Tietojenkalastelu eli verkkourkinta on yksi yleisimmistä kyberhyökkäyksistä. Siinä verkkorikollinen tekeytyy luotettavaksi henkilöksi tai aidoksi yritykseksi ja huijaa sinut klikkaamaan haitallista linkkiä tai avaamaan liitetiedoston. Huijauslinkit usein ohjaavat käyttäjän väärennetylle verkkosivustolle, jonka tarkoituksena on saada uhri paljastamaan arkaluonteista tietoa, kuten pankki- ja yhteystietoja. Lue lisää tietojenkalastelusta ja opi suojautumaan huijauksilta.
Mistä tietojenkalastelussa on kyse?
Tietojenkalastelu eli ”phishing” on verkkorikollisuuden muoto, jossa uhri huijataan paljastamaan henkilökohtaisia tietoja, kuten henkilö-, talous- tai kirjautumistietoja. Huijari tekeytyy yleensä joksikin luotettavaksi tahoksi. Tietojen urkkimiseen on useita erilaisia keinoja, kuten sähköpostit, tekstiviestit, puhelut ja jopa QR-koodit, joiden avulla huijarit manipuloivat uhrinsa paljastamaan arvokkaita tietoja.
Kun ymmärrät, miten tietojenkalastelu toimii ja miksi huijarit urkkivat ihmisten tietoja, pystyt suojaamaan itsesi hyökkäyksiltä.
Miksi huijarit tekevät tietojenkalasteluhyökkäyksiä?
Huijarit yrittävät saada sinut paljastamaan luottamuksellisia tietoja, joita he sitten käyttävät hyväkseen identiteettivarkauksissa tai talousrikoksissa. Tyypillisessä huijauksessa uhri ohjataan väärennetylle verkkosivulle, joka näyttää aidolta. Sivusto on kuitenkin suunniteltu keräämään uhrin luottamuksellisia tietoja, kuten käyttäjätunnuksia ja salasanoja.
Tietojenkalastelu on myös keino tartuttaa haittaohjelmia uhrin laitteeseen. Hyökkääjät voivat naamioida haittaohjelman joksikin kiinnostavaksi, kuten tärkeäksi tiedostoksi tai viraaliksi nettivideoksi, jotta uhri lataisi sen laitteelleen. Ladattu tiedosto voi todellisuudessa olla troijalainen tai jokin muu haittaohjelma, joka vaarantaa laitteesi tietoturvan.
Mitä ovat verkkourkinnan eri muodot?
Tietojenkalastelu ilmenee monin eri tavoin. Jokaisen hyökkäyksen tavoitteena on kuitenkin varastaa henkilöiden ja organisaatioiden arvokkaita tietoja tai levittää haittaohjelmia. Verkkourkinta on kehittynyt ajan myötä ja hyökkäykset ovat entistä monimutkaisempia. Nykyään rikolliset käyttävät tekoälyä tehdäkseen huijauksista entistä hienostuneempia ja kohdetta varten räätälöityjä. Huijausten kehittyessä entisestään, on aina vain tärkempää pysyä ajan tasalla kyberturvallisuuden kehityksestä.
Sähköpostikalastelu
Sähköposti on yksi yleisimmistä tietojenkalastelun välineistä. IBM:n mukaan tällaiset sähköpostihuijaukset ovat yleisin syy tietomurroille. Huijarit lähettävät sähköposteja, jotka vaikuttavat olevan peräisin luotettavista lähteistä, kuten pankeista tai verkkokaupoista. Viestissä he pyytävät huijauksen kohteelta arkaluonteista tietoa, esimerkiksi käyttäjä- ja pankkitunnuksia. Kaiken lisäksi huijaussähköpostit pyrkivät herättämään kiireen viestin vastaanottajassa esimerkiksi väittämällä, että uhrin tili tullaan sulkemaan ilman välittömiä toimia tai tili on vaarantunut. Sähköpostihuijauksen seurauksena henkilö- ja taloustietosi voivat päätyä vääriin käsiin.
Kohdennettu tietojenkalastelu
Tavallisen tietojenkalastelun kohteet valikoituvat yleensä sattumanvaraisesti. Niin sanottu “spear phishing” eli kohdennettu tietojenkalastelu sen sijaan kohdistuu tiettyyn kohteeseen, jolloin myös itse huijaus on yksilöllisempi. Kohdennetussa tietojenkalastelussa huijauksen kohteena on tietty henkilö tai organisaatio, minkä lisäksi huijarit hyödyntävät erilaisia sosiaalisen manipulaation kikkoja kasvattaakseen onnistumisen mahdollisuuksia. Kohdennetut hyökkäykset vaativat rikollisilta enemmän vaivannäköä ja valmistelua, mutta onnistuvat huiputtamaan kohteensa todennäköisemmin.
Smishing eli tekstiviestihuijaus
Smishing eli “SMS phishing” tarkoittaa nimensä mukaan tekstiviestitse toteutettua tietojenkalastelua, jossa huijari lähettää kohteelleen viestin tarkoituksenaan saada hänet klikkaamaan haitallista linkkiä ja paljastamaan luottamuksellista tietoa. Monet ihmiset osaavat varoa ja välttää tavallista verkkourkintaa, mutta eivät välttämättä ole valmistautuneet yhtä hyvin tekstiviestin kautta tapahtuviin huijauksiin. Lisäksi huijaustekstiviestejä voidaan lisätä olemassa oleviin keskusteluihin, jolloin ne näyttävät tulevan luotettavalta lähettäjältä.
Epäiletkö vastaanottaneesi huijausviestin? Tarkista se ilmaiseksi F‑Secure Text Message Checkerin avulla.
Vishing eli huijauspuhelut
Tietojenkalastelu voi tapahtua myös puhelimen välityksellä. Huijauspuheluista käytetään myös nimitystä “vishing” (eli “voice phishing”). Huijauspuhelun soittaja voi olla oikea ihminen, automaattinen tekstistä puheeksi ‑ohjelma tai tekoälyllä luotu ääni. Riippumatta huijauspuhelun toteutuksesta, sen tavoite on sama kuin muissa tietojenkalastelun menetelmissä: varastaa huijauksen uhrin henkilökohtaisia tietoja.
Quishing eli QR-koodihuijaus
Quishing tarkoittaa QR-koodin avulla toteutettavaa verkkourkintaa, jossa huijauksen uhri yritetään saada paljastamaan henkilökohtaisia tietojaan tai lataamaan haittaohjelman laitteelleen. Huijarit luovat ja jakavat QR-koodeja, joiden skannaaminen ohjaa käyttäjän väärennetylle sivustolle tai lataa uhrin laitteelle haittaohjelman.
QR-koodeja käytetään monessa yhteydessä, ja ne ovat yleensä turvallisia. Siksi rikolliset voivat käyttää uhriensa luottamusta hyväkseen ja huijata heidät paljastamaan henkilötietojaan tai altistamaan laitteensa vaaraan. Kuten muissakin verkkourkinnan muodoissa, quishing-huijausten tavoitteena on käyttää uhrin tietoja rikollisiin tarkoituksiin.
Miten tietojenkalasteluhyökkäys toimii?
Tietojenkalasteluhyökkäykset noudattavat yleensä monivaiheista kaavaa, jonka tarkoituksena on huijata uhri paljastamaan arkaluonteisia tietoja tai asentamaan haittaohjelmia. Prosessi on usein pitkälti automatisoitu, ja kohdistuu suureen määrään vastaanottajia kerralla. Seuraavassa on yleiskatsaus tyypillisen huijauksen eri vaiheisiin:
Tutkimus ja suunnittelu: Kohdennetussa verkkourkinnassa huijarit keräävät ensin tietoa kohteistaan, kuten uhrin kiinnostuksen kohteista, tottumuksista ja haavoittuvuuksista. Tämä tutkimus auttaa huijareita laatimaan vakuuttavampia ja yksilöllisempiä urkintaviestejä.
Vakuuttavan viestin luominen: Seuraavaksi huijarit suunnittelevat viestin, joka ensi silmäyksellä näyttää tulevan luotettavalta lähettäjältä, kuten pankista, verkkokaupasta tai viranomaisilta. Lisäksi huijarit tekevät viestistä aidomman näköisen lisäämällä siihen oikean organisaation logon sekä brändiä mukailevaa kuvastoa ja kieltä.
Huijausviestin lähettäminen: Usein huijarit lähettävät urkintaviestejä käyttämällä työkaluja, jotka levittävät viestin automaattisesti lukuisille kohteille. Tällöin on todennäköisempää, että edes joku erehtyy luulemaan viestiä aidoksi ja tulee huijatuksi. Huijarit saavat kohteidensa sähköpostiosoitteet usein tietomurroista tai ostamalle ne pimeästä verkosta.
Uhrin huijaaminen: Saatuaan tietojenkalasteluviestin hyökkäyksen uhri huijataan paljastamaan arkaluonteisia tietojaan, kuten kirjautumis-, pankki- ja henkilötietoja. Viesteissä korostetaan usein kiirettä, jotta huijauksen kohde toimisi mahdollisimman nopeasti.
Haittaohjelmien asentaminen: Joidenkin huijausviestien mukana on haittaohjelmia, kuten viruksia ja kiristysohjelmia. Haittaohjelma latautuu uhrin laitteelle ja vaarantaa tietoturvan, kun uhri klikkaa viestissä olevaa linkkiä tai avaa mukana tulleen liitetiedoston.
Uhrin tietojen käyttäminen: Huijarit käyttävät varastettuja tietoja identiteettivarkauksiin, tekevät luvattomia maksuja tai myyvät tiedot pimeässä verkossa. Seuraukset voivat olla merkittävät uhrille ja johtaa taloudellisiin vahinkoihin.
Tietojenkalasteluhyökkäyksen seuraukset
Onnistuneen tietojenkalasteluhyökkäyksen seuraukset voivat olla vakavia. Verkkourkinnan kohteeksi joutuminen vaarantaa uhrin esimerkiksi identiteettivarkaudelle, taloudellisille tappioille ja henkiselle vahingolle. Tietojenkalasteluhyökkäys voi vaarantaa uhrin arkaluonteisia tietoja, kuten talous- ja henkilötietoja, sekä tartuttaa uhrin laitteelle erilaisia haittaohjelmia. Yksi yleisistä huijauksen seurauksista on identiteettivarkaus, jossa huijarit käyttävät tietojasi avatakseen uusia tilejä, hankkiakseen luottokortteja tai ostaakseen tavaroita osamaksulla nimissäsi.
Näin tunnistat tietojenkalasteluhyökkäyksen
Sinun tulee kiinnittää huomiota tiettyihin hälytysmerkkeihin, jotta tunnistat, milloin kyse on tietojenkalastelusta. Huijausviestin tunnusmerkkeihin kuuluvat:
Kiireellinen ja uhkaava sävy.
Sinua pyydetään antamaan arkaluonteista tietoa, kuten kirjautumis- ja pankkitietojasi.
Sähköpostin lähettäjä on tuntematon tai tavallisesta poikkeava.
Kirjoitus- ja kielioppivirheet viesteissä.
Epäilyttävät ja odottamattomat linkit ja liitetiedostot.
Näiden merkkien tunteminen auttaa sinua pysymään valppaana erilaisia verkkouhkia, kuten tietojenkalastelua ja muuta epäilyttävää toimintaa vastaan.
F-Securen suojaus tunnistaa tietojenkalastelua automaattisesti ja estää haitallisia sivustoja, tekstiviestihuijauksia, valekauppoja ja mainoshuijauksia.
5 tapaa välttää tietojenkalastelu
Tässä on viisi vinkkiä, joiden avulla vältät verkkourkinnan. Näiden ohjeiden noudattaminen voi parantaa verkkoturvallisuuttasi merkittävästi.
1. Muista, että olet itse suurin riskitekijä
Kukaan ei päädy tietojenkalasteluhuijauksen uhriksi ilman, että toimii verkkorikollisten toivomalla tavalla. Tietojenkalastelun onnistuminen edellyttää yleensä, että käyttäjä avaa huijaukseen käytetyn sähköpostiviestin, linkin tai liitetiedoston. Urkinnan kohteen on usein toimittava myös muilla huijarin haluamilla tavoilla, kuten sallimalla sisältöä, joka tartuttaa koneeseen haittaohjelman tai syöttämällä yksityisiä tietoja väärennettyyn lomakkeeseen. Hyvän tietoturvan ylläpitäminen estää sinua joutumasta tietojenkalastelun uhriksi. Kannattaa esimerkiksi päivittää ohjelmistot säännöllisesti sekä olla varovainen sähköpostiviestien ja linkkien kanssa.
2. Pidä mielessä, että kuka tahansa voi joutua tietojenkalastelun uhriksi
Kuka tahansa voi joutua tietojenkalastelun uhriksi ikään, ammattiin tai tietotaitoihin katsomatta. Huijarit ovat ammattirikollisia, joten tietojenkalastelua voi olla vaikea havaita. Lisäksi tietojenkalastelu käyttää hyväkseen kiintymystämme hyviin uutisiin sekä pelkoamme kielteisiä seurauksia kohtaan. Rikolliset käyttävät hyväksi esimerkiksi sitä, että joku odottaa toimitusta. Tietojenkalastelu onkin tavallista yleisempää tiettyinä sesonkeina, kuten jouluna ja Black Fridayn aikaan. Verkkourkinta on rikollisuuden muoto, jolla voi olla vakavia seurauksia, jos et ole varovainen.
3. Tietojenkalastelu on tehty näyttämään uskottavalta
Tyypillisimpiä tietojenkalastelukeinoja ovat sähköpostiin lisättävät liitteet ja linkit. Huijausviestejä voidaan lähettää myös teksti- tai pikaviesteinä. Kaikki, mikä saa tietojenkalastelun näyttämään uskottavammalta, tekee siitä myös tehokkaampaa. Huijausviestit matkivat usein tunnettuja ja luotettavia brändejä, kuten Amazonia, pankkiasi tai Postia. Tietoisuuden lisääminen verkkourkinnasta voi auttaa sinua tunnistamaan ja välttämään nämä uskottavan näköiset huijaukset.
4. Kiinnitä huomiota viestin kiireellisyyteen
Tietojenkalasteluviesteissä vedotaan usein asian kiireellisyyteen, jotta toimisit mahdollisimman nopeasti. Ole varovainen, jos saat sähköpostiviestin, jossa sinua käsketään toimimaan välittömästi. Esimerkiksi pankkien ja luottokorttiyhtiöiden aidot viestit eivät koskaan pyydä sinua vahvistamaan tietojasi sähköpostitse. Älä klikkaa linkkejä tai liitetiedostoja, jos viestin sävy on erittäin kiireellinen. Soita sen sijaan suoraan viestin lähettäneelle taholle varmistaaksesi sen aitous. Toimiessasi näin saatat tajuta kyseessä olevan huijaus jo ennen kuin ehdit soittamaan. Kun tiedät, että kiireeseen vetoaminen on yleinen huijareiden kikka, vältyt joutumasta tällaisten urkintayritysten huiputtamaksi.
5. Luota omiin vaistoihisi
Tämä neuvo saattaa vaikuttaa epämääräiseltä, vaikka se on yksi tärkeimmistä. Digitaalisen tietoturvan ylläpitäminen edellyttää, että luotat vaistoihisi ja pysyt ajan tasalla. Aitojen ja väärennettyjen verkkosivujen erottaminen sekä luotettavien ja vilpillisten sähköpostien tunnistaminen voi olla hankalaa.
Viime kädessä on kuitenkin sinusta kiinni, tunnistatko huijauksen. Pysähdy miettimään, jos kohtaat jotain epäilyttävää. Onko tämä, mitä odotit? Luotatko viestin lähettäjään? Voitko varmistaa sen aitouden? Voit esimerkiksi tutkia internetistä tai olla suoraan yhteydessä lähettäjään. On aina parempi pelata varman päälle, jos et ole varma.
Toimi näin, jos epäilet saaneesi huijausviestin
Epäiletkö saaneesi tietojenkalasteluviestin sähköpostitse tai puhelimeesi? Noudata seuraavia neuvoja pitääksesi itsesi turvassa:
Älä vastaa: Vältä vastaamasta viestiin tai ottamasta yhteyttä huijariin. Älä myöskään napsauta linkkejä tai avaa liitetiedostoja.
Vahvista lähettäjän henkilöllisyys: Ota suoraan yhteyttä viestin lähettäneeseen yritykseen tai organisaatioon käyttäen sen oikeaa puhelinnumeroa tai sähköpostiosoitetta. Älä käytä epäilyttävässä viestissä annettuja yhteystietoja.
Ilmoita huijausyrityksestä: Ota yhteyttä asianmukaisiin viranomaisiin, kun havaitset tietojenkalasteluyrityksen. Voit ilmoittaa tietoturvaloukkauksesta Kyberturvallisuuskeskuksen verkkolomakkeen avulla. Maailmanlaajuisesti tietojenkalasteluyrityksiin liittyviä ilmoituksia kerää esimerkiksi Anti-Phishing Working Group. Voit ilmoittaa verkkourkinnasta myös sähköpostipalvelullesi sekä tahoon, jonka nimissä huijaus on toteutettu, kuten pankkiisi. Huijauksista ilmoittaminen auttaa niiden seurantaa ja kitkemistä.
Poista viesti: Poista urkintaviesti ja sen mukana tulleet liitetiedostot sekä linkit laitteeltasi. Näin et klikkaa mitään vahingossa ja estät altistumasta mahdollisesti vaaralliselle viestille.
Päivitä tietoturvasovelluksesi: Varmista, että tietoturvaohjelmasi on ajan tasalla ja skannaa laitteesi haittaohjelmien varalta. Ohjelmiston päivittäminen suojaa sinut uusimmilta uhilta.