Mitä on kohdennettu tietojen­kalastelu eli spear phishing?

Miten kohdennettu tietojen­kalastelu toimii?

Kohdennettu tietojen­kalastelu eli spear phishing on verkko­huijaus, jossa rikolliset valikoivat kohteekseen tietyn henkilön. Yleensä huijaus toteutetaan sähkö­posti­viestillä, joka on kustomoitu juuri huijauksen uhria varten.

Spear phishing ‑hyökkäyksistä on paljon vaivaa erityisesti organisaatiolle ja niiden työn­tekijöille. Huijaamalla yksittäistä henkilöä rikolliset voivat murtautua koko organisaation tieto­verkkoon, tai päästä käsiksi yrityksen arvokkaisiin tietoihin. Onnistuttuaan murtautumaan kohteensa tietoihin verkko­rikolliset voivat varastaa arka­luonteista tietoa ja sala­sanoja sekä levittää haitta­ohjelmia. Verkko­rikolliset parantavat onnistumisen mahdollisuuksiaan hyödyntämällä erilaisia tekniikoita käyttäjien manipulointiin.

Tietojen­kalastelu- ja spear phishing ‑viestit

Kohdennettu tietojen­kalastelu eroaa tavan­omaisista kalastelu­huijauksista keskittymällä enemmän hyökkäyksen laatuun kuin kohteiden määrään. Siinä missä tavallisen tietojen­kalastatelun kohteena on mahdollisimman monta eri kohdetta, spear phishing ‑huijaukset on tarkkaan kohdennettu yhteen tiettyyn kohteeseen. Kuten kalastaja, joka pyydystää yhden ison kalan, huijari voi vaania yhtä arvokasta kohdetta kohdentamalla tietojen­kalastelua juuri häneen. Tavallinen tietojen­kalastelu puolestaan muistuttaa enemmän ison verkon laskemista vesille useamman pienen sintin narraamiseksi.

Verrattuna tavallisiin massa­huijauksiin, kohdennettua tietojen­kalastelua on vaikeampi tunnistaa, sillä hyökkäys on suunniteltu varta vasten tiettyä kohdetta varten. Spear phishing ‑viestiin kuluu enemmän työtä ja tausta­tutkimusta, joten se myös toden­näköisemmin onnistuu huijaamaan kohteensa. Vaikka rikolliset voivat lähettää lukuisia kalastelu­viestejä suurelle joukolle vastaan­ottajia kerralla, huijaus ei onnistu yhtä toden­näköisesti, jos viestiä ei ole muokattu kohdetta varten. Varovainen lukija mitä toden­näköisimmin tunnistaa geneerisen kalastelu­viestin huijaukseksi.

Tietojen­kalastelun eri tyypit

Spear phishing on vain yksi tietojen­kalastelun metodi. Tässä muutamia esi­merkkejä muista kalastelu­huijauksista ja niiden erikois­piirteistä.

Whaling

Whaling-hyökkäyksessä eli valaan­pyynnissä kohteena ovat yrityksen isot kalat eli toimitus­johtaja ja muut organisaation korkeissa asemissa vaikuttavat henkilöt. Huijauksen korkea­profiilisen kohteen vuoksi tämä hyökkäys tunnetaan myös toimitus­johtaja­huijauksena. Whaling-huijauksessa onnistuminen vaatii paljon työtä, mutta voi aiheuttaa suurta vahinkoa verrattuna satunnaiseen tietojen­kalasteluun. Onnistunut toimitus­johtaja­huijaus voi saada aikaan merkittävää taloudellista vahinkoa sekä tahrata yrityksen maineen.

Smishing

Smishing tulee sanoista phishing ja SMS. Tässä tietojen­kalastelun muodossa uhria lähestytään teksti­viestillä tai pika­viesti­palvelussa. Yksi erityisen ikävä piirre smishing-viesteissä on, että niitä voidaan ujuttaa vanhoihin viesti­ketjuihin. Käytännössä hyökkääjä voi kaapata viesti­ketjun ja lähettää kohteelleen haitallisia linkkejä tai pyytää häntä paljastamaan arka­luonteista tietoa.

Vishing

Vishing tunnetaan suomen kielessä paremmin huijaus­puheluina. Hyökkääjät käyttävät VoIP-teknologiaa (Voice over Internet Protocol) väärentääkseen henkilöllisyytensä, sillä heidän kohteensa eivät välttämättä vastaa, jos soittaja on tuntematon. Hyökkääjä voi esiintyä luotettavana auktoriteettina, kuten uhrin pankkina tai työn­antajana, saadakseen hänet paljastamaan arvokasta tietoa. Varastettuja tietoja voidaan käyttää esi­merkiksi identiteetti­varkauteen.

Klooni­kalastelu eli clone phishing

Klooni­kalasteluun kuuluu aitojen sähkö­postien kopioiminen, jolloin viesti näyttää tulevan luotettavalta lähettäjältä. Verkko­rikolliset voivat lisäksi luoda aidon näköisiä huijaus­sivustoja klooni­kalastelun tueksi. Todellisuudessa sivuston tarkoituksena on saada huijauksen kohde syöttämään kirjautumis­tietonsa tai lataamaan haitta­ohjelma. Kloonattuja viestejä ja huijaus­sivustoja voi olla vaikea tunnistaa, mutta usein kieli­oppi­virheet ja muut epäilyttävät merkit paljastavat ne vaarallisiksi.

Kuinka torjua spear phishing ‑hyökkäys

Kohdennettujen kalastelu­hyökkäysten ja huijaus­sivustojen tunnistaminen on vaikeaa, jos rikolliset ovat valikoineet tietyn henkilön kohteek­seen. Olet kuitenkin paremmin turvassa tietojen­kalastelulta, kun tunnen huijareiden temput. Tässä muutama keino, joilla puolustaudut kohdennettua tietojen­kalastelua vastaan ja tunnistat huijaus­viestit.

• Tarkista lähettäjän henkilöllisyys. Kohdennetut ja väärennetyt huijaus­viestit voivat alkuun näyttää aidoilta, mutta paljastavat huijauksen merkkejä, kun katsot tarkemmin. Kirjoitus­­virheet ja poikkeavat merkit lähettäjän sähkö­posti­osoitteessa ovat ensimmäinen vihje, että jotain epäilyttävää on meneillään. Verkko­tunnus lähettäjän sähkö­posti­osoitteessa voi myös erota aidosta yhden merkin verran. Osoitteessa voi lukea esi­merkiksi fsecure.com, kun oikea tunnus olisi f-secure.com.
• Vältä linkkejä ja erikoisia URL-osoitteita. Ole aina varuillasi, jos viesti sisältää linkkejä verkko­sivuille. Voit viedä tieto­koneen kursorin linkin päälle ennen sen klikkaamista nähdäksesi, minne linkistä painaminen sinut vie. Vaikka sivusto vaikuttaisi luotettavalta, etsi siltä poikkeavuuksia, jotta vältyt tulemasta huijatuksi.
• Varo odottamattomia sähkö­posti­viestejä. Ole varovainen, jos tuntematon henkilö lähestyy sinua sähkö­postitse, varsinkin jos viestin mukana on liite­tiedostoja ja linkkejä. Jos puolestaan tunnet viestin lähettäjän ennestään, hän on toden­näköisemmin kuka väittää olevansa.
• Älä jaa luottamuksellista tietoa. Älä jaa sähkö­postin välityksellä sala­sanojasi, taloudellisia tietoja tai henkilö­tunnustasi. Soita takaisin viralliseen puhelin­numeroon, jos luotettavalta vaikuttava auktoriteetti, kuten pankkisi tai jokin julkinen taho, pyytää tietojasi. Mikä parempaa, voit vierailla viestin lähettäjän paikallis­toimistossa tarkistamassa asian.
• Mieti ennen kuin toimit. Hyökkääjien viestit ovat usein kiireellisiä, jotta hätiköisit ja toimisit huolimattomasti. Tarkista huolella, ettei kyseessä ole huijaus, jos viestin lähettäjä vaatii välitöntä toimintaa.
• Ilmoita huijaus­viesteistä. Ole yhteydessä työn­ajantajasi IT-tukeen tai yrityksen tieto­turva-asian­tuntijaan, jos tunnistat saaneesi huijaus­viestin. Tällöin koko organisaatio on toden­näköisesti tietojen­kalastelu­hyökkäyksen kohteena. Huijauksesta ilmoittaminen estää muita joutumasta kohdennetun tietojen­kalastelun uhriksi.
• Käytä verkko­suojausta ja virus­torjuntaa. Anti­virus-ohjelma estää haitta­ohjelmia tartuttamasta laitteitasi, jos päädyt spear phishing ‑huijauksen uhriksi. Kattava tieto­turva­ohjelma tunnistaa haitalliset linkit ja huijaus­sivustot.
• Aktivoi kaksi­vaiheinen tunnistautuminen ja käytä vahvoja sala­sanoja. Onnistuessaan kohdennettu tietojen­kalastelu vaarantaa sala­sanasi. Yksi sala­sana riittää murtautumiseen usealle käyttäjä­tilille, jos käytät samoja sala­sanoja eri käyttäjä­tunnuksilla. Suojaa kaikki käyttäjä­tunnuksesi vahvoilla sala­sanoilla. Kaksi- ja moni­vaiheinen tunnistautuminen antaa yli­määräistä suojausta kaikille tunnuksillesi.