkeä: yrityksen tietoturvavastaavat ja kollegat saattavat olla hyökkäyksen aikana tavoittamattomissa.
Mistä sosiaalisissa hyökkäyksissä on lopulta kyse? Teknistä murtautumista helpompaa on käyttää inhimillisiä erehdyksiä hyväkseen. Näistä hyvänä esimerkkeinä ovat erittäin yleiset “kalastelupuhelut” esimerkiksi Microsoftin edustajan nimissä.
Tyypillisessä tapauksessa erittäin vakuuttavan kuuloinen soittaja esittäytyy Microsoftin tietoturvaosaston edustajana, ja saattaa jopa tietää jotain yksityiskohtaisia tietoja puheluun vastaajasta – esimerkiksi työpaikan osoitteen tai vaikkapa koneessa olevan lisenssinumeron. Puhelun aikana tämä “tietoturvaekspertti” pyrkii saamaan huijattavan asentamaan haittaohjelman koneelle, jonka avulla huijarit pääsevät helposti käsiksi käyttäjän tietoihin, kontaktilistoihin, pankkiyhteyksiin ja muuhun tärkeään tietoon.
Huijauspuheluja tulee nykyään myös selvällä suomen kielellä.
On helppoa sanoa, että ei koskaan haksahtaisi moisiin kalasteluyrityksiin. Tositilanteen tullen kuitenkin monet erittäin fiksutkin ihmiset ja jopa tietoturvan parissa työskentelevät ovat joutuneet vedätetyiksi. Miksi näin on? Ensinnäkin, huijareilla on erittäin hiotut ja rutinoituneet tavat yrittää huijausta. Toiseksi, ihmiset eivät ole pääsääntöisesti epäileväisiä tai töykeitä toisia ystävällisen kuuloisia ihmisiä kohtaan. Ja kolmas hälyttävä trendi on se, että huijauspuheluja tulee nykyään myös selvällä suomen kielellä! Suullisesti ja kirjallisesti vaikeahko suomen kieli on ollut perinteisesti turvasatama huijareilta: tunnistamme nopeasti tökerön kirjoitusasun tai epäselvän murteen. Huijaus on kuitenkin niin kannattavaa toimintaa rikollisille, että nykyään maatiimejä on perustettu jopa suomalaisia huijattavia silmällä pitäen.
Kalastelupuheluiden muistisääntö
Helpoin tapa selvitä sosiaalisilta hyökkäyksiltä ja edellä kuvatun kaltaisilta tukipalveluhuijauksilta on muistaa seuraava fakta: Microsoft tai muu iso palveluntarjoaja ei lähesty sinua tietoturva-asioissa oma-alotteisesti. Sinun tulee aina tehdä ensimmäinen yhteydenotto.
Älä koskaan ota yhteyttä huijarisoittajan tarjoamien yhteystietojen kautta!
Jos sinulta siis vastaanotetussa puhelussa tai sähköpostissa kysytään tietoja tai kehoitetaan toimimaan, voit lopettaa samoin tein puhelun ja jättää vastaamatta. Jos haluat selvittää tietoturvaasi liittyviä asioita, niin tee se ottamalla itse yhteyttä palveluntarjoajan virallisten yhteydenottokanavien kautta (verkkosivut tai puhelin). Älä koskaan ota yhteyttä huijarisoittajan tarjoamien yhteystietojen kautta, sillä ne eivät täsmää virallisiin yhteystietoihin. Toisessa päässä odottaa vakuuttava huijari.
Tietoturvayhtiö Check Point Research on kartoittanut tietojenkalasteluissa yleisimmin käytettyjä yrityksen nimiä, joiden nimissä huijauksia tehdään. Sähköpostitse yleisin tekaistu valetili on tehty Microsoftin nimissä (20%). Kymmenen kärkeen pääsivät myös nämä 9 brändiä ja yritystä: DHL, Google, PayPal, Netflix, Facebook, Apple, WhatsApp, Amazon ja Instagram.
Huijari voi lähestyä sinua kuitenkin minkä tahansa yrityksen tekaistun valetilin nimissä, joten olethan valppaana.
Lue myös lisää Microsoftin sivuilta: https://www.microsoft.com/fi-fi/wdsi/threats/support-scams
